Secioss Identity Suite Cloud Edition SaaS導入
Secioss Identity Suite Cloud Editionは、クラウドコンピューティング環境においてSAML 2.0によるシングルサインオンやSOAP通信によるアカウント同期をサイト間で実現するソフトウェアです。
Secioss Identity Suite Cloud Edition（以降Identity Suite Cloudとします）をSaaS型のアプリケーションに導入することで、アプリケーションに対して以下の機能を簡単に追加することできます。
シングルサインオン
SAMLのService Providerとして動作し、SAMLによるシングルサインオンを行います。SaaSアプリケーションはIdentity Suite Cloudの代理認証機能により簡単にSAML認証機能を組み込むことができます。
アカウント同期
アプリケーションのアカウント管理用SOAP APIを提供し、SOAP経由でのアカウント管理やSaaS間でのアカウント同期を実現します。Identity Suite Cloudは、SOAP APIで受け付けた更新要求を、LISMによりSaaSアプリケーションのデータベースへ反映します。
今回はSaaSアプリケーションにIdentity Suite CloudをSaaSアプリケーションに導入して、動作検証を行うための方法について解説します。
オープンソースプロジェクト
Identity Suite Cloudについては、オープンソースソフトウェアとしてGPLライセンスにより公開しています。
・プロジェクトサイト：http://sourceforge.jp/projects/secioss-auth/
・メーリングリスト：http://lists.sourceforge.jp/mailman/listinfo/secioss-auth-users
1. インストール
Identity Suite Cloud SPの推奨環境は以下になります。
・OS： CentOS 5、RedHat Enterprise Linux 5
・Webサーバ： Apache 2.2
今回のインストール環境としては、LinuxのCentOS 5を想定しています。
1.1 必要なソフトウェアのインストール
# yum install libtool-ltdl
# yum install perl-LDAP
# yum install perl-DBI
# yum install perl-DBD-Pg
# yum install perl-XML-LibXML
# yum install perl-XML-Simple
# yum install perl-TimeDate
# yum install php-pear
# yum install php-xml
# yum install php-soap
1.2 Identity Suite Cloud SP
http://sourceforge.jp/projects/secioss-auth/releases/からsecioss-idsuite-cloud-sp-2.0.x.tgzをダウンロードして下さい。
secioss-idsuite-cloud-spパッケージをインストールします。
# tar zxvf secioss-idsuite-cloud-sp-2.0.x.tgz
# cd secioss-idsuite-cloud-sp-2.0.x
# ./install.sh install
また、パッケージをアップデートする場合は、以下のコマンドを実行して下さい。
# ./install.sh update
1.3 ログの設定
シングルサインオンとID同期のログは、それぞれsyslogのlocal5、local4に出力します。
/etc/syslog.confに以下の設定を追記して、syslogデーモンを再起動して下さい。
local5.* -/var/log/auth.log
local4.* -/var/log/lism.log
2. シングルサインオン
2.1 SAML認証の設定
SAML認証（SP）の設定を行うには、以下のスクリプトを実行して下さい。
# ./config.sh sso
アプリケーションのURL： シングルサインオン対象のアプリケーションのURL
セッションのクッキー名： アプリケーションのセッションを保持するクッキー名
次にSAML認証用の秘密鍵と公開鍵を作成します。
以下はOpenSSLによる秘密鍵と公開鍵の作成手順です。
�� 秘密鍵を作成します。
# cd /etc/pki/tls/certs
# make test.key
秘密鍵からパスワードを削除します。
# openssl rsa -in test.key -out test.key
�� 公開鍵を作成します。
# make test.crt
Country Name (2 letter code) [GB]:JP ← 国名
State or Province Name (full name) [Berkshire]:Tokyo ← 都道府県名
Locality Name (eg, city) [Newbury]:Bunkyo ← 市区町村名
Organization Name (eg, company) [My Company Ltd]:TEST, Inc ← 会社名
Organizational Unit Name (eg, section) []: ← 空ENTER
Common Name (eg, your name or your server's hostname) []:sp.test.co.jp ← ホスト名
Email Address []:admin@test.co.jp ← 管理者メールアドレス
秘密鍵は、"/usr/share/simplesamlphp/cert/PrivateKey.pem"にコピーして、所有者をapacheに設定して下さい。
# chown apache /usr/share/simplesamlphp/cert/PrivateKey.pem
公開鍵は、idsuite@secioss.co.jp宛に以下の内容とともにメールで送信して、認証サーバに対する接続確認の申請を行います。
・氏名
・会社名
・ドメイン名（テナントIDになります）
・アプリケーションのURL（例： https://sp.example.com/app/）
・アプリケーション名（英数字のみ 例： SugarCRM）
・アプリケーションにログインするIDの形式（ユーザID、またはメールアドレス）
・管理者アカウント名（英数字のみ）
・パスワード（任意）
・使用目的
最後にApacheを再起動して下さい。
# /etc/init.d/httpd restart
2.2 代理認証の設定
アプリケーションに自動でログインするための設定を行います。
設定ファイルは、"/var/www/conf/<アプリケーション名（全て小文字）>.ini"として作成して下さい。
以下はSugarCRM用の設定例です。
[url]
login = "https://sp.example.com/SugarCE/index.php?action=Login&module=Users"
back = "/SugarCE/"
[postName]
username = user_name
password = user_password
[postData]
