概要

Joomlaサイトを訪れるすべてのユーザーに同じコンテンツを表示するべきではありません。会員制サイトであれば、特定の記事を有料会員限定にすることができます。社内ポータルであれば、部署固有のページを一般スタッフから隔離することができます。コミュニティプラットフォームであれば、モデレーターのみが一般メンバーにはアクセスできない領域にアクセスできる権限を与えることができます。

Joomlaは、組み込みのアクセス制御システムを通じてこれらすべてを処理します。このシステムでは、ユーザーグループごとにページ、記事、カテゴリ、メニュー項目へのアクセスを制限できます。不足していたのは、ユーザーを適切なグループに自動的に割り当てる機能でした。OAuth SSO経由でユーザーがログインすると、miniOrange Joomla OAuth Client拡張機能がIDプロバイダーでそのユーザーに割り当てられたロールを読み取り、その場で適切なJoomlaユーザーグループにマッピングします。その後、JoomlaのACLが引き継ぎ、既に設定済みのコンテンツ制限を適用します。ロールは一箇所で管理でき、Joomlaサイト全体へのアクセス権限が自動的に付与されます。

前提条件

JoomlaウェブサイトでOAuth SSOを使用したロールベースアクセス制御を有効にするには、以下のものが必要です。

miniOrange OAuthクライアント拡張機能（Joomla用）

拡張機能をダウンロード

課題

Joomlaのアクセス制御システムは強力ですが、ユーザーが適切なグループに属している場合にのみ効果的に機能します。SSOによるロールマッピングがない場合、そのプロセスはいくつかの一般的な問題で破綻します。

• 誰かが手動でグループを割り当てる必要があります。新しいユーザーが登録またはSSO経由でログインするたびに、管理者はそのユーザーのアカウントを確認し、適切なコンテンツにアクセスできるように正しいグループに割り当てなければなりません。これは少数のユーザーであれば管理可能ですが、数百人になると持続不可能になります。
• 役割の同期がずれてしまうことがあります。IDプロバイダーでユーザーの役割が変更されたり、サブスクリプションが失効したり、従業員がチームを異動したり、貢献者が昇進したりしても、管理者が気づいて更新するまで、Joomlaグループは同じままです。つまり、ユーザーは本来失うべきアクセス権を保持したままになるか、あるいは本来アクセスできるはずのコンテンツにアクセスできなくなるかのどちらかになります。
• 保護されたコンテンツが漏洩する。グループ割り当てが不整合な場合、制限された記事やページが意図したよりも多くのユーザーに閲覧されてしまう可能性がある。これは、誰かが報告するまで必ずしも明らかになるわけではない。
• 編集権限の管理は困難になります。閲覧権限は全体像の一部に過ぎません。記事の作成、既存コンテンツの編集、ページの公開ができるユーザーも同様に重要です。信頼できるグループメンバーシップがないと、作成権限の監査が難しくなり、役割が変更された際に権限を取り消すのも難しくなります。

製品の導入

設定手順としては、miniOrange拡張機能でロールマッピングを設定し、その後Joomlaの標準ACLツールを使用してコンテンツに制限を適用します。

1. IDプロバイダーへの接続：標準のOAuth 2.0またはOIDC構成を使用して、miniOrange OAuthクライアント拡張機能でIDプロバイダーを設定します。OAuthスコープに、プロバイダーの役割またはグループ情報を含むクレームが含まれていることを確認してください。Entra IDでは、これはグループのクレームになる可能性があり、Oktaでは、役割のクレームになる可能性があります。これは、拡張機能がログイン時にJoomlaグループを割り当てるために使用するデータです。

2. IDプロバイダーの役割とJoomlaグループのマッピング：拡張機能の役割マッピング設定で、各IDプロバイダーの役割を、対応するJoomlaユーザーグループとペアリングします。たとえば、IDプロバイダーのプレミアムメンバーの役割は、プレミアムコンテンツへのアクセス権を持つJoomlaグループにマッピングされます。エディターの役割は、記事の作成および編集権限を持つグループにマッピングされます。ユーザーがSSO経由でログインすると、拡張機能はユーザーの現在の役割を読み取り、対応するJoomlaグループを割り当て、前回のセッション以降に変更があった場合は、これらの割り当てを自動的に更新します。

3. Joomla で記事とカテゴリへのアクセスを制限する: SSO によってグループが確実に割り当てられるため、Joomla のコンテンツ マネージャーを使用して、通常の方法で記事とカテゴリへのアクセスを制限できます。各記事またはカテゴリの閲覧アクセス レベルを適切なユーザー グループに合わせて設定します。プレミアム メンバー向けのコンテンツはプレミアム メンバー グループに制限され、内部ドキュメントはスタッフ グループに制限され、公開コンテンツは誰でもアクセスできます。カスタム コードは不要です。これらはすべて Joomla の標準インターフェースで処理されます。

4. メニュー項目とモジュールのアクセス制限：アクセス制御は記事だけにとどまりません。Joomlaでは、メニュー項目とモジュールそれぞれにアクセスレベルを設定できるため、ナビゲーションリンクやサイドバーコンテンツは、閲覧権限を持つユーザーにのみ表示されます。これにより、アクセス制限のあるページが実際にはアクセスできないにもかかわらず、開くことができないユーザーのメニューに表示されてしまうといった事態を防ぐことができます。

5. 編集権限と作成権限の設定：サイトにコンテンツの作成や管理を行うユーザーがいる場合、JoomlaのACLを使用すると、特定のカテゴリ内でコンテンツの作成、編集、公開、削除を誰が行えるかを制御できます。IDプロバイダーの投稿者または編集者ロールからマッピングされたグループには、指定された領域内で適切な権限を付与できます。グループメンバーシップはSSOロールマッピングによって常に最新の状態に保たれるため、ロールが変更された後、ユーザーが次回ログインすると、これらの作成権限は自動的に調整されます。

6. 役割間のアクセス権限のテスト:本番稼働前に、各役割階層を表すテストアカウントでログインし、Joomlaのユーザーマネージャーで正しいグループが割り当てられていることを確認します。制限付き記事やカテゴリが権限の低いアカウントからアクセスできないこと、およびメニュー項目やモジュールがログインユーザーのグループに基づいて正しく表示されることを確認します。また、複数の役割を持つユーザー、役割がマッピングされていないユーザー、前回のログイン以降に役割が変更されたユーザーなど、特殊なケースについてもテストします。

結論

Joomlaのアクセス制御システムはコンテンツ制限に関して重要な役割を果たしますが、その機能を適切に発揮するには正確なグループメンバーシップが必要です。miniOrange OAuthクライアント拡張機能を介してSSOログインをグループ割り当てに接続することで、IDプロバイダーが誰がどこに属しているかに関する信頼できる情報源となります。管理者はアクセスルールを一度設定するだけで、適切なユーザーはログインするたびに自動的に適切なアクセス権を取得できます。

追加リソース

1. 区画化によるアクセス セキュリティ - Joomla! の OAuth プロトコル
2. Joomla での SAML と OAuth: どちらを選択すべきでしょうか?
3. 弊社のドキュメントをご覧ください