「SAML」と「SAML およびパススルー」認証方法を Horizon で構成するには、ID プロバイダの SAML 証明書メタデータ XML ファイルを Unified Access Gateway (UAG) にアップロードする必要があります。アップロードにより、UAG は ID プロバイダのパブリック キーを使用してアサーションの署名を検証することにより、ID プロバイダを信頼できます。
前提条件
ID プロバイダから SAML メタデータ XML ファイルをダウンロードして、このファイルをアクセス可能なコンピュータに保存しておく必要があります。
手順
-
UAG 管理コンソールの [手動構成] セクションで、[選択] をクリックします。
-
[詳細設定] > [ID ブリッジの設定] セクションで、[ID プロバイダ メタデータのアップロード] ギア アイコンをクリックします。
-
[エンティティ ID] テキスト ボックスに ID プロバイダのエンティティ ID を入力します。
[エンティティ ID] テキスト ボックスに値を入力しない場合、メタデータ ファイル内の ID プロバイダ名が解析され、ID プロバイダのエンティティ ID として使用されます。
-
[IDP メタデータ] セクションで、[選択] をクリックし、メタデータ ファイルを保存した場所を参照します。
-
アップロードされたメタデータが HTTP アーティファクト バインディングをサポートしている場合は、追加の設定 [IDP ARS URL]、[IDP URL サムプリント]、および [信頼された証明書] が表示されます。
- [IDP ARS URL] はアップロードされたメタデータから自動的に入力されるため、直接編集することはできません。
- IDP の SSL サーバ証明書が信頼できる CA によって発行されていない場合にのみ、サムプリントを指定します。たとえば、自己署名証明書や内部 CA によって発行された証明書などです。サムプリントの形式は
[alg=]xx:xx…です。ここで、algはsha1、sha256（デフォルト値）、sha384、sha512で、xxは 16 進数です。ハッシュ アルゴリズムは、指定された最小ハッシュ サイズの要件を満たす必要があります。たとえば、sha1=C3 89 A2 19 DC 7A 48 2B 85 1C 81 EC 5E 8F 6A 3C 33 F2 95 C3、sha256=ad:5c:f1:48:47:94:7e:80:82:73:13:6c:83:52:b:e:78:ed:ff:50:23:56:a8:42:8a:d9:30:fc:3a:33:d6:c6:db、sha512=2221B24DC78018A8FAFF81B7AD348722390793DE8C0E5E5AA1D622BCC951D4DA5DBB1C76C79A258A7AFBD1727447151C90E1733E7E83A7D1D46ADF1A31C78496 - 証明書のサムプリントは、Unified Access Gateway と IDP 間の通信で返されるサーバ証明書の証明書検証のために構成できます。
-
[暗号化証明書タイプ] ドロップダウン メニューから、証明書の形式タイプとして [PEM] を選択します。
7. [プライベート キー] では、[選択] をクリックして、証明書の PEM 形式のプライベート キーを保存した場所を参照します。
-
[証明書チェーン] では、[選択] をクリックし、PEM 形式の証明書チェーンを保存した場所を参照します。
-
[暗号化されていない SAML アサーションを許可] オプションを有効にするには、トグルをオンにします。トグルをオフにすると、SAML 認証中に暗号化されていないアサーションは許可されません。
-
[常に SAML 認証を強制する] 機能を有効にするには、トグルをオンにします。トグルをオンにすると、ID プロバイダも SAML 認証を強制するように構成されている場合、この ID プロバイダが使用されると常に SAML 認証ページがユーザーに表示されます。
**注：****[常に SAML 認証を強制する]** 機能を有効にすると、`SAML ForceAuthn="true"` が IdP に対する AuthnRequest の属性として設定されます。IdP には、ユーザーの認証中に以前のセキュリティ コンテキストを無視するように通知されます。
-
[保存] をクリックします。
次のメッセージが表示されます：
Configuration is saved successfully.UAG には、アップロードされた IDP メタデータ証明書の詳細が表示されます。
未使用の IDP メタデータは削除できます。
次のタスク
UAG で Horizon の構成を行って、認証方法を選択し、必要な ID プロバイダを選択します。
このページは役に立ちましたか?