シングルサインオン (SSO) のセットアップ

ドットコムモニターは、SAML 2.0を使用したSSO(シングルサインオン)ログインをサポートしています。 SAML は、クライアントの ID プロバイダーとドットコムモニターサービス間の認証データの転送を提供します。すべてのユーザーログイン情報は、高レベルのセキュリティとより優れたユーザーエクスペリエンスを保証する Dotcom-Monitor ではなく、ID プロバイダー側に格納されます。

システムにアクセス許可グループを設定すると、ドットコムモニターはこれらのグループをユーザーロ\ールにマップし、それに応じてドットコムモニターシステムへのアクセスを許可します。

この記事では、アクティブディレクトリ FS (ADFS) と AZURE アクティブディレクトリ (Azure AD) を ID プロバイダーとして使用して SSO を有効にするために必要な手順について説明します。また、OKTA SAML統合のステップバイステップガイドも提供されています。

一般に、アクティブディレクトリ内のさまざまなアクセス許可レベルを持つ複数のグループにドットコムモニターユーザーを設定することはお勧めできません。ただし、ユーザーが Dotcom-Monitor の 2 つ以上のアクセス許可レベルに属している場合は、最も低いアクセス許可レベルが、より高いアクセス許可を持つレベルよりも優先されます。たとえば、ユーザーがドットコムモニタープラットフォーム内で閲覧者(読み取り専用)ロールとパワーユーザーロールを同時に割り当てられている場合、SSO ログイン中に適用されるのは閲覧者ロールのアクセス許可です。

アクティブディレクトリ FS を使用した SSO
1. ADFS 2.0 をインストールします (ヘルプは http://www.microsoft.com/en-us/download/details.aspx?id=10909にあります)。

2.
メタデータ.xml
をダウンロードします。

3. ADFS 2.0 管理 コンソールで、Ssl 証明書を追加して、Dotcom モニタの応答/要求に署名します。
- ADFS 2.0 管理コンソールを起動し、サーバー構成ウィザードを開きます。
- [ 新しい FS の作成 ] をクリックし、[ スタンドアロン FS]を選択します。
- [SSL 証明書] を選択します (証明書がない場合は、 INETMGR > サーバー証明書 [自己署名証明書 > の作成] を使用して自己署名証明書を作成できます)。
4. ADFS 2.0 管理 コンソールで、ADFS 証明書利用者信頼に IDR を追加します。
- [ 証明書利用者信頼 ] をクリックし、[ 証明書利用者信頼の追加]を選択します。
- ウィザードウィンドウで、[ スタート ] ボタンをクリックし、[ 証明書利用者に関するデータをファイルからインポートする] を選択します。
- メタデータ.xmlを選択します。
- 任意の意味のある名前 (dotcom-monitor.com) を選択します。
- [ 次へ ] をクリックし、プロンプトに従います。
- [ 発行承認規則] ステップで、[ すべてのユーザーがこの証明書利用者へのアクセスを許可する] を選択します。
- 最後の手順で、[ ウィザードの終了時にこの証明書利用者信頼の [要求規則の編集] ダイアログを開く] チェックボックスをオフにします。
- ウィザードを閉じます。
5. SHA-1 をセキュアハッシュアルゴリズムとして設定します。
- 証明書利用者信頼を作成した後、リスト内で信頼を右クリックし、P ropertiesを選択します。
- [ 詳細設定 ] タブに移動し、ハッシュアルゴリズムを SHA-1に変更します。
6. 要求規則を追加して、LDAP 属性を要求として送信します。
- 証明書利用者を右クリックし、[ 要求規則の編集] を選択します。
- [ ルールの追加 ] をクリックし、[ 要求規則テンプレート で LDAP 属性を要求として送信 ] が選択されていることを確認します。
- 要求ルール名を指定します。
- [アクティブディレクトリになる属性ストア] を選択します。
- 2 つの属性マッピングを追加します: ユーザープリンシパル名 セット UPNのトークングループ – 非修飾名 セット ロール。
7. カスタムルールを追加します。
- 証明書利用者を右クリックし、[ 要求規則の編集] を選択します。
- [ ルールの追加 ] をクリックし、[ 要求規則テンプレート ] を [カスタム規則を使用して要求を送信する]に設定します。
- 要求ルール名を指定します。
- 次のスクリプトを挿入します。
```
 c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn"] => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer,
 OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, 
 Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:2.0:nameid-format:transient",
 Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "http://www.example.com/adfs/services/trust", 
 Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "https://userauth.dotcom-monitor.com/")
```
- “http://www.example.com/adfs/services/trust” を適切な ID プロバイダー (IdP) エンティティ ID(“http://idpsite.com/adfs/services/trust” ) に置き換えます。
8. IdP マシンからブラウザで URL を開きます。 https://localhost/federationmetadata/2007-06/federationmetadata.xml

