ADFSをIDPとして使用したDNN SAMLシングルサインオン（SSO）

• ライセンスの有効化が成功すると、以下のようにプラグインのダッシュボードが開きます。

• プラグインダッシュボードで、 サービスプロバイダーのメタデータ 上部メニューのボタンをクリックしてください。これにより、サービスプロバイダーのメタデータページが開きます。
• 必要なものを選択してください 名前 ID 形式 ID プロバイダーの設定に基づいてドロップダウン (たとえば、メールアドレスまたは未指定) から選択し、 Save 設定を更新するには、このボタンをクリックしてください。
• NameIDフォーマットは、SAMLログインプロセス中に送信されるユーザー識別子（メールアドレスやユーザー名など）を定義します。

• 下にスクロールして SAMLメタデータの共有 のセクションから無料でダウンロードできます。

SAML SPメタデータは、以下に説明する2つの方法のいずれかを使用して取得し、IDプロバイダー側​​で設定できます。

A] SAMLメタデータURLまたはメタデータファイルを使用する

• このページでは、メタデータのURLと、SAMLメタデータXMLファイルをダウンロードするオプションを見つけることができます。
• メタデータURLをコピーするか、メタデータファイルをダウンロードして、IDプロバイダー側​​で同じ設定を行ってください。
• 以下のスクリーンショットを参照してください。

B] メタデータの手動アップロード

• このページでは、サービスプロバイダーのメタデータを手動でコピーできます。 SPエンティティID、ACS URL、SPログアウトURL そして、設定のためにIDプロバイダーと共有してください。
• 以下のスクリーンショットを参照してください。

ADFS IdP を構成する手順

• まず、 ADFS 管理 ADFS サーバー上のアプリケーション。

• ADFS管理で、選択します 依拠当事者の信頼 をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します 依拠当事者の信頼を追加する.

• 選択 クレーム対応 証明書利用者信頼ウィザードから、 をクリックします。 お気軽にご連絡ください

データソースを選択

• [データ ソースの選択] で、証明書利用者信頼を追加するデータ ソースを選択します。

• メタデータURL
• メタデータ XML ファイル
• 手動設定

• MFAデバイスに移動する サービスプロバイダーのメタデータ DNNプラグインのセクションをコピーして、 メタデータURLから入手できます ステップ2A.
• 選択 オンラインまたはローカル ネットワーク上で公開されている証明書利用者に関するデータをインポートする オプションを選択し、フェデレーション メタデータ アドレスにメタデータ URL を追加します。
• ソフトウェアの制限をクリック 次へ.

• MFAデバイスに移動する サービスプロバイダーのメタデータ DNNプラグインのセクションをクリックして、 ダウンロード プラグインのメタデータファイルをダウンロードするためのボタン。 ステップ2A.
• 選択 証明書利用者に関するデータをファイルからインポートします オプションを選択し、ダウンロードしたメタデータ ファイルをアップロードします。
• ソフトウェアの制限をクリック 次へ.

• MFAデバイスに移動する サービスプロバイダーのメタデータ DNNプラグインのセクションで、サービスプロバイダーを手動で構成するためのエンドポイントを取得します。 ステップ2B.
• In 証明書利用者信頼の追加ウィザード オプションを選択 証明書利用者に関するデータを手動で入力する をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します 次へ.

表示名を指定

• Enter 表示名 とクリック 次へ.

証明書の構成 (プレミアム機能)

• から証明書をダウンロードします。 サービスプロバイダーの「メタデータ」タブから入手できます ステップ2A.
• 証明書をアップロードして、 次へ.

URLを構成する

• 選択 SAML 2.0 WebSSO プロトコルのサポートを有効にする オプションと入力 ACSのURL プラグインから サービスプロバイダーのメタデータ タブは、 ステップ2B.
• ソフトウェアの制限をクリック 次へ.

識別子の構成

• 証明書利用者信頼識別子、追加 SP-EntityID / 発行者 プラグインから サービスプロバイダーのメタデータ タブは、 ステップ2B.

アクセス制御ポリシーの選択

• 選択 全員許可 アクセス制御ポリシーとして選択し、 次へ.

信頼を追加する準備ができました

• In 信頼を追加する準備ができました をクリックしてください 次へ その後 閉じる.

請求発行ポリシーの編集

• のリストで 依拠当事者の信頼、作成したアプリケーションを選択し、 をクリックします。 請求発行ポリシーの編集.

