ADFSのSAML連携

ADFSのSAML連携

Active Directoryフェデレーションサービス（ADFS）は、Microsoftが開発したシングルサインオンソリューションです。ADFSは、Active Directory（AD）とターゲットアプリケーションの間でホストされているプロキシサービスを介して認証を管理します。
ADFSから［ログインURL］、［ログアウトURL］、［証明書］を入手する必要があります。 
  1. ADFS 3.0サーバーにログインして、［管理コンソール］を開きます。
  2. 左ペインのメニューから［サービス］を右クリックし、［フェデレーションサービスのプロパティの編集］を選択します。
  3. ［全般］で、DNSエントリーと証明書名が正しいことを確認します。
  4. フェデレーションサービス 名を使用して、ブラウザーで「 https://federationservicename.com/federationMetaData/2007-06/FederationMetaData.xml 」にアクセスします。
    例：
    https://yourdomain.samlportal.com/federationMetaData/2007-06/FederationMetaData.xml
    ［ログインURL］および［ログアウトURL］は、XMLファイル内に「SingleSignOnService」と「SingleLogoutService」のタグとして含まれています
  5. トークン署名証明書をエクスポートします。 
    1. 左側のメニューの［証明書］を右クリックし、［証明書の表示］をクリックします。 



    2. ［詳細］タブを選択します。 
    3. ［ファイルにコピー］をクリックします。証明書のエクスポートウィザードが開きます。 



    4. ［次へ］をクリックします。 ［いいえ、秘密キーをエクスポートしません］オプションが選択されていることを確認し、［次へ］をクリックします。 
    5. ［Base 64 encoded X.509（.cer）］を選択し、［次へ］をクリックします。 



    6. ファイルの保存場所を選択して、名前を付けます。［次へ］をクリックします。 
    7. ［完了］を選択します。インスタンスの証明書は、「.cer」または「.pem」の形式である必要があります。 
  6. Zohoで、シングルサインオンURLとエンティティID URLを 設定 します。

ADFSでのメタデータの送信

証明書利用者信頼の追加

  1.   左側のメニューの［信頼関係］の下にある［証明書利用者信頼］を右クリックし、［証明書利用者信頼の追加］を選択します。［証明書利用者信頼の追加］ウィザードが開きます。 



  2. ［データソースの選択］画面で、［証明書利用者についてのデータを手動で入力する］を選択します。 
  3. ［表示名の指定］画面で、表示名として「zoho.com」と入力します。 
  4. ［プロファイルの選択］画面で、［AD FSプロファイル］を選択します。 
  5. ［URLの設定］画面で、 ［SAML 2.0 WebSSOプロトコルのサポートを有効化］チェックボックスをオンにします。
  6. Zohoからダウンロードしたメタデータに含まれる［ACS URL］（AssertionConsumerService URL）を、［サービスURL］テキストボックスに入力します。 



  7. ［識別子の設定］画面で、［証明書利用者信頼の識別子］として［zoho.com］を選択します。 
  8. ［今すぐ多要素認証を構成する］画面で、［この証明書利用者の信頼に対して多要素認証を構成しない］を選択します。 
  9. ［発行承認規則の選択］画面で、［すべてのユーザーにこの証明書利用者へのアクセスを許可する］ラジオボタンを選択します。 
  10. ウィザードには、次の2つの画面での設定の概要が表示されます。最後の画面で［閉じる］ボタンをクリックして終了し、［要求規則］エディターを開きます。 


要求規則の作成

証明書利用者の信頼を作成すると、要求規則を作成できます。初期設定では、信頼を作成すると、要求規則エディターが開きます。

  1. 新しいルールを作成するには、［ルールの追加］をクリックします。［変換要求規則の追加］ウィザードが起動します。 



  2. ［規則の種類の選択］画面で、ドロップダウンメニューの［要求としてLDAP属性を送信］を選択します。［次へ］をクリックします。
  3. ［要求規則の構成］画面で、次の手順を実行します：
    1. ［要求規則名］を入力します。
    2. ［属性ストア］のドロップダウンメニューから、［Active Directory］を選択します。 
    3. ［LDAP属性］列で、ドロップダウンメニューから［メールアドレス］を選択します。 
    4. ［送信要求の種類］列で、ドロップダウンメニューから［メールアドレス］を選択します。 
  4. ［完了］をクリックして、規則を保存します。



  5. 別の要求規則を作成して、［受信要求の変換］テンプレートを選択します。
  6. ［要求規則の構成］画面で、次の手順を実行します：
    1. ［要求規則名］を入力します。
    2. ［受信要求の種類］として、ドロップダウンメニューから［メールアドレス］を選択します。 
    3. ［送信要求の種類］として、ドロップダウンメニューから［名前ID］を選択します。 
    4. ［送信名IDの形式］として、［メール］を選択します。 
  7. ［すべての要求の値をパススルーする］ラジオボタンを選択します。
  8. ［完了］をクリックして、要求規則を作成します。



  9. Zohoで［ログアウトレスポンスが必要ですか？］を選択した場合： 
    1. Zoho Accountsの［SAML認証］ページで、ログアウト証明書をダウンロードします。
    2. ［信頼関係］の下の［証明書利用者］に移動し、［zoho.com］を選択します。 
    3. 上部ナビゲーションバーの［エンドポイント］に移動し、［追加］をクリックします。 
    4. ［エンドポイントの種類］を、［SAMLログアウト］として選択します。 
    5. Zohoアカウントからダウンロードしたメタデータファイルから生成されたログアウトURLを入力します。
    6. 上部ナビゲーションバーの［署名］に移動し、［追加］をクリックします。 
    7. ［ログアウト証明書］をアップロードします。 
    8. 上部ナビゲーションバーの［詳細設定］に移動します。 
    9. ［セキュアハッシュアルゴリズム］を［SHA-256］として選択します。