9. XML コンテンツをファイルとして保存し、チケットシステムを使用してドットコムモニターサポートに送信します。

SSO が有効になっている場合は、AD で新しいユーザーを作成するか、既存のユーザーを次のいずれかのグループに追加することで、ドットコムモニター Web サイトユーザーを追加できます: “ドットコムMonitor_Administrators”、”ドットコムMonitor_Users”、”ドットコムMonitor_Power_Users”、”ドットコムMonitor_Accounting_Users”、”ドットコムMonitor_ReadOnly_Users”、”ドットコムMonitor_Operators“。これらのグループには、”グローバル” または “ユニバーサル” スコープと “セキュリティ” の種類がそれぞれ必要です。
Azure アクティブディレクトリを使用した SSO
1.グローバル管理者または共同管理者としてAzure ポータルにログインします。

2. ポータルの左側のナビゲーションパネルで 、[Azure Active Directory]を選択します。

3. Azure AD を使用して今後の SSO ログインのユーザーを管理 (作成) するには、Azure Active Directoryナビゲーションパネルの [管理] セクションで、[すべてのユーザー]を選択 > します。

https://portal.azure.com/#blade/Microsoft_AAD_IAM/UserManagementMenuBlade/Overview/menuId/

4. 新しいエンタープライズアプリケーションを作成します。
- Azure Active Directory ナビゲーションパネルで、[ エンタープライズアプリケーション] を選択します。
- [ 新しいアプリケーション] をクリックし、[ ギャラリー以外のアプリケーション]をクリックします。
- [ 独自のアプリケーションの追加 ] ページで、新しいアプリケーションの名前 (“userauth.dotcom-monitor.com“) を設定し、[ 追加] をクリックします。
https://portal.azure.com/#blade/Microsoft_AAD_IAM/StartboardApplicationsMenuBlade/Overview/menuId/

5. アプリケーションメタデータを編集してドットコムモニターグループを追加します。
- Azure のアクティブディレクトリ ナビゲーションパネルで、[ アプリの登録] を選択します。
https://portal.azure.com/#blade/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/RegisteredApps
- 「userauth.dotcom-monitor.com」アプリケーションをクリックし、[管理]セクションで[マニフェスト]を選択します。
- Web ベースのマニフェストエディターで、次のロールを [appRoles] ノードと [保存] ノードに追加します。
```
   {  "allowedMemberTypes": [  
        "User"      
      ],
      "displayName": "Dotcom-Monitor_Administrators",
      "id": "b9632174-c057-4f7e-951b-be3adc52aaaa",
      "isEnabled": true,
      "description": "Dotcom-Monitor_Administrators", 
      "value": "Dotcom-Monitor_Administrators"
   }, 
   {
      "allowedMemberTypes": [
        "User"
      ],
      "displayName": "Dotcom-Monitor_Power_Users",
      "id": "b9632174-c057-4f7e-951b-be3adc52baaa",
      "isEnabled": true,
      "description": "Dotcom-Monitor_Power_Users",
      "value": "Dotcom-Monitor_Power_Users"
    }, 
    {
      "allowedMemberTypes": [
        "User"
      ],
      "displayName": "Dotcom-Monitor_Users",
      "id": "b9632174-c057-4f7e-951b-be3adc52babc",
      "isEnabled": true,
      "description": "Dotcom-Monitor_Users",
      "value": "Dotcom-Monitor_Users"
    }, 
    {
      "allowedMemberTypes": [
        "User"
      ],
      "displayName": "Dotcom-Monitor_Accounting_Users",
      "id": "b9632174-c057-4f7e-951b-be3adc52bbbb",
      "isEnabled": true,
      "description": "Dotcom-Monitor_Accounting_Users",
      "value": "Dotcom-Monitor_Accounting_Users"
    },
    {
      "allowedMemberTypes": [
        "User"
      ],
      "displayName": "Dotcom-Monitor_ReadOnly_Users",
      "id": "b9632174-c057-4f7e-951b-be3adc52bccc",
      "isEnabled": true,
      "description": "Dotcom-Monitor_ReadOnly_Users",
      "value": "Dotcom-Monitor_ReadOnly_Users"
    },
    {
      "allowedMemberTypes": [
        "User"
      ],
      "displayName": "Dotcom-Monitor_Operators",
      "id": "b9632174-c057-4f7e-951b-be3adc52bddd",
      "isEnabled": true,
      "description": "Dotcom-Monitor_Operators",
      "value": "Dotcom-Monitor_Operators"
    },
```
5. SSO 設定の編集:
- Azure Active Directory ナビゲーションパネルで、 [エンタープライズ アプリケーション] を選択し、[すべてのアプリケーション] をクリックします。
https://portal.azure.com/#blade/Microsoft_AAD_IAM/StartboardApplicationsMenuBlade/AllApps/menuId/
- “userauth.dotcom-monitor.com”アプリケーションをクリックします。
- [ 管理 ] セクションで、[ シングルサインオン] を選択します。
- シングルサインオンを構成するには 、[SAML] を選択します。 [SAML でのシングルサインオンのセットアップ – プレビュー ] ページで、基本的な SAML オプションを設定します。
```
Identifier: “https://userauth.dotcom-monitor.com/” 
Reply URL: “https://userauth.dotcom-monitor.com/Login.ashx”
Unique User Identifier: “user.userprincipalname”
```
- [ユーザー属性とクレーム] セクションの右上隅にある編集アイコン (鉛筆) を選択し、新しい属性を追加します。
```
 Name: “Roles”
 Value: “user.assignedroles”
```
- [SAML 署名証明書] セクションの右上隅にある[編集]アイコン (鉛筆) を選択します。
- [SAML 署名証明書 ] セクションで、[ メタデータ XML のダウンロード ] をクリックし、ディスクに保存します。このファイルは、サポート dotcom-monitor.com 送信する必要があります。
- [ 新しい証明書をアクティブに する ( メタデータのダウンロード後のみ ) をオンにして、アクションを確認します。
- [ 証明書の署名の詳細設定を表示する] をオンにし、署名アルゴリズムとして SHA-1 を設定します。
- [ 保存 ]をクリックします。
6.役割を割り当てます。
- Azure Active Directory ナビゲーションパネルで、 [エンタープライズ アプリケーション] を選択し、[すべてのアプリケーション] をクリックします。
https://portal.azure.com/#blade/Microsoft_AAD_IAM/StartboardApplicationsMenuBlade/AllApps/menuId/
- [ userauth.dotcom-monitor.com ] アプリケーションをクリックし、[ ユーザーとグループ ]を選択します。
- [ ユーザーの追加] をクリックし、ユーザーを選択し、ロール (ドットコムモニターロールの 1 つ) を選択して、[ 割り当て] をクリックします。必要なすべてのユーザーのためにそれを行います。
7. メタデータ.xml ドットコムモニターサポートに送信します。ここをクリックしてアカウントにログインし、チケットを送信してください。
SSO と OKTA

