セットアップ手順（IdP:AD FSの場合）

システム構成

以下の構成でセットアップを行います。

認証サーバー

※ADとAD FSは、同一のサーバー上で稼働するものとします。
※AD、AD FSのインストール手順の詳細は、Microsoft社の情報をご確認ください。

事前準備：証明書の準備

第三者認証機関が承認した、認証に使用するAD FSのサーバー証明書を.pfx形式でエクスポートします。
証明書を取得する一般的な方法には、OpenSSLを使用する方法、Certreq.exeを使用する方法、IISを使用する方法の3種類があります。（※詳細は認証局の設定手順にしたがってください。）
OpenSSLを使用する方法は、以下Microsoft社の情報もご確認ください。
https://docs.microsoft.com/ja-jp/azure/app-service/configure-ssl-certificate#export-certificate-to-pfx

事前準備：AD FSの構成

1. サーバーマネージャーより「このサーバーにフェデレーションサービスを構成します。」をクリックします。
   
2. 「フェデレーションサーバーファームに最初のフェデレーションサーバーを作成します」を選択し、「次へ」をクリックします。
   
3. 「次へ」をクリックします。
   
4. 「インポート」をクリックし、.pfx形式の証明書ファイルを選択します。
   証明書にパスワードが設定されている場合は入力して「OK」をクリックします。
   
   
   
5. フェデレーションサービスの表示名を入力し、「次へ」をクリックします。
   ※表示名は、パスワード認証使用時に、IdPのログイン画面に表示される名称です。
   
6. サービスアカウントに「Administrator」を選択し、パスワードを入力し、「次へ」をクリックします。
   
   
   
   
   
7. 「Windows Internal Databaseを使用してサーバーにデータベースを作成します。」を選択して、「次へ」をクリックします。
   
8. 「次へ」をクリックします。
   
9. 「構成」をクリックします。
   画面に「このサーバーは正常に構成されました」と表示されることを確認します。
   
   
   

システム設定

1. システム設定の「セキュリティ」タブより「SAML認証」を選択します。
   ⇒「認証／SAML認証」画面が表示されます。
2. 以下の項目を入力し、「保存」ボタンをクリックします。

3. IdPメタデータをアップロードします。
   下記URLにブラウザでアクセスし、IdPメタデータXMLファイルをPCに保存します。
   
   https://<IdPサーバーのアドレス>/FederationMetadata/2007-06/FederationMetadata.xml
   
   NI製品システム設定「認証／SAML認証」画面の、Identity Provider設定の「メタデータ」に 上記で保存したIdPメタデータXMLファイルを添付します。
   「読み込み」ボタンをクリックします。
   
   
   以下の設定項目が自動で入力されます。

4. SPメタデータをダウンロードします。
   Service Provider(NI製品)設定の「メタデータ」の「ダウンロード」ボタンをクリックします。
   
   
   ⇒SPメタデータXMLファイルがダウンロードされます。「IdPの設定 (Windows Server 2012R2)」または「IdPの設定(Windows Server 2016－ADFS)」にて使用します。
5. 「保存」ボタンをクリックします。

IdPの設定(Windows Server 2012 R2)

IdPサーバーで下記の設定を行います。

証明書利用者信頼（SP）の追加

1. AD FSの管理ツールを表示し、「証明書利用者信頼の追加」をクリックします。
   
2. 証明書利用者信頼の追加ウィザードが表示されたら、「開始」をクリックします。
   
3. 「証明書利用者についてのデータをファイルからインポートする」を選択し、「参照」ボタンをクリックします。
   「システム設定」でダウンロードしたSPメタデータを選択します。
   

