SAML認証

用語

FileBlogのSAML連携機能の使用には2つの要件を満たすことが必要です。

Active Directoryドメインの環境でFileBlogサーバーがドメイン参加している。
- FileBlogサーバーのネットワークドライブを検索対象にする場合、Active Directoryサーバーで委任許可の設定が必要です。
- Active Directoryに登録されているユーザーアカウントでFileBlogにログインできることが必要です。
Active Directoryのユーザーアカウントと一致する情報が、SAML認証を提供するIdP側に登録されている。

ドキュメントルートフォルダがネットワークのファイルサーバーである場合、ログインユーザーの代理でCIFSサービスを利用するための委任設定が必要です。

ドキュメントルートフォルダがFileBlogサーバーのローカルフォルダの場合は設定不要です。

設定方法については統合Windows認証の［Active Directoryサーバーの設定］欄を参照してください。

委任設定では、「任意の認証プロトコルを使う」を選択します。「Kerberosのみを使う」は選択しません。

［enabled］にチェックを入れます。
［EntityId］にFileBlogに接続するURLを指定します。
```
例） https://servername.domain.jp/fileblog/
```
- ユーザーが接続可能なURLを指定します。
- servername.domain.jpの部分はピリオドを含まない単一ホスト名またはIPアドレスでもかまいません。
- URLの末尾は/fileblog/にします。（末尾の / を必ず含めてください）
- プロトコルは HTTP または HTTPS のいずれでもかまいません。
  - なおIdpによってはHTTPSが有効なSpでないと連携できない仕様の場合があります。
  - HTTPSにするにはサーバー証明書の設定が別途必要です。
［保存する］を選択してサービスを再起動します。
再起動後にWEBブラウザで［EntityId］に指定したURLに/samlを足したURLに接続します。
- Sp側のメタデータファイル（xml形式）がダウンロードされます。
```
例） https://servername.domain.jp/fileblog/saml
```

Idpの設定方法に従ってSpから取得したメタデータファイル（xml形式）をインポートします。
- Idpによってはメタデータのインポート機能が備わっていません。その場合は手入力で各情報を設定してください。
- 必要な情報はメタデータファイルに記載されています。
設定の完了後、Idpのメタデータファイル（XML形式）をエクスポート（ダウンロード）します。

［EntityId］に指定したURLに接続します。
SAML認証フロー（シングルサインオン）を経てFileBlogのトップ画面が表示されれば成功です。
- FileBlogにログインが成功してもドキュメントルートフォルダが表示されない場合は、Active Directoryの委任設定まわりに原因があることが多いです。

運用環境に応じて設定を行ってください。SAML認証を成功させるために必須の設定ではありません。

UpnTemplate

$(resource)@contso.local

NameIdFormat

Certificate

次の動作を実現するにはSp側にX509形式の証明書が必要です。証明書は自己証明書で機能しますがIdp側の仕様に依存します。

公開鍵はメタデータで公開され、秘密鍵は復号化/署名に使用されます。

PublicOrigin

ロードバランサーまたはリバースプロキシを使用する場合、HTTPリクエストのOriginがEntityId設定値のとおりにならないでSAML認証に失敗する可能性があります。このような場合にはPublicOriginをEntityIdと同じ値に設定して下さい。

AuthenticateRequestSigningBehavior

SpからIdpへのSAMLリクエスト（AuthnRequest）の署名動作を設定します。［Certificate］にて証明書を設定しているのに、AuthnRequestに署名が埋め込まれない(Idpから署名が不足していると拒絶された場合)、Alwaysに設定することで改善が期待できます。

IfIdpWantAuthnRequestsSigned：idpのmetadataにWantAuthnRequestsがtrueに設定されている場合に限り、AuthnRequestsに署名します。(既定値)
Always：常にすべてのAuthnRequestに署名します
Never：AuthnRequestに署名することはありません

LogonScript

Idpとの認証（ハンドシェイク）に成功後、Windowsへシングルサインオンする直前に実行されるスクリプトのパス（物理パス）です。原則として設定不要です。

フォーム認証（ID/パスワード入力）を制限するとSAML認証でのみFileBlogにログインできるようになります。（SAML認証設定が完了してから必要に応じて設定してください）

SAML認証設定の成功前にフォーム認証を制限すると、SAML認証設定が首尾よく動作しない場合にFileBlogにログインできなくなってしまいます。（ログイン方法がなくなってしまいます）

そのようなことに陥った場合には、SAML認証を解除してフォーム認証を許可してください。