GroupSession ZION

【参考】

2017年09月25日時点での情報で掲載しています。

「GroupSession ZION」との認証連携を設定します。

【注意】

GroupSession ZIONがSAML認証可能なバージョンについては販売元にお問合わせください。
GroupSession ZIONがSAMLで認証するキーは「ユーザID」です。
IIJ IDサービス内のユーザ属性にGroupSession ZIONの「ログインID」と同一の値を保持しておく必要があります。

1. IIJ IDサービスにSAMLアプリケーションを登録する

1. 「アプリケーション」の「アプリケーションの管理」をクリックします。

2. 「アプリケーションを追加する」をクリックし、「カスタムアプリケーションを追加する」をクリックします。

3. 「SAMLアプリケーション」を選択し、「次に進む」をクリックします。

4. アプリケーション情報を入力し、「アプリケーションを追加する」をクリックします。

項目	内容	備考
アプリケーション名	例）GroupSession ZION	必須
アプリケーションの説明	例）エンタープライズパッケージ版グループウェア GroupSession ZION	任意
アプリケーションロゴ	（ファイルアップロード）	任意
IDプロバイダの選択	「アプリケーション専用のエンティティIDを利用」を選択	必須

2. IIJ IDサービスのIDプロバイダのメタデータを取得する

1. 作成されたアプリケーションの「編集する」をクリックします。

2. 「IDプロバイダ情報」をクリックします。

3. 表示された「SSOエンドポイントURL (Redirectバインディング)」、「エンティティID」、及び「PEM」の値を控えます。

【参考】

「PEM」の欄に記載されている内容の先頭行「-----BEGIN CERTIFICATE-----」と最終行「-----END CERTIFICATE-----」は削除してください。
また、改行を取り除き一行にして値を控えてください。
「PEM」情報は連携先サービスの該当設定ファイルに貼り付ける必要があります。

3. GroupSession ZIONにIDプロバイダ情報を登録する

【参考】

GroupSession ZIONが起動する際の認証モードを設定するファイルにSAML認証を設定する必要があります。詳しくは、GroupSession ZIONの販売元に確認してください。
以下の手順は、SAML認証が利用できる構成であることを前提に記載しています。

1. GroupSession ZIONのサーバに管理者としてログインします。

【参考】

GroupSession ZIONのSAML設定はGroupSession ZIONが動作するサーバにログインして変更作業を行う必要があります。Web UIからの設定はできません。
GroupSession ZIONが動作するTomcatの起動及び停止が可能なアカウントでログインしてください。
手順3-3で編集する「samlSetting.conf」のファイルオーナーで編集可能なアカウントでログインしてください。

2. Tomcatを停止します。

3. 「samlSetting.conf」を以下のとおり編集します。

#SPサーバ エンティティID
SAML_SP_ENTITYID=<GroupSession ZION側のSAML SPエンティティIDを設定>
#NameIDフォーマット
SAML_SP_NAMEIDFORMAT=urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
#IDプロバイダサーバURL
SAML_IDプロバイダ_ENTITYID=<2.3. の作業で確認したIIJ IDサービス側の「エンティティID」の値>
#SSOエンドポイントURL
SAML_IDプロバイダ_SSO_URL=<2.3. の作業で確認したIIJ IDサービス側の「SSOエンドポイントURL (Redirectバインディング)」の値>
#IDプロバイダサーバ証明書
SAML_IDプロバイダ_X509CERT=<2.3. の作業で確認したIIJ IDサービス側の「PEM」の値を先頭行と最終行を取り除き一行で記述>

【参考】

「samlSetting.conf」は、GroupSession ZIONのwarファイルが展開されたWEB-INF/confフォルダの内に保存されています。
GroupSession ZIONサーバが冗長構成をとるなどしている場合でも、各サーバ間での「SAML_SP_ENTITYID」の値はすべて同じ値です。
「SAML_SP_ENTITYID」の値として具体的にどのような値を設定するかはGroupSession ZIONの販売元にご確認ください。

4. Tomcatを起動します。

5. GroupSession ZIONサーバから管理者としてのアクセスを終了します。

4. GroupSession ZIONのSPメタデータを取得する

1. GroupSession ZION のWebUIに管理者としてログインします。

2. GroupSession ZIONのSPメタデータ出力用URL（<GroupSession ZIONサーバ提供URL>/saml/metadata.do）にアクセスし、表示されたSPメタデータ情報をファイルとして保存します。

【参考】

メタデータ出力用URLは、GroupSession ZIONにIDプロバイダ情報の設定が完了した後にアクセスしてください。設定の完了前にアクセスした場合は、エラー画面が表示されます。

