SAML認証の設定

セキュリティアサーションマークアップ言語（SAML）は、ユーザーがログイン時にパスワードを入力せずに済むようにするサインイン方法です。AssetExplorer CloudはSAML 2.0をサポートしており、フェデレーション型ID管理ソリューションと統合することで、ログインの認証と認可を行います。例えば、ユーザーがActive Directoryの認証情報を使用してAssetExplorer Cloudにログインできるように設定できます。

SAML認証は、以下の2つのエンティティで構成されます。

  • サービスプロバイダー（SP）（AssetExplorer Cloud）
  • アイデンティティプロバイダー（IdP）（ADFS、Okta）

AssetExplorer CloudにおけるSAMLは、どのように役立ちますか？

  1. Active Directory統合/LDAP認証を使用して、ユーザーがITヘルプデスクに簡単かつ安全にアクセスできるようにします。
  2. IT部門がユーザー認証を行い、アプリケーションへのアクセスを一元的に制御できるよう支援します。
  3. ヘルプデスクユーザーの管理におけるパスワード管理とセキュリティ上の負担を軽減します。
 
configure saml authentication overview 01

SAML認証を有効化

必要な役割：組織管理者

ステップ1：ドメイン検証

組織で使用しているドメインを検証します。

ステップ2：サブドメインまたはカスタムドメインの設定

カスタムURLを使用してAssetExplorerにアクセスするために、カスタムドメインURLまたはサブドメインを設定します。customer-sdpod-am1.csez.zohocorpin.com:3104 を指すCNAMEエイリアスを必ず追加します。

転送先のCNAME URLは、データセンターによって異なります。

ステップ3：IDプロバイダーのインストール

ネットワークにSAML 2.0準拠のIDプロバイダーをインストールします。すべての認証要求は、このIDプロバイダーに転送されます。IDプロバイダーは、Active Directory/LDAP/カスタム認証を実行してユーザーを検証できます。

SAML認証は、AD FS 2.0およびAD FS 3.0をIDプロバイダーとしてテストされています。

他のSAML 2.0準拠のIDプロバイダーを使用している場合

  1. Zohoから送信された認証要求は、SAML認証要求で確認できます。
  2. 期待されるアサーション応答は、期待されるSAMLレスポンスで確認できます。

ステップ4：SAML構成

  1. ［ESMディレクトリ］ → ［SAML認証］に移動し、［SAML認証の設定］の下のフィールドに入力します。
  2. ログインおよびログアウトの要求が適切にリダイレクトされるように、IDプロバイダーのログインURLとログアウトURLを指定します。
  3. ManageEngineがIDプロバイダーから送信されたSAML応答を復号化できるように、IDプロバイダーの証明書を提供します。
  4. ［保存］をクリックします。
ステップ4：SAML構成

組織のユーザーが設定済みのサブドメインまたはカスタムドメインを使用してAssetExplorer Cloudにアクセスすると、認証のためにネットワーク内にインストールされているIDプロバイダーにリダイレクトされます。認証が成功すると、ユーザーはAssetExplorer Cloudにリダイレクトされ、ログインされます。

  • SAML認証が設定されている場合、組織のユーザーはサブドメインまたはカスタマイズされたドメイン経由でのみAssetExplorer Cloudにアクセスする必要があります。
  • IdPのURLを変更する場合は、証明書を再生成し、SAML設定のログイン/ログアウトURLを更新した上で、新しい証明書をアップロードする必要があります。

SAML 認証要求   

zylker.comが検証済みのドメインであり、idp-w2k8がIDプロバイダーがインストールされているシステムであると仮定します。

  1. <samlp:AuthnRequest xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
  2. xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
  3. ID="_abe4735eceae4bd49afdb3f254dc5ea01359616"
  4. Version="2.0"
  5. IssueInstant="2013-01-31T07:18:15.281Z"
  6. ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
  7. ProviderName="Zoho"
  8. IsPassive="false"
  9. Destination="https://idp-w2k8/adfs/ls"
  10. AssertionConsumerServiceURL="https://accounts.zoho.com/signin/samlsp/<orgid>"
  11. <saml:Issuer>zoho.com</saml:Issuer>
  12. <samlp:NameIDPolicy AllowCreate="true" />
  13. </samlp:AuthnRequest>

