ADFS - シングルサインオン

このドキュメントでは、SAML2 SSO構成において、Microsoft Active Directory Federation Services（ADFS）を ID プロバイダー（IdP）として使用し、Workvivoのシングルサインオン（SSO）認証を設定する方法について説明します。このドキュメントに記載されている情報はあくまでガイドラインとして提供されるものであり、ADFSの構成によっては異なる手順が必要になる場合があります。

これらのガイドラインは、Windows Server 2012 R2 で実行されている ADFS 3.0 環境の構成に基づいて作成されています。この手順は、ADFS または Windows Server の他のバージョンでは異なる場合があります。

ADFS で Workvivo を構成するには、まず、Workvivo を証明書利用者信頼として追加します。

ADFS 管理ツールで、左側のナビゲーションペインから「Trust Relationships（信頼関係）」→「Relying Party Trusts（証明書利用者信頼）」を選択します。

画面右側の「Actions（操作）」ペインで、「Add Relying Party Trust…（証明書利用者信頼の追加）」をクリックします。

「Start（開始）」をクリックします。「Select Data Source（データソースの選択）」画面で、「Import data about the relying party published online or on a local network（オンラインまたはローカル ネットワーク上に公開されている証明書利用者のデータをインポートする）」を選択します。続いて、「Federated metadata address (host name or URL)（フェデレーション メタデータ アドレス（ホスト名または URL））」に、次の URL を入力します:

• https://[companyname].workvivo.[com][.us][.me]/saml/metadata

*注意 - Workvivoインスタンスが、EU、米国、UAEのどのデータセンターでホストされているかに応じて、正しいドメインを入力してください。workvivo.com、workvivo.us、workvivo.meのいずれかになります。組織が、Workvivoにカスタムドメイン名で設定している場合、フォーマットも異なる場合があります。Workvivo のドメイン名が不明な場合は、Workvivo の担当者へお問い合わせいただくか、「Submit a request（リクエストを送信）」からサポートチームへお問い合わせください。 

「Next（次へ）」をクリックして次の手順へ進みます。

「次の画面では、必要に応じて「Display Name（表示名）」やメモを設定できます。
それ以外の場合は、「次へ」をクリックして次に進んでください。

［Configure Multi-factor Authentication Now?（今すぐ多要素認証を構成しますか?）］の手順では、既定の［I do not want to configure multi-factor authentication settings for this relying party trust at this time（現時点では、この証明書利用者信頼に対する多要素認証設定を構成しません）］のままにして、［Next（次へ）］をクリックします。

「Choose Issuance Authorization Rules（発行承認規則の選択）」では、既定の「Permit all users to access this relying party（すべてのユーザーにこの証明書利用者へのアクセスを許可する）」をそのまま使用し、「Next（次へ）」をクリックします。

「Ready to Add Trust（信頼関係の追加準備完了）」画面で設定内容を確認します。続行する準備ができたら、「Next（次へ）」をクリックします。
 

最後の「Finish（完了）」画面で、「Open the Edit Claim Rules dialog for this relying party trust when the wizard closes（ウィザードを閉じた後、この証明書利用者信頼の『Edit Claim Rules（要求規則の編集）』ダイアログを開く）」と表示されます。この項目にチェックが入っていることを確認し、「Close（閉じる）」をクリックします。

クレームルールを設定するプロセスについては、次のセクションで説明します。

このセクションでは、ADFSクレームルールの設定について説明します。これは、ADFSがSAML2の応答でWorkvivoに送信するActive Directory属性を定義します。これは重要で、Workvivoデータベース内のユーザーを特定するために使用されます。
 

前の手順で「Close（閉じる）」をクリックすると、「Edit Claim Rules（要求規則の編集）」ウィンドウが表示されます。
 

[ルールを追加]ボタンをクリックして、[変換クレームルールの追加ウィザード]を起動します。最初の画面で、デフォルトの[LDAP属性をクレームとして送信]オプションを選択したまま、[次へ]をクリックします。

「Configure Claim Rule（要求規則の構成）」画面で、要求規則の名前を入力します（例: LDAP Email）。「Attribute store（属性ストア）」ドロップダウンから「Active Directory」を選択します。

1つのマッピングを作成します - 左側の列の［LDAP Attribute（LDAP属性）］で［E-Mail-Addresses（電子メールアドレス）］を選択し、右側の列の［Outgoing Claim Type（出力方向の要求の種類）］で［E-Mail Address（メールアドレス）］を選択します。［Finish（完了）］をクリックしてルールを作成します。

次に、2つ目の規則を作成します。「Add Rule（規則の追加）」をクリックします。

今回は、［Claim rule template（要求規則テンプレート）］で［Transform an Incoming Claim（受信要求の変換）］を選択します。

ルールに名前を付け（例：［Email Transform（電子メール変換）］）、次のオプションを選択します。

この時点で、ADFSの構成は完了です。セットアップを完了するためにWorkvivoに入力する情報をADFSから収集する準備ができました。

Workvivo で ADFS IdP を構成するには、ADFS インストールに関して以下の情報を収集する必要があります。

最初の 3 つの設定は、多くの ADFS 環境で既定値のまま使用できます。サーバー上のADFS管理ツールで、メタデータエンドポイントとシングルサインオンエンドポイントを確認できます。