【参考】

GroupSession ZIONのサービスを「http://zion.example.jp/zion」として提供する場合、「http://zion.example.jp/zion/saml/metadata.do」がSPメタデータ出力用URLです。
SPメタデータをファイルに保存する際には、該当URLで表示された内容をソースで表示し、そのソースをコピーしていただくことをお勧めします。

3. SPメタデータ情報を保存したファイルを表示します。「NameIDFormat」のタグが改行されていた場合、該当タグの部分にある改行やスペースをすべて削除し、1行になるように編集します。

変更箇所	<md:NameIDFormat> urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified </md:NameIDFormat>
変更後	<md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>

5. IIJ IDサービスのSAMLアプリケーションを設定する

1. 「アプリケーション」の「アプリケーションの管理」をクリックします。

2. アプリケーションの「編集する」をクリックします。

3. 「フェデレーション設定」をクリックします。

4. 以下のとおり設定し、「変更を適用する」をクリックします。

項目		内容	備考
SAML基本情報	SPのメタデータをアップロードする	「SPのメタデータをアップロードする」をチェック
	SPメタデータ	手順4-3で編集したSPメタデータをアップロード
	検証後の遷移先(RelayState)	（空欄）
	アプリケーションのトップページURL	（空欄）
	アサーションの署名アルゴリズム	例） RSA-SHA256
ユーザ識別子(NameID)の指定	関連付けるユーザ属性	例） ID	GroupSession ZIONの「ユーザID」の値が格納されている属性を指定します

【参考】

「アサーションの署名アルゴリズム」は連携先サービス側で指定などがない場合、デフォルト値の「RSA-SHA256」を選択してください。

「RSA-SHA256」を指定して動作しない場合及び連携先サービス側で明示的にそれ以外のものが指定されている場合は、「RSA-SHA512」、または「RSA-SHA1」に変更し、連携を確認してください。

【参考】

「ユーザ識別子(NameID)」の指定は、ユーザ単位ではなくSAMLアプリケーション単位でのみ設定できます。
「ユーザ識別子(NameID)」の指定した属性にユーザが値を保持していない場合は SAML連携は失敗します。
「ユーザ識別子(NameID)」にID以外の複数の値を持つ属性で指定する方法は以下のとおりです。
例として、IIJ IDサービスの各ユーザの属性「Entitlements」に以下のように値が設定されています。
- 連携先サービス側に「ユーザ識別子(NameID)」として渡す値が「iij-jiro@iij.ad.jp」の場合は、「プライマリの値を使用する」をチェックします。
- 連携先サービス側に「ユーザ識別子(NameID)」として渡す値が「iij-jiro」の場合は、「タイプと一致する値を使用する」をチェックし、タイプに「SaaS_ID」を指定します。

【注意】

「ユーザ識別子(NameID)」としてID以外の属性を指定していると、IIJ IDサービスに対する更新処理でその属性の値が更新される場合があります。ただし、その更新は連携先サービスまで伝搬されないため、IIJ IDサービス側の属性の値が更新されると、連携していたアカウントに接続できなくなります。「ユーザ識別子(NameID)」としている属性の値が更新される場合は、連携先サービス側で紐づく属性（多くの場合、ユーザID）を忘れずに更新してください。
以下の画像のように複数のタイプに「SaaS_ID」が設定されている場合、「ユーザ識別子(NameID)」に「SaaS_ID」を指定すると、サービスマニュアルに記載されているルールに基づいていずれかの単数値だけが採用されます。連携対象のサービスに管理者の意図しないアカウントがSAML連携される危険性があります。対象となる各ユーザにおいて、「ユーザ識別子(NameID)」として指定するタイプが複数個存在しないように注意してください。

5. 「利用者設定」をクリックします。

6. 「利用者を追加する」をクリックし、アプリケーションにシングルサインオンさせたいグループ及びユーザを指定します。

【参考】

利用者に登録していないユーザにもこのアプリケーションを利用させたい場合は、「アプリケーションへのログイン」の「編集」をクリックしします。

「利用者でないユーザも、アプリケーションへのログインを許可する」を選択し、「変更を適用する」をクリックします。