• 「発行変換ルール」タブで、 をクリックします。 ルールを追加する

ルールタイプを選択

• 選択 LDAP属性をクレームとして送信する をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します 次へ.

クレームルールの構成

• 加える クレームルール名 選択 属性ストア 必要に応じてドロップダウンから選択します。
• LDAP 属性の発信クレーム タイプへのマッピング, [LDAP 属性] を選択します。 メールアドレス 発信要求タイプとして 名前ID.

• 属性を設定したら、 仕上げ.
• ADFS を IDP として構成した後、次のものが必要になります。 フェデレーションメタデータ サービスプロバイダーを設定します。
• ADFS フェデレーション メタデータを取得するには、次の URL を使用できます。
  https://< ADFS_Server_Name >/federationmetadata/2007-06/federationmetadata.xml
• ADFS シングル サインオン (SSO) ログインを実現するために、ADFS を SAML IdP (アイデンティティ プロバイダー) として正常に構成しました。

Windows SSO (オプション)

Windows SSO を設定するには、以下の手順に従ってください。

• Windows 認証用に ADFS を構成する手順
  • ADFS サーバーで管理者特権のコマンド プロンプトを開き、次のコマンドを実行します。
    setspn -a HTTP/##ADFS サーバー FQDN## ##ドメイン サービス アカウント##
  • FQDN は完全修飾ドメイン名です (例: adfs4.example.com)
  • ドメイン サービス アカウントは、AD のアカウントのユーザー名です。
  • 例: setspn -a HTTP/adfs.example.com ユーザー名/ドメイン。

• AD FS 管理コンソールを開き、次をクリックします。 Services そして、 認証方法 セクション。 右側で、 をクリックします プライマリ認証方法の編集。 イントラネット ゾーンの Windows 認証を確認します。

• Internet Explorer を開きます。 「インターネット オプション」の「セキュリティ」タブに移動します。
• AD FS の FQDN をローカル イントラネットのサイトのリストに追加し、ブラウザーを再起動します。
• セキュリティ ゾーンのカスタム レベルを選択します。 オプションのリストで、「イントラネット ゾーンのみで自動ログオンする」を選択します。

• PowerShell を開き、次の XNUMX つのコマンドを実行して、Chrome ブラウザーで Windows 認証を有効にします。

 Set-AdfsProperties -WIASupportedUserAgents ((Get-ADFSProperties | Select -ExpandProperty  WIASupportedUserAgents) + "Chrome")
 Get-AdfsProperties | Select -ExpandProperty WIASupportedUserAgents;


• Windows 認証用に ADFS が正常に構成されました。

• 以下を行うには、 新しい IDP を追加 新しい ID プロバイダーを構成するためのボタン。

• プラグイン設定タブで、 ADFS 表示されるリストから ID プロバイダーとして選択します。

• リストからIdPを選択すると、IDプロバイダー設定ページが開きます。ここで、 IdPメタデータのアップロード メタデータを使用してIDプロバイダーを自動的に構成するボタン、または必要なIDプロバイダーの詳細を手動で入力します。 ID プロバイダーの設定.

以下に詳述する2つの方法で、プラグイン内でSAML IDプロバイダーのメタデータを設定できます。

A] [IDP メタデータのアップロード] ボタンを使用してメタデータをアップロードします。

• 詳しくはこちら ファイルを選択してください メタデータ XML ファイルをアップロードするには、 XMLファイルをアップロード オプションをクリックしてから アップロードまたは、 メタデータ URL に選出しました。 メタデータの URL を入力してください セクションをクリックして メタデータのフェッチ IDプロバイダーの設定を自動的に取得する。
• 以下のスクリーンショットを参照してください。

B] ID プロバイダーのメタデータを手動で構成します。

• または、[ID プロバイダー設定] タブで、次のような必須フィールドを手動で入力することもできます。 IDP名、IDPエンティティID、シングルサインオンURL をクリックし [設定の保存].

• メタデータの詳細をアップロードしたら、ダッシュボードに戻ります。 アクションの選択 設定済みのIDプロバイダーの横にあるドロップダウンをクリックして テスト構成.