4. 表示名を入力し、「次へ」をクリックします。
   ※表示名はAD FSの管理ツール上で表示される名称です。
   
5. 「現時点ではこの証明書利用者信頼に他要素認証を構成しない」を選択し、「次へ」をクリックします。
   
6. 「すべてのユーザーに対してこの証明書利用者へのアクセスを許可する」を 選択し、「次へ」をクリックします。
   
7. 「次へ」をクリックします。
   
8. 証明書利用者信頼の追加が完了したので、「閉じる」ボタンをクリックします。
   

エンドポイントURLの追加

1. AD FSの管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
   追加した証明書利用者信頼を右クリックし、「プロパティ」を選択します。
   
2. SAMLリクエスト用エンドポイントの追加
   「エンドポイント」タブを選択し、「SAMLの追加」をクリックします。
   
   下記の値を設定し、「OK」をクリックします。
   • エンドポイントの種類：「SAMLアサーションコンシューマー」を選択します。
   • バインディング：「Redirect」を選択します。
   • 「信頼されたURL」：次のURLを入力します。
     
     https://<IdPサーバーのアドレス>/adfs/ls/
     
     
3. ログアウト用エンドポイントの追加
   「エンドポイント」タブを選択し、「SAMLの追加」をクリックします。
   
   下記の値を設定し、「OK」をクリックします。
   • エンドポイントの種類：「SAMLログアウト」を選択します。
   • バインディング：「Redirect」を選択します。
   • 「信頼されたURL」：次のURLを入力します。
     
     https://<IdPサーバーのアドレス>/adfs/ls/?wa=wsignout1.0
     
     
4. 「OK」をクリックします。
   

変換要求規則の追加

■仮名を利用する場合

1. 以下の2つの変換要求規則を追加します。
   要求規則テンプレートに「カスタム規則を使用して要求を送信」を選択して、「次へ」をクリックします。
   
   以下のカスタムルールをコピー&ペーストし、完了をクリックします。
   
   c:[type == “http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname” ]=> add(
   　store = “_OpaqueIdStore”,
   　types = (“http://mycompany/internal/persistentId”),
   　query = “{0};{1};{2}”,
   　param = “ppid”,
   　param = c.Value,
   　param = c.OriginalIssuer);
   
   
   
   「入力方向の要求を変換」を選択し、「次へ」をクリックします。
   
   以下の値を選択し、「完了」をクリックします。
   • 要求規則名：任意の名称を入力します。
   • 入力方向の要求の種類：「http://mycompany/internal/persistentId」をコピー&ペーストで入力します。
   • 出力方向の要求の種類：「名前ID」を選択します。
   • 出力方向の名前IDの形式：「永続ID」を選択します。
     
     
2. 「OK」をクリックします。
   

■仮名を利用しない場合

1. AD FSの管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
   追加した証明書利用者信頼を右クリックし、「要求規則の編集」を選択します。
   
2. 「規則の追加」ボタンをクリックします。
   
3. 以下の要求規則を追加します。
   要求規則テンプレートに「LDAP属性を要求して送信」を選択し、「次へ」をクリックします。
   
   以下の値を選択し、「完了」をクリックします。
   • 要求規則名：任意の名称を入力します。
   • 属性ストア：「Active Directory」を選択します。
   • LDAP属性：「SAM-Account-Name」
     ※ここでは検証のため、ADの「ユーザーログオン名(Windows 2000より前)」に紐づく「SAM-Account-Name」を選択しています。
     LDAP属性については、「変換要求規則の追加」の「仮名を利用しない場合」を参照してください。
   • 出力方向の要求の種類：「名前ID」を選択します。
     
     

認証ポリシーの設定

1. AD FSの管理ツールを表示し、「認証ポリシー」メニューを選択します。
   グローバルプライマリ認証の編集をクリックします。
   
2. 利用する認証方法を有効にし、「OK」をクリックします。
   • パスワード認証の場合
     エクストラネット：「フォーム認証」にチェックします。
     イントラネット：「フォーム認証」にチェックします。
   • Windows認証の場合
     エクストラネット：「フォーム認証」にチェックします。
     イントラネット：「フォーム認証」と「Windows認証」にチェックします。
     
     

IdPの設定(Windows Server 2016－ADFS)

IdPサーバーで下記の設定を行います。

証明書利用者信頼（SP）の追加

1. AD FSの管理ツールを表示し、「証明書利用者信頼の追加」をクリックします。
   
2. 証明書利用者信頼の追加ウィザードが表示されたら、「要求に対応する」を選択し、「開始」をクリックします。
   
3. 「証明書利用者についてのデータをファイルからインポートする」を選択し、「参照」ボタンをクリックします。
   「システム設定」でダウンロードしたSPメタデータを選択します。
   

