AD FS と DigiCert​​®​​ account でユーザーを認証する

AD FS をインストールした Windows サーバーに管理者としてサインインします。

サインインアカウントには、AD FS 設定を構成する権限が必要です。

［サーバー管理］から、［AD FS］>［ツール］>［AD FS 管理］を開きます。

［依拠当事者トラスト］>［依拠当事者トラストの追加］を選択します。

［依拠当事者トラストの追加］ウィザードで、［クレームズアウェア］を選択します。

［開始］を選択します。

データソースを指定するには、次の手順を実行します。

1. ［依拠当事者に関するデータをファイルからインポートする］を選択します。

2. Federation メタデータファイルの場所については、事前にエクスポートした DigiCert​​®​​ メタデータファイルを参照してください。

3. ［次へ］を選択します。

［表示名の指定］では、依拠当事者の名前を入力し、［次へ］を選択します。

［アクセス制御ポリシーの選択］では、トラストに使用するポリシーを選び、［次へ］を選択します。

［トラスト追加準備完了］ページで、構成の設定を確認し、［次へ］を選択します。

［アプリケーションのクレーム発行ポリシーを設定する］チェックボックスを選択します。

［閉じる］を選択します。

AD FS 管理コンソールを開きます。

［依拠当事者トラスト］を選んでから、設定するトラストを選択します。

［クレーム発行ポリシーの編集］を選択します。

LDAP 属性を依拠当事者のクレームにマッピングするルールを設定するには、［ルールの追加］を選択します。

［クレーム変換ルールの追加］ウィザードのルールタイプで、［LDAP 属性をクレームとして送信］を選択してから、［次へ］を選択します。

ルール属性を設定するには、次の手順を実行します。

1. ルールの名前を入力します。

2. ［属性ストア］で、［Active Directory］を選択します。

3. 次の表に示すとおり、LDAP 属性を送信クレームタイプにマッピングします。

   LDAP 属性	送信クレームタイプ
   メールアドレス	［メールアドレス］を選択
   名	［名］を選択
   姓	［姓］を選択

（オプション）SAML 応答で公開したい ID プロバイダの LDAP 属性を追加します。

たとえば、各ユーザーのグループメンバーシップを含めるには、LDAP 属性Is-Member-of-DL を送信クレームタイプ Group にマッピングします。この設定により、次の SAML 応答が求められます。

...
  <AttributeStatement>
   <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress">
    <AttributeValue>user1@test.digicert.com</AttributeValue>
   </Attribute>
   <Attribute Name="firstName">
    <AttributeValue>Demo</AttributeValue>
   </Attribute>
   <Attribute Name="lastName">
    <AttributeValue>User1</AttributeValue>
   </Attribute>
   <Attribute Name="http://schemas.xmlsoap.org/claims/Group">
    <AttributeValue>CN=DigiCert Test Users,CN=Users,DC=test,DC=digicert,DC=com</AttributeValue>
    <AttributeValue>CN=Remote Management Users,CN=Builtin,DC=test,DC=digicert,DC=com</AttributeValue>
    <AttributeValue>CN=Remote Desktop Users,CN=Builtin,DC=test,DC=digicert,DC=com</AttributeValue>
   </Attribute>
  </AttributeStatement>
...

［終了］を選択します。

マッピングされた LDAP 属性を依拠当事者トラストに送信するルールを設定するには、［ルールの追加］を選択します。

［クレーム変換ルールの追加］ウィザードのルールタイプで、［受信クレームの変換］を選択してから、［次へ］を選択します。

ルールの名前を入力します。

［受信クレームタイプ］で［メールアドレス］を選択します。

［送信クレームタイプ］で［Name ID］ を選択します。

［送信 Name ID フォーマット］で［メールアドレス］を選択します。

［すべてのクレーム値をパススルー］を選択します。

［終了］を選択します。

AD FS 設定を編集する権限を備えた管理者アカウントで Powershell を開きます。

次のコマンドを入力します。

Set-AdfsRelyingPartyTrust -targetname "<Relying Party Name>" -SamlResponseSignature  MessageAndAssertion

ここでは、<Relying Party Name> とは、サービスプロバイダの名前を表します。

例:

Set-AdfsRelyingPartyTrust -targetname "SAML DC1 Login" -SamlResponseSignature  MessageAndAssertion

ブラウザで https://<adfs_host>/FederationMetadata/2007-06/FederationMetadata.xml を開き、xml を保存します。

Account Manager の ［SAML を使用したシングルサインオン］ページにアクセスし、［IDP メタデータのアップロード］を選択します。

AD FS からダウンロードした FederationMetadata.xml をアップロードし、［保存］を選択します。