Secioss Identity Suite Cloud Edition SP Windows版
Secioss Identity Suite Cloud Editionは、クラウドコンピューティング環境においてSAML 2.0によるシングルサインオンやSOAP通信によるアカウント同期をサイト間で実現するソフトウェアです。
Secioss Identity Suite Cloud Edition（以降Identity Suite Cloudとします）をアプリケーションに導入することで、アプリケーションに対して以下の機能を簡単に追加することできます。
シングルサインオン
SAMLのService Providerとして動作し、SAMLによるシングルサインオンを行います。アプリケーションはIdentity Suite Cloudの代理認証機能により簡単にSAML認証機能を組み込むことができます。
ID同期
アプリケーションのID管理用SOAP APIを提供し、SOAP経由でのID管理やサイト間でのID同期を実現します。Identity Suite Cloudは、定期的にSOAP APIで更新データを取得し、LISMによりアプリケーションのデータベースへ反映します。
オープンソースプロジェクト
Identity Suite Cloudについては、オープンソースソフトウェアとしてGPLライセンスにより公開しています。
・プロジェクトサイト：http://sourceforge.jp/projects/secioss-auth/
・メーリングリスト：http://lists.sourceforge.jp/mailman/listinfo/secioss-auth-users
1. インストール
Identity Suite Cloud SPをWindows環境にインストールする方法について、解説します。
Identity Suite Cloud SPの推奨環境は以下になります。
・OS： Windows Server 2003以降
・Webサーバ： IIS 6以降
今回のインストール環境としては、Windows Server 2008を想定しています。
シングルサインオンの認証サーバ、統合ID管理サーバは、弊社SaaSサービスSeciossLinkを想定しています。
1.1 ActivePerlのインストール
ActivePerlをhttp://www.activestate.com/activeperl/downloads/からダウンロードして、インストールして下さい。 また、合わせてIISでPerlのCGIが使用できるように設定しておいて下さい。
次に、以下のPerlモジュールをコマンドプロンプトからインストールして下さい。
Config-General、Config-IniFiles、Log-Dispatch、Log-Dispatch-FileRotate、Class-Inspector、DBD-mysql
ppm install <パッケージ名
1.2 PHPのインストール
http://www.php.net/downloads.phpからPHPのWindows binary zipファイルをダウンロードして、インストールして下さい。
PHPのExtensionとして、以下のモジュールをインストールして下さい。
・ php_openssl.dll
1.3 Secioss Identity Suite Cloud Edition SP
secioss-idsuite-cloud-sp-win-3.x.x.zipを展開して、optフォルダをC:\optとして配置します。
次にC:\optの[プロパティ]->[セキュリティ]から、IUSR（Windows 2003 ServerではIUSR_<マシン名>）、Usersに対してアクセス許可を与えます。
さらに、以下のフォルダにはIUSR、Usersに対してフルコントロールのアクセス許可を与えます。
・ C:\opt\secioss\share\simplesamlphp\log
・ C:\opt\secioss\var\log
1.4 IISマネージャの設定
使用するソフトウェアについて以下のように仮想ディレクトリを設定します。
SAML エイリアス：<アプリケーションURLのパス>/saml パス：C:\opt\secioss\share\simplesamlphp\www
代理認証 エイリアス： <アプリケーションURLのパス>/sso パス： C:\opt\secioss\var\www\sso
※ アプリケーションURLのパスは、シングルサインオン対象のアプリケーションのURLのうちのパス部分です。
例： URL: https://sp.example.com/SugarCE/index.php パス: /SugarCE
2. シングルサインオン
2.1 SAML認証の設定
"C:\opt\secioss\share\simplesamlphp\config\config.php"の'baseurlpath'をIISで設定したSAMLのエイリアスに、 'default-saml20-idp'を"<認証サーバのURL>/<テナントID>"（例： https://slink.secioss.com/secioss.co.jp）に、SESSIONNAMEをアプリケーションのセッションクッキー名に変更して下さい。
"C:\opt\secioss\share\simplesamlphp\metadata\saml20-idp-remote.php"の'SingleSignOnService'、'SingleLogoutService'のホスト名を認証サーバのホスト名にに変更して下さい。
また、以下の値を"<認証サーバのURL>/<テナントID>"に変更して下さい。
'https://slink.secioss.com' => array(
次に、"C:\opt\secioss\share\simplesamlphp\metadata\saml20-sp-hosted.php"の"https://sp.example.com/path"をシングルサインオンを行うアプリケーションのURL（URLはパスまでとして、ファイル名の部分は含めないで下さい）に変更して下さい。
次に、認証サーバの公開鍵"<認証サーバのホスト名>/public/PublicKey-idp.pem"をダウンロードして、以下の場所に"C:\opt\secioss\share\simplesamlphp\cert"に置いて下さい。
次にSAML認証用の秘密鍵と公開鍵を作成します。
以下はLinux上でOpenSSLによる秘密鍵と公開鍵の作成手順です。
�� 秘密鍵を作成します。
# cd /etc/pki/tls/certs
# make test.key
秘密鍵からパスワードを削除します。
# openssl rsa -in test.key -out test.key
�� 公開鍵を作成します。
# make test.crt
Country Name (2 letter code) [GB]:JP ← 国名
State or Province Name (full name) [Berkshire]:Tokyo ← 都道府県名