4. 表示名を入力し、「次へ」をクリックします。
   ※表示名はAD FSの管理ツール上で表示される名称です。
   
5. 表示された画面のまま、「次へ」をクリックします。
   
6. 「次へ」をクリックします。
   
7. 証明書利用者信頼の追加が完了したので、「このアプリケーションの要求発行ポリシーを構成する」にチェックを付けたまま、「閉じる」ボタンをクリックします。
   

エンドポイントURLの追加

1. AD FSの管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
   追加した証明書利用者信頼を右クリックし、「プロパティ」を選択します。
   
2. SAMLリクエスト用エンドポイントの追加
   「エンドポイント」タブを選択し、「SAMLの追加」をクリックします。
   
   下記の値を設定し、「OK」をクリックします。
   • エンドポイントの種類：「SAMLアサーションコンシューマー」を選択します。
   • バインディング：「Redirect」を選択します。
   • 「信頼されたURL」：次のURLを入力します。
     
     https://<IdPサーバーのアドレス>/adfs/ls/
     
     
3. ログアウト用エンドポイントの追加
   「エンドポイント」タブを選択し、「SAMLの追加」をクリックします。
   
   下記の値を設定し、「OK」をクリックします。
   • エンドポイントの種類：「SAMLログアウト」を選択します。
   • バインディング：「Redirect」を選択します。
   • 「信頼されたURL」：次のURLを入力します。
     
     https://<IdPサーバーのアドレス>/adfs/ls/?wa=wsignout1.0
     
     
4. 「OK」をクリックします。
   

変換要求規則の追加

■仮名を利用する場合

1. 以下の2つの変換要求規則を追加します。
   要求規則テンプレートに「カスタム規則を使用して要求を送信」を選択して、「次へ」をクリックします。
   
   以下のカスタムルールをコピー&ペーストし、完了をクリックします。
   
   c:[type == “http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname” ]=> add(
   　store = “_OpaqueIdStore”,
   　types = (“http://mycompany/internal/persistentId”),
   　query = “{0};{1};{2}”,
   　param = “ppid”,
   　param = c.Value,
   　param = c.OriginalIssuer);
   
   
   
   「入力方向の要求を変換」を選択し、「次へ」をクリックします。
   
   以下の値を選択し、「完了」をクリックします。
   • 要求規則名：任意の名称を入力します。
   • 入力方向の要求の種類：「http://mycompany/internal/persistentId」をコピー&ペーストで入力します。
   • 出力方向の要求の種類：「名前ID」を選択します。
   • 出力方向の名前IDの形式：「永続ID」を選択します。
     
     
2. 「OK」をクリックします。
   

■仮名を利用しない場合

1. AD FSの管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
   追加した証明書利用者信頼をクリックし、画面右側の「要求発行ポリシーの編集」を選択します。
   
2. 「規則の追加」ボタンをクリックします。
   
3. 以下の要求規則を追加します。
   要求規則テンプレートに「LDAP属性を要求して送信」を選択し、「次へ」をクリックします。
   
   以下の値を選択し、「完了」をクリックします。
   • 要求規則名：任意の名称を入力します。
   • 属性ストア：「Active Directory」を選択します。
   • LDAP属性：「SAM-Account-Name」
     ※ここでは検証のため、ADの「ユーザーログオン名(Windows 2000より前)」に紐づく「SAM-Account-Name」を選択しています。
     LDAP属性については、補足を参照してください。
   • 出力方向の要求の種類：「名前ID」を選択します。
     
     