左側のナビゲーションペインで、ADFS → サービス → エンドポイントの順で選択してください。

シングルサインオンエンドポイントは「Token Issuance（トークン発行）」セクションにあります。種類は「SAML 2.0/WS-Federation」で、通常、エンドポイントは「/adfs/ls/」です。
 

メタデータエンドポイントは「メタデータ」セクションにあり、タイプは「フェデレーションメタデータ」で、通常の値は「/FederationMetadata/2007-06/FederationMetadata.xml」です。

シングルログアウトエンドポイントは、この画面に表示されない場合がありますが、通常は「/adfs/ls/?wa=wsignout1.0」を使用します。

これらのエンドポイントを設定用にキャプチャする場合は、エンドポイントの一部として完全修飾ドメイン名を追加してください。次に、これらのエンドポイントの例を示します。

SSOの設定に必要な最後の要素は、ADFS構成用のBase64 Encoded X.509証明書です。
 

ADFS サーバーで ADFS 管理ツールを開きます。左側のナビゲーションペインから「ADFS」→「Service（サービス）」→「Certificates（証明書）」を選択します。
 

メイン画面に数件の証明書が表示されます。［Token-signing（トークン署名）］という見出しの下から証明書を探して右クリックし、ドロップダウンメニューから［View Certificate（証明書の表示）］を選択します。

表示されたウィンドウで［Details（詳細）］タブを選択し、［Copy to File（ファイルにコピー）］をクリックします。

これにより、［Certificate Export Wizard（証明書のエクスポートウィザード）］が開きます。最初の画面で［Next（次へ）］をクリックして開始します。

［Export File Format（エクスポートファイル形式）］で［Base-64 Encoded X.509 (.CER)］が選択されていることを確認し、［Next（次へ）］をクリックします。

注：ADFSのバージョンによっては、秘密鍵をエクスポートするかどうかを尋ねられる場合があります。その場合は、[いいえ、秘密鍵をエクスポートしません]を選択します。

「File to Export（エクスポートするファイル）」画面で、証明書の保存先を選択し、ファイル名（例: workvivo-adfs.cer など）を付けます。

［Completing the Certificate Export Wizard（証明書のエクスポートウィザードの完了）］画面で［Finish（完了）］をクリックしてウィザードを閉じます。エクスポートが正常に完了したことを確認するダイアログが表示されます。

エクスポートしたばかりの証明書ファイルを見つけて。ファイルをテキストエディターで開く。Base64でエンコードされたテキストが、-----BEGIN CERTIFICATE-----と-----END CERTIFICATE-----行で囲まれているはずだ。このファイルの内容は私たちが必要とする証明書なので、この情報と前述のエンドポイントをメモしておいてください。

この情報を収集したら、Workvivoで構成を完了してください。

4. 追加のURLは入力せず、空欄のままにする 

すべてのユーザーがWorkvivoでSSO認証を使用する場合は、メタデータをWorkvivoへ直接登録できます。

まず、Workvivoの［IT Administrator（IT管理者）］ロールが必要です。このロールは、現在の管理者またはWorkvivoの担当者から付与してもらえます。

このロールが付与されたら、[管理]セクション > [Authentication and System Settings（認証およびシステム設定）]に移動します。

［Authentication Mode（認証モード）］で、［Single Tenant SSO Only（単一テナントSSOのみ）］を選択します

次に、［Set up SSO Tenant（SSOテナントを設定する）］を選択します

新しいSSOテナントの名前を入力する

注: これは SSO テナントを識別するためのラベルです。例えば、「ADFS SSO Tenant」を指定できます。

次の画面に、このエンティティ固有のエンティティIDが表示されます。これは、ステップ1のADFSの［Federated metadata address (host name or URL)（フェデレーションメタデータアドレス（ホスト名またはURL）］フィールドに入力する必要があるURLです。

次に、ステップ2でADFSから取得したメタデータの詳細を入力します。

これらの詳細を追加したら、設定を保存してください

4. SSO のテスト

SSOが正しく設定されていることをテストするには：

• ユーザープロファイルが、手動またはSCIMプロビジョニングによってWorkvivoに作成されていることを確認します。
• ブラウザーで Workvivo の URL を開くと、自動的に ADFS のサインインページへリダイレクトされます。
• サインイン資格情報を入力します。
• 認証されると、自動的にWorkvivoアプリにリダイレクトされます。

注: パスワード認証を使用するユーザーがいる場合や、複数のSSOテナントを使用する場合は、Workvivo管理画面の [Authentication（認証）] →[System Settings（システム設定）] で適切な [Authentication Mode（認証モード）] を選択して設定してください。ご不明な点がある場合は、[Submit a request（リクエストを送信）] からサポートチームまでお問い合わせください。設定をサポートします。