module = Users
action = Authenticate
return_module = Users
return_action = Login
cant_login = ""
login_module = ""
login_action = ""
login_record = ""
login_theme = Sugar
login_language = ja
login_button = " ログイン "
|
url |
login |
ログインするアプリケーションのURL |
|
back |
ログイン後に表示する画面のURL |
|
|
postName |
username |
ログイン時にPOSTするユーザ名の変数名 |
|
password |
ログイン時にPOSTするパスワードの変数名 |
[postData]には、POSTするデータの変数名と値の組み合わせを設定して下さい。
2.3 シングルサインオンの確認
"<アプリケーションのURL>/sso/autologin.php?sso_app=<2.2項のアプリケーション名>"にアクセスして、シングルサインオンすることを確認して下さい。
3. ID同期
3.1 ID同期の設定
Identity Suite Cloudは、LISMによって定期的にSeciosLinkから更新データを取得し、アプリケーションのデータベースやLDAPのアカウントを更新します。
最初に、以下のスクリプトを実行して下さい。
# ./config.sh idm
テナントID： SeciossLinkのテナントID
サービスID： 2.3項のサービスID（テナントIDは除く）
管理者アカウント名： SeciossLinkの管理者アカウント名
管理者パスワード： 管理者アカウントのパスワード
ユーザIDの属性 [1.ユーザID|2.ユーザID@テナントID|3.メールアドレス|4.社員番号|5.サービス個別のログインID]： ID同期対象のアプリケーションのユーザIDに使用する属性を番号で指定
LISMの設定ファイルlism.confには、更新対象のデータベース、またはLDAPの設定を行います。
LISMの設定方法については、LISMのサイトをご覧下さい。
SugarCRMを例としてLISMの設定を例示します。
lism.conf
<config>
<sync>
<data name="SP">
<object name="User">
<syncdn>ou=People</syncdn>
<syncfilter>(&(!(seciossAccountStatus=deleted))(&(seciossAllowedService=sp01)(objectClass=inetOrgPerson)))</syncfilter>
<syncattr>
<name>sn</name>
</syncattr>
<syncattr>
<name>givenName</name>
</syncattr>
<syncattr>
<name>sn;lang-ja;phonetic</name>
</syncattr>
<syncattr>
<name>givenName;lang-ja;phonetic</name>
</syncattr>
<syncattr>
<name>mail</name>
</syncattr>
</object>
</data>
</sync>
<data name="SP">
<container>
<oc>organizationalUnit</oc>
<rdn>o=SP</rdn>
</container>
<handler name="Rewrite">
<rewrite context="request" match="createtimestamp: *([0-9]{4})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})Z" substitution="createtimestamp: %1-%2-%3 %4:%5:%6"/>
<rewrite context="searchResult" match="createtimestamp: *([0-9]{4})-([0-9]{2})-([0-9]{2}) ([0-9]{2}):([0-9]{2}):([0-9]{2})" substitution="createtimestamp: %1%2%3%4%5%6Z"/>
<rewrite context="request" match="modifytimestamp: *([0-9]{4})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})Z" substitution="modifytimestamp: %1-%2-%3 %4:%5:%6"/>
<rewrite context="searchResult" match="modifytimestamp: *([0-9]{4})-([0-9]{2})-([0-9]{2}) ([0-9]{2}):([0-9]{2}):([0-9]{2})" substitution="modifytimestamp: %1%2%3%4%5%6Z"/>
</handler>
<storage name="SQL" hash="MD5:hex">
<libload>LISM/Utils/lism_util.pl</libload>
<libload>LISM/Utils/lism_sugarcrm.pl</libload>
<dsn>DBI:mysql:sugarcrm:localhost</dsn>
<admin>admin</admin>
<passwd>secret</passwd>
<initquery>set names utf8</initquery>
<noop>delete</noop>
<object name="User">
<container>
<rdn>ou=People</rdn>
<oc>organizationalUnit</oc>
</container>
<table>users</table>
<id>
<column>id</column>
</id>
<oc>Person</oc>
<oc>inetOrgPerson</oc>
<oc>seciossIamAccount</oc>
<rdn>uid</rdn>
<attr name="uid">
<column>user_name</column>
</attr>
<attr name="cn">
<selexpr>ifnull(concat(last_name, ' ', first_name), last_name)</selexpr>
</attr>
<attr name="sn">
<column>last_name</column>
</attr>
<attr name="givenname">
<column>first_name</column>
</attr>
<attr name="title">
<column>title</column>
</attr>
<attr name="department">
<column>department</column>
</attr>
<attr name="userpassword">
<column>user_hash</column>
</attr>
<attr name="homephone">