補足

LDAP属性には、「SAM-Account-Name」以外の項目も選択できます。
ユーザー情報が一意に識別できる項目を選択してください。

一般的に使用される「LDAP属性」の選択肢とADの情報との紐づけは以下のようになります。

• LDAP属性「SAM-Account-Name」
  ADの「ユーザーログオン名(Windows 2000より前)」を使用します。
  
• LDAP属性「User-Principal-Name」
  ADの「ユーザーログオン名」を使用します (@以降含む)。
  
• LDAP属性「E-Mail-Addresses」
  ADの「電子メール」を使用します。
  

認証ポリシーの設定

1. AD FSの管理ツールを表示し、「認証方法」メニューを選択します。
   プライマリ認証方法の編集をクリックします。
   
2. 利用する認証方法を有効にし、「OK」をクリックします。
   • パスワード認証の場合
     エクストラネット：「フォーム認証」にチェックします。
     イントラネット：「フォーム認証」にチェックします。
   • Windows認証の場合
     エクストラネット：「フォーム認証」にチェックします。
     イントラネット：「フォーム認証」と「Windows認証」にチェックします。
     
     

IdPの設定(Windows Server 2019)

Windows Server 2016 同様の手順となります。
「IdPの設定(Windows Server 2016－ADFS)」を参照してください。

仮名ID取得

オプション設定

1. 仮名を利用する場合、初回ログイン時はシングルサインオンに失敗するため、通常のNI製品ログイン画面より、ID/パスワードを入力し、ログインしてください。
2. NI製品の「オプション設定」画面を表示し、「SAML認証」を選択します。
   ⇒「SAML認証」画面が表示されます。
3. 「取得する」ボタンをクリックして、Identity Providerから仮名IDを取得します。
   ※新規ウィンドウが開き、Identity Providerへ接続します。仮名ID取得後にWindowは自動的に閉じられます。
4. 最後に「保存」ボタンを押します。

動作確認

1. NI製品の任意のURLにブラウザでアクセスします。
2. IdPにログインします。
   パスワード認証の場合、AD FSのログイン画面にて、ID/パスワードを入力することで認証されます。
   
3. Windows認証の場合、ドメインにログイン済みのWindows PCにて、Microsoft Edge、またはGoogle Chromeを使用しているときは、自動で認証されます。
   それ以外の場合、認証ダイアログが表示され、ID/パスワードを入力することで認証されます。
4. NI製品の目的のURLが表示されます。

トラブルシューティング

AD FSのエラーについて

■AD FSのエラー画面

以下のような画面が表示された場合、AD FS側でエラーが発生しています。

通常のログイン画面のURLに「?saml=no」を追加し、NI製品へログインしてください。

例）NI Collabo 360
https://xxx.xxx.xxx.xxx/ni/niware/portal/index.php?saml=no

例）Sales Force Assistantシリーズ
https://xxx.xxx.xxx.xxx/ni/<各製品>/main/index.php?saml=no

■AD FSのエラー詳細確認

エラーの内容を確認するには、IdPのサーバーマネージャーのメニューより「AD FS」を選択し、「イベント」項目をチェックします。

AD FSの設定不備が原因で発生する主要なエラーを以下に記載します。

運用時の注意

証明書の更新について

AD FSは、以下の3種類の証明書を利用して動作しています。

1. サービス通信証明書
   「AD FSの構成」にて適用した、SSL(https)通信のための証明書です。
   適用した証明書の期限に応じて、手動で更新を行ってください。
2. トークン暗号化解除証明書
   利用していません。
3. トークン署名証明書
   AD FSのセットアップ時に自動で作成される自己署名証明書です。
   有効期限は既定では1年となっており、自動で更新されます。
   また、AD FSでは、自動証明書ロールオーバー機能(トークン署名証明書の自動更新)があり、既定ではこの機能が有効となっています。自動証明書ロールオーバーが発生した場合、証明書の有効期限5日前にNI製品へのシングルサインオンでエラーが発生します。
   対策として、AD FSの自動証明書ロールオーバー機能を無効にする、証明書の有効期限延長があります。
   詳細は、Microsoft社の情報をご確認ください。
   https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/ad-fs-%E3%81%AE%E8%87%AA%E5%8B%95%E8%A8%BC%E6%98%8E%E6%9B%B8%E3%83%AD%E3%83%BC%E3%83%AB%E3%82%AA%E3%83%BC%E3%83%90%E3%83%BC%E6%A9%9F%E8%83%BD%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6
   有効期限切れ、有効期限延長により証明書が更新されると、「システム設定」の「3.IdPメタデータをアップロードします。」を再実行する必要があります。