• 設定が正常に完了すると、テスト設定ウィンドウに属性名と属性値が表示されます。

属性マッピング

• 構成をテストした後、アプリケーション属性を ID プロバイダー (IdP) 属性にマップします。

• ノーザンダイバー社の アクションの選択 ドロップダウン、選択 設定の編集 属性マッピング設定を開きます。
• 必要なマップ IdP属性 SAML レスポンスで受信した情報 (ユーザー名、メール アドレス、名、姓など) を対応するフィールドに追加します。

• 属性がマッピングされたら、 Save 変更を適用します。

デフォルトの役割マッピング

• に移動します デフォルトの役割マッピング セクションで、SSO ログイン成功後にユーザーに割り当てる役割を選択します。 デフォルトの役割 ドロップダウン。
• 適切な役割（登録ユーザー、購読者、管理者など）を選択し、 Save ボタンをクリックして変更を適用します。

詳細IDP設定

追加の高度な設定を構成する場合は、上にスクロールしてクリックします。 詳細IDプロバイダー設定 上部メニューのボタン。

カスタム属性マッピング

• IdPから追加の属性を渡したい場合は、属性名と対応する属性値を入力します。 カスタム属性マッピング.
• ノーザンダイバー社の 属性値 ドロップダウンメニューから、テスト構成結果で受け取った属性のいずれかを選択します。たとえば、NameID などです。
• これらの属性は、IDプロバイダー（IdP）から送信される値に対応します。

• 属性名 このフィールドに、DNNユーザー属性の名前を入力してください。SSOログイン時に、その名前がIDP属性の値にマッピングされます。
• アプリケーションで複数の属性が必要な場合は、 +
• 必要なマッピングをすべて定義したら、 属性マッピングの保存 設定を保存します。

• このプラグインは、IDプロバイダー（IdP）から受信したSAML属性を、DNNサイト用にここで設定したカスタム属性名に変換します。

高度な役割マッピング

• 高度な役割マッピング セクションで、 グループ属性名 ユーザー グループ情報を取得するには、ID プロバイダーで設定されているとおりに実行します。
• 入力する 役割名 アイデンティティプロバイダから受信し、適切な 役割価値 フィールド。ロール値フィールドに、DNNサイトで定義されているロールを入力します。
• 例えば、UserGroups属性で受信したIdPグループGroup1またはGroup10を、DNNサイトで設定されている対応するロールにマッピングします。
• 必要なマッピングを追加したら、 ロールマッピングを保存 設定を正常に保存します。

ドメイン制限

• この機能を使用すると、マッピングされた「電子メール」属性のドメインに基づいて、サイトへのユーザー アクセスを制限できます。
• 電子メールの属性 フィールドに、アイデンティティプロバイダー (IdP) から受け取ったユーザーの電子メールアドレスを含む属性名を入力します。

• ドメイン名 フィールドに、許可または制限するドメインを入力します。複数のドメインを追加する場合は、カンマで区切ります。
• 有効にします 制限トグル 要件に応じてブラックリストまたはホワイトリストのアクセスを構成します。
• 設定が完了したら、 Save 設定を正常に保存します。

SSOおよびSLO後のリダイレクト

• ログインリダイレクト このセクションでは、SSOログインが成功した後にユーザーがリダイレクトされるエンドポイントURLを入力します。
• ログアウトリダイレクト セクションで、ログアウト成功後にユーザーがリダイレクトされるエンドポイント URL (SLO) を指定し、クリックします。 Save 構成を更新します。

SAMLリクエストの変更

• SAMLリクエストの変更 セクションで必要な情報を入力してください パラメータ名 (NAIST) と パラメータ値、クリック + パラメータを追加するボタンをクリックし、 Save 変更を適用します。

追加の設定

• 有効にする ユーザーを自動登録する SSOログイン時にユーザーがDNNに存在しない場合、DNNに新しいユーザーアカウントを自動的に作成する。
• 有効にする メール属性を上書きする DNN内のユーザーのメールアドレスを、IDプロバイダー（IdP）から受信したメール属性で更新する。
• 有効にする メールアドレスでユーザーを検索 プラグインが、DNN内の既存ユーザーをメールアドレスを使用して識別し、照合できるようにする。
• 有効にする マルチポータルSSO 同じIDプロバイダー（IdP）を使用して複数のDNNポータル間でシングルサインオンを許可する場合は、ここをクリックしてください。 Save 設定を更新します。

• 上にカーソルを合わせる アクションの選択 設定済みのIDプロバイダーの横にあるドロップダウンをクリックして SSO リンクをコピーする.
• このSSOリンクを使用して、DNNポータルにログインするユーザーのシングルサインオン（SSO）を開始してください。

• ユーザーはADFSの認証情報を入力することでDNNサイトにログインします。