以下の資料を確認して、Dotcom-Monitor との OKTA 統合を構成し、SSO を有効にします。

OKTA – ドットコムモニター統合PDFガイド

ドットコムモニターウォークスルービデオを使用したOKTA SAML統合

SAML ログインビデオ

以下の代替ガイドも参照してください。

オクタからドットコムモニターの代替ガイド

オクタからドットコムモニター SAML 設定ビデオ

部門の SSO の構成

ドットコムモニターアカウント用に作成された部門がある場合は、SSOユーザーがログインするように構成できます。

部門の SSO を有効にするには、AD で Dotcom-Monitor 用に予約されているグループまたはロールの名前に、その部門名をサフィックスとして追加します。区切り文字として二重ハイフンを使用します。

<AD Group Name>--<Department Name>

ドットコムモニターでSSOを設定するには、次の名前を使用してディレクトリサービスでSSOロールを構成してください。

AD グループ名 (SSO ロール)	ドットコムモニターでのユーザーの役割
ドットコムMonitor_Administrators	管理者
ドットコムMonitor_Users	利用者
ドットコムMonitor_Accounting_Users	会計
ドットコムMonitor_ReadOnly_Users	視聴者
ドットコムMonitor_Power_Users	パワーユーザー
ドットコムMonitor_Operators	演算子

たとえば、ユーザーが パワーユーザー ロールのアクセス許可で “AlphaDep” 部門にログインできるようにするには、 ドットコムMonitor_Power_Users AD グループに次のサフィックスを追加します。

«Dotcom-Monitor_Power_Users--AlphaDep»

ADFS グループ名を変更するには、グループを右クリックし、[ 名前の変更] を選択します。名前を変更したら、ポップアップボックスまたはプロパティ > の全般グループ名 > (Windows 2000 以前) からも Windows 2000 以前の名前を変更します。

同じ形式で複数の部署名を1つずつ追加することもできます。例えば：

«Dotcom-Monitor_Accounting_Users--AlphaDep--BetaDep--Department3»

ユーザーが root アカウントにログインできるようにするには、前述のように、部門サフィックスなしで関連する AD グループを指定します。

«Dotcom-Monitor_ReadOnly_Users»

あるユーザーが複数の «Dotcom-Monitor_» の AD グループに含まれ、部門用に SSO が構成されている場合、対応するすべての部門へのログインが有効になります (部署が Dotcom-Monitor アカウントに存在する場合)。

関連項目: SSO を使用したサインイン

アクティブ ディレクトリ FS を使用した SSO

Azure アクティブ ディレクトリを使用した SSO

SSO と OKTA

部門の SSO の構成

アクティブディレクトリ FS を使用した SSO

Azure アクティブディレクトリを使用した SSO