 期待されるSAMLレスポンス   

  1. <?xml version="1.0" encoding="UTF-8"?> 
  2. <samlp:Response ID="_38563ef5-2341-4826-94f2-290fca589a51"
  3. Version="2.0"
  4. IssueInstant="2013-01-31T07:19:18.219Z"
  5. Destination="https://accounts.zoho.com/signin/samlsp/<orgid>" 
  6. Consent="urn:oasis:names:tc:SAML:2.0:consent:unspecified" 
  7. InResponseTo="_abe4735eceae4bd49afdb3f254dc5ea01359616" 
  8. xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" > 
  9. <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">http://idp-w2k8/adfs/services/trust</Issuer> 
  10. <samlp:Status> 
  11. <samlp:StatusCode Value="urn:oasis:names:tc:SAML:2.0:status:Success" /> 
  12. </samlp:Status> 
  13. <Assertion ID="_c42ed101-0051-48ad-a678-8cb58dee03f6" 
  14. IssueInstant="2013-01-31T07:19:18.219Z" 
  15. Version="2.0" 
  16. xmlns="urn:oasis:names:tc:SAML:2.0:assertion" >

  18. <Issuer>http://idp-w2k8/adfs/services/trust</Issuer> 
  19. <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> 
  20. <ds:SignedInfo> 
  21. <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
  22. <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1" /> 
  23. <ds:Reference URI="#_c42ed101-0051-48ad-a678-8cb58dee03f6"> 
  24. <ds:Transforms> 
  25. <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature" /> 
  26. <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" /> 
  27. </ds:Transforms> 
  28. <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" /> 
  29. <ds:DigestValue>wlE4Jf0Z8Z+2OyWE69RRH81atZ8=</ds:DigestValue> 
  30. </ds:Reference> 
  31. </ds:SignedInfo> 
  32. <ds:SignatureValue>Y3izuExs6/EDebT9Q4U3qbL6Q==</ds:SignatureValue> 
  33. <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#"> 
  34. <ds:X509Data> 
  35. <ds:X509Certificate>MIIC7jCCAdagAwIBAgIQVsvKLeIHJYVEYQONFS3p3zANBgkqhkiG9w0BAQUFADAgMR4+zaLeWShiGw==</ds:X509Certificate> 
  36. </ds:X509Data> 
  37. </KeyInfo> 
  38. </ds:Signature> 
  39. <Subject> 
  40. <NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">user1@zylker.com</NameID> 
  41. <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> 
  42. <SubjectConfirmationData InResponseTo="_abe4735eceae4bd49afdb3f254dc5ea01359616" 
  43. NotOnOrAfter="2013-01-31T07:24:18.219Z" 
  44. Recipient=""https://accounts.zoho.com/signin/samlsp/<orgid>" /> 
  45. </SubjectConfirmation> 
  46. </Subject> 
  47. <Conditions NotBefore="2013-01-31T07:17:18.203Z" 
  48. NotOnOrAfter="2013-01-31T07:17:19.203Z" > 
  49. <AudienceRestriction> 
  50. <Audience>zoho.com</Audience> 
  51. </AudienceRestriction> 
  52. </Conditions> 
  53. <AuthnStatement AuthnInstant="2013-01-31T07:19:18.110Z" 
  54. SessionIndex="_c42ed101-0051-48ad-a678-8cb58dee03f6" > 
  55. <AuthnContext> 
  56. <AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</AuthnContextClassRef> 
  57. </AuthnContext> 
  58. </AuthnStatement> 
  59. </Assertion> 
  60. </samlp:Response>