Locality Name (eg, city) [Newbury]:Bunkyo ← 市区町村名
Organization Name (eg, company) [My Company Ltd]:TEST, Inc ← 会社名
Organizational Unit Name (eg, section) []: ← 空ENTER
Common Name (eg, your name or your server's hostname) []:sp.test.co.jp ← ホスト名
Email Address []:admin@test.co.jp ← 管理者メールアドレス
秘密鍵は、"C:\opt\secioss\share\simplesamlphp\cert\PrivateKey.pem"にコピーして下さい。
2.2 代理認証の設定
アプリケーションに自動でログインするための設定を行います。
設定ファイルは、"C:\opt\secioss\var\www\conf\<アプリケーション名（全て小文字）>.ini"として作成して下さい。
以下はSugarCRM用の設定例です。
[url]
login = "https://sp.example.com/SugarCE/index.php?action=Login&module=Users"
back = "/SugarCE/"
[postName]
username = user_name
password = user_password
[postData]
module = Users
action = Authenticate
return_module = Users
return_action = Login
cant_login = ""
login_module = ""
login_action = ""
login_record = ""
login_theme = Sugar
login_language = ja
login_button = " ログイン "
|
url |
login |
ログインするアプリケーションのURL |
|
back |
ログイン後に表示する画面のURL |
|
|
postName |
username |
ログイン時にPOSTするユーザ名の変数名 |
|
password |
ログイン時にPOSTするパスワードの変数名 |
[postData]には、POSTするデータの変数名と値の組み合わせを設定して下さい。
2.3 認証サーバの設定
https://<認証サーバのホスト名>/tenantadmin/にアクセスして、管理者アカウントでログインします。
画面上部のシングルサインオンをクリックしから、左側メニューの”SAML サービスプロバイダ”をクリックして下さい。
”新規登録”をクリックして、SPの設定を登録します。
・サービス： サービスIDを選択して下さい。
・サービス名： SPのサービス名（任意の値）を設定して下さい。
・URL： 2.1項で設定したアプリケーションのURLを設定して下さい。
・ユーザIDの属性： SPに渡すユーザIDの属性を選択して下さい。
・暗号化用公開鍵： 2.1項で作成した公開鍵を登録して下さい。
3. ID同期
3.1 ID同期の設定
Identity Suite Cloudは、LISMによって定期的に統合ID管理サーバから更新データを取得し、アプリケーションのデータベースやLDAPのアカウントを更新します。
最初に、"C:\opt\secioss\etc\lism-sp.confの以下の値を環境に合わせて変更して下さい。
・slink.secioss.com： 統合ID管理サーバのホスト名
・TENANTID： テナントID
・SERVICEID： 2.3項のサービスID（テナントIDは除く）
・ADMINID： 統合ID管理サーバに接続する管理者アカウント名
・ADMINPW： 管理者アカウントのパスワード
また、ID同期対象のアプリケーションのユーザIDに使用する属性に合わせて、以下の変更を行って下さい。
・ユーザID： "<!-- id ... -->"のコメントアウトを外してください。
・ユーザID@テナントID： 変更する必要はありません。
・メールアドレス： "<!-- attribute ... -->"のコメントアウトを外して、ATTRIBUTEをmailに変更して下さい。
・社員番号： "<!-- attribute ... -->"のコメントアウトを外して、ATTRIBUTEをemployeeNumberに変更して下さい。
・サービス個別のログインID： "<!-- attribute ... -->"のコメントアウトを外して、ATTRIBUTEをseciossLoginId;x-sys-<サービスID>@<テナントID>
LISMの設定ファイル/opt/secioss/etc/lism.confに、更新対象のデータベースの設定を行います。
LISMの設定方法については、LISMのサイトをご覧下さい。
SugarCRMを例としてLISMの設定を例示します。
lism.conf
<config>
<sync>
<data name="SP">
<object name="User">
<syncdn>ou=People</syncdn>
<syncfilter>(&(!(seciossAccountStatus=deleted))(&(objectClass=inetOrgPerson)(|(seciossAllowedService=sugarcrm-secioss.co.jp)(seciossAllowedService;x-perm-group=sugarcrm-secioss.co.jp))))</syncfilter>
<syncattr>
<name>sn</name>
</syncattr>
<syncattr>
<name>givenName</name>
</syncattr>
<syncattr>
<name>sn;lang-ja;phonetic</name>
</syncattr>
<syncattr>
<name>givenName;lang-ja;phonetic</name>
</syncattr>
</object>
</data>
</sync>
<data name="SP">
<container>
<oc>organizationalUnit</oc>
<rdn>o=SP</rdn>
</container>
<handler name="Rewrite">
<rewrite context="request" match="createtimestamp: *([0-9]{4})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})Z" substitution="createtimestamp: %1-%2-%3 %4:%5:%6"/>
<rewrite context="searchResult" match="createtimestamp: *([0-9]{4})-([0-9]{2})-([0-9]{2}) ([0-9]{2}):([0-9]{2}):([0-9]{2})" substitution="createtimestamp: %1%2%3%4%5%6Z"/>
