ドメインコントローラー委任設定

cifs委任のサービスが選択できない

統合Windows認証やSAML認証のシングルサインオンの仕組みでは、Kerberos委任によりSPN（Service Principal Name）[1]で名前解決を行ってファイルサーバーに接続できるようにします。

DNSエイリアス（CNAMEレコード）をホスト名としてファイルサーバーに接続している環境では、ドメインコントローラーのcifs委任設定でAレコードに対応するSPN（CIFS/実際のコンピューター名）は選択肢に表示されますが、CNAMEレコードに対応するSPN（CIFS/CNAME名）は自動表示されないため、SPNの手動登録が必要です。

Tip

SPNの登録はsetspnコマンドで行います。

setspn -A HOST/<DNSエイリアス> <ファイルサーバーのコンピュータアカウント名>

コマンド実行例

下表の環境例を対象としたsetspnコマンドの実行例です。

ドキュメントルート	ホスト名（Alias/CNAME）	実際のコンピューター名（Aレコード）
\\PHENIX\robita	PHENIX	SARUTASV01.nipponmyth.com

setspnコマンドを実行します。（念のため2行を実行します）

setspn -A HOST/PHENIX SARUTASV01
setspn -A HOST/PHENIX SARUTASV01.nipponmyth.com

コマンド実行すると次のように出力されます。

C:\Users\Administrator>setspn -A HOST/PHENIX SARUTASV01
ドメイン DC=xxx,DC=xxx を確認しています

CN=SARUTASV01,CN=Computers,DC=xxx,DC=xxx の ServicePrincipalNames を登録しています
        HOST/PHENIX

SPN登録の結果はコマンドsetspn -Lで確認できます。

C:\Users\Administrator>setspn -L 
次の項目に登録されている CN=SARUTASV01,CN=Computers,DC=xxx,DC=xxx:
        HOST/PHENIX
        HOST/PHENIX.dc.nspc.nipponmyth.com
        ...
        ...

HOST/PHENIXで始まる行が追加されていれば登録成功です。

ドメインコントローラー委任設定の［サービスの追加］ダイアログで、CNAMEレコードのPHENIXが選択できるようになります。

Kerberos委任に非対応のファイルサーバー

ファイルサーバーがKerberos委任に非対応の場合、ドメインコントローラーでの委任設定をしてもFileBlogで対象ファイルサーバーに接続することはできません。

その場合、ドメインコントローラーとのKerberos委任認証後に、自動でID/パスワードによるフォーム認証によるログインした状態に昇格させ、ファイルサーバーと接続認証する仕組みを有効化することで、実質的にシングルサインオンの運用ができるようになります。

重要

FileBlogサーバーにユーザーID/パスワードが登録されます。（難読化して保持します）
統合Windows認証またはSAML認証の有効化が必要です。

フォームログイン認証の昇格

［管理ツール > 設定全般 > WEBサーバー > 認証 > 統合Windows認証］を選択します。
［WebServer/Authentication/Windows/RequirePostLoginElevation］を選択し、チェックを入れて有効化します。
［WebServer/Authentication/Windows/ElevationPasswordRetentionTime］を選択して昇格用パスワードを保持する期間を指定します。
［保存する］を選択してサービスを再起動します。
初回の統合Windows認証（またはSAML認証）に成功後、パスワード入力が求められます。
- ここで入力したパスワードはFileBlogのデータベースに暗号化されて保存されます。
- 以降はパスワード入力なしにシングルサインオンになります。
- ［ElevationPasswordRetentionTime］の指定期間が過ぎると登録情報は破棄されて、次回の接続時に再びパスワード入力が求められます。
- パスワード入力画面には任意の情報（説明など）を表示させることもできます。