<column>phone_home</column>
</attr>
<attr name="telephonenumber">
<column>phone_work</column>
</attr>
<attr name="mobile">
<column>phone_mobile</column>
</attr>
<attr name="facsimiletelephonenumber">
<column>phone_fax</column>
</attr>
<attr name="ipphone">
<column>phone_other</column>
</attr>
<attr name="street">
<column>address_street</column>
</attr>
<attr name="l">
<column>address_city</column>
</attr>
<attr name="st">
<column>address_state</column>
</attr>
<attr name="c">
<column>address_country</column>
</attr>
<attr name="postalcode">
<column>address_postalcode</column>
</attr>
<attr name="createtimestamp">
<column>date_entered</column>
</attr>
<attr name="modifytimestamp">
<column>date_modified</column>
</attr>
<attr name="description">
<column>description</column>
</attr>
<attr name="mail">
<selexpr>email_address</selexpr>
<fromtbls>email_addresses,email_addr_bean_rel</fromtbls>
<joinwhere>email_addr_bean_rel.bean_id = users.id and email_addr_bean_rel.email_address_id = email_addresses.id</joinwhere>
<addproc>insert into email_addresses values('%{createGuid()}', '%a', upper('%a'), 0, 0, now(), now(), 0)</addproc>
<addproc>set @paddr=if((select count(*) from email_addr_bean_rel where bean_id = '%o'), 0, 1)</addproc>
<addproc>insert into email_addr_bean_rel values('%{createGuid()}', (select id from email_addresses where email_addr
ess = '%a'), '%o', 'Users', @paddr, if(@paddr, 0, 1), now(), now(), 0)</addproc>
<delproc>set @mailid=(select id from email_addresses where email_address = '%a' and id in (select email_address_id from email_addr_bean_rel where bean_id = '%o'))</delproc>
<delproc>delete from email_addresses where id = @mailid</delproc>
<delproc>delete from email_addr_bean_rel where bean_id = '%o' and email_address_id = @mailid</delproc>
</attr>
<attr name="manager">
<oname>User</oname>
<where>id = (select reports_to_id from users where id = '%o')</where>
<addproc>update users set reports_to_id = '%a' where id = '%o'</addproc>
<delproc>update users set reports_to_id = null where id = '%o'</delproc>
</attr>
<strginfo>
<column>id</column>
<value type="function">createGuid()</value>
</strginfo>
<strginfo>
<column>status</column>
<value type="constant">Active</value>
<delproc>update users set status = 'Inactive' where id = '%o'</delproc>
</strginfo>
<strginfo>
<addproc>insert into user_preferences values('%{createGuid()}', 'global', 0, now(), now(), '%o', '%{encode_base64(getFileContents("/opt/secioss/etc/sugarcrm-userpref.txt"), "")}')</addproc>
</strginfo>
</object>
</storage>
</data>
</config>
設定の確認は、LISMサーバのデーモンを起動して、データの検索や更新をLISMに対して実行して下さい。
デーモンを起動する場合は、一時的に"<oc>seciossIamAccount</oc>"の行をコメントアウトして下さい。
# cp /opt/secioss/etc/openldap/slapd.conf.lism /opt/secioss/etc/openldap/slapd.conf
# /opt/secioss/sbin/slapd -h ldap://:3890 -u ldap -d256
# ldapseach -H ldap://:3890 -b 'dc=lism,dc=com' # 検索の場合
3.2 ID同期の確認
https://slink.secioss.com/tenantadmin/にアクセスして、管理者アカウントでログインします。
左側メニューのリンクからID管理にアクセスして下さい。
ユーザの”新規登録”をクリックして、新規登録画面から、許可するサービスに自身のアプリケーションを選択して、登録を行います。
新規登録の正常終了後、ユーザの検索メニューの”システム”から自身のアプリケーションを選択して、検索を実行して下さい。登録したユーザが検索結果に表示されれば、アプリケーションへ正常にユーザが同期されています。
正常に同期されていない場合は、上部のメニューのログをクリックして、ID管理のログを検索してエラーメッセージを確認して下さい。
- 記事の詳細はこちら
- by
- at 23:55
- Trackbacks (0)