<rewrite context="request" match="modifytimestamp: *([0-9]{4})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})([0-9]{2})Z" substitution="modifytimestamp: %1-%2-%3 %4:%5:%6"/>
<rewrite context="searchResult" match="modifytimestamp: *([0-9]{4})-([0-9]{2})-([0-9]{2}) ([0-9]{2}):([0-9]{2}):([0-9]{2})" substitution="modifytimestamp: %1%2%3%4%5%6Z"/>
</handler>
<storage name="SQL" hash="MD5:hex">
<libload>LISM/Utils/lism_util.pl</libload>
<libload>LISM/Utils/lism_sugarcrm.pl</libload>
<dsn>DBI:mysql:sugarcrm:localhost</dsn>
<admin>admin</admin>
<passwd>secret</passwd>
<initquery>set names utf8</initquery>
<noop>delete</noop>
<object name="User">
<container>
<rdn>ou=People</rdn>
<oc>organizationalUnit</oc>
</container>
<table>users</table>
<id>
<column>id</column>
</id>
<oc>Person</oc>
<oc>inetOrgPerson</oc>
<oc>seciossIamAccount</oc>
<rdn>uid</rdn>
<attr name="uid">
<column>user_name</column>
</attr>
<attr name="cn">
<selexpr>ifnull(concat(last_name, ' ', first_name), last_name)</selexpr>
</attr>
<attr name="sn">
<column>last_name</column>
</attr>
<attr name="givenname">
<column>first_name</column>
</attr>
<attr name="title">
<column>title</column>
</attr>
<attr name="department">
<column>department</column>
</attr>
<attr name="userpassword">
<column>user_hash</column>
</attr>
<attr name="homephone">
<column>phone_home</column>
</attr>
<attr name="telephonenumber">
<column>phone_work</column>
</attr>
<attr name="mobile">
<column>phone_mobile</column>
</attr>
<attr name="facsimiletelephonenumber">
<column>phone_fax</column>
</attr>
<attr name="ipphone">
<column>phone_other</column>
</attr>
<attr name="street">
<column>address_street</column>
</attr>
<attr name="l">
<column>address_city</column>
</attr>
<attr name="st">
<column>address_state</column>
</attr>
<attr name="c">
<column>address_country</column>
</attr>
<attr name="postalcode">
<column>address_postalcode</column>
</attr>
<attr name="createtimestamp">
<column>date_entered</column>
</attr>
<attr name="modifytimestamp">
<column>date_modified</column>
</attr>
<attr name="description">
<column>description</column>
</attr>
<strginfo>
<column>id</column>
<value type="function">createGuid()</value>
</strginfo>
<strginfo>
<column>status</column>
<value type="constant">Active</value>
<delproc>update users set status = 'Inactive' where id = '%o'</delproc>
</strginfo>
</object>
</storage>
</data>
</config>
次に、"C:\opt\secioss\var\www\cgi-bin\lismapi.conf"のADMINID、ADMINPWをそれぞれ管理者のアカウント名、パスワードに変更して下さい。
4. 動作確認
4.1 ID同期の確認
SeciossLinkからIDの更新データをアプリケーションに同期します。
# perl C:\opt\secioss\sbin\idsync sp
アプリケーションに対するデータの更新は行わずに、更新データの確認のみしたい場合は、以下のコマンドを実行して、"C:\opt\secioss\var\lib\csv\user.csv"の内容を確認して下さい。
# perl C:\opt\secioss\sbin\idsync -n sp
また、差分データのチェックのみ行う場合は、以下のコマンドを実行して下さい。
# perl C:\opt\secioss\sbin\idsync -r sp
正常にアプリケーションに対してIDの同期が行えることを確認できたら、タスクに1時間に1回 "perl C:\opt\secioss\sbin\idsync sp"を実行するように設定して下さい。
4.2 シングルサインオンの確認
"<アプリケーションのURL>/sso/autologin.php?sso_app=<2.2項のアプリケーション名>"にアクセスして、シングルサインオンすることを確認して下さい。
- 記事の詳細はこちら
- by
- at 18:24
- Trackbacks (0)
