1. SP へのプリンシパル HTTP 要求。

   プリンシパルは、最初に HTTP ユーザーエージェント (例: ブラウザー) を使用して SP でセキュアなリソースにアクセスしようとします。プリンシパルが有効なセキュリティーコンテキストで SAML トークンをすでに発行している場合、SP はプリンシパルを許可または拒否します。これは最後のステップです。そうでなければ、SP は認証要求の IDP の場所を特定します。

2. SP は IDP を決定します。

   SP は、IDP と SP の推奨バインディングをサポートするエンドポイントを見つけます。これにより、SP が認証要求を IDP に送信できます。このプロセスの具体的な方法は、実装ごとに異なる場合があります。

3. プリンシパルを使用して SP から IDP に発行された認証要求。

   SP が IDP の場所とエンドポイントを判別すると、SP は <AuthnRequest> メッセージの形式で認証リクエストを発行します。これはユーザーエージェントによって IDP に配信されます。HTTP Redirect、HTTP POST、または HTTP Artifact SAML バインディングを使用すると、ユーザーエージェントを使用してメッセージを IDP に転送することができます。

4. IDP はプリンシパルを識別します。

   Authentication Request がプリンシパルによって IDP に配信されると、プリンシパルは IDP によって識別されます。識別方法は Web ブラウザーのシングルサインオンプロファイルによって明確に定義されていません。これは、FORM を使用した認証、既存のセッション情報、kerberos 認証など、数多くの方法で実現できます。

5. IDP は SP への応答を発行します。

   プリンシパルが特定されると、IDP は <response> メッセージの形式で応答を発行し、ユーザーエージェントを使用してプリンシパルによるアクセスを許可または拒否するために SP に返送します。このメッセージは、少なくとも単一の認証アサーションを含み、エラーを示すのにも使用できます。HTTP POST または HTTP Artifacts はこのメッセージの転送に使用できますが、ほとんどのユーザーエージェントの URL 長制約により HTTP Redirect を使用することはできません。ユーザーエージェントが、SP ではなく IDP に直接アクセスしようとするなど、IDP ベースのフローを開始した場合は、このステップでプロセスが開始されます。成功すると、HTTP POST または HTTP アーティファクトが IDP に事前設定されたロケーションに送信されます。

6. SP はプリンシパルへのアクセスを許可または拒否します。

   SP が Response を受信すると、セキュリティーコンテキストを作成して要求されたリソースへのアクセスをプリンシパルに付与したり、アクセスを拒否したり、独自のエラー処理を行ったりする場合があります。

1. Session Participant によって IDP 発行されたログアウト。

   Service Providers やその他パーティーなどのセッションの参加者は、独自のセッションをプリンシパルとともに終了させ、<LogoutRequest> メッセージの形式で、Logout Request を、プリンシパルのセキュリティーアサーションを最初に発行した IDP に送信します。この要求は IDP と依拠当事者 (relyiing party) 間で直接送信することも、プリンシパルのユーザーエージェントをパススルーとして使用することで間接的に送信することもできます。

2. IDP は、Session Participant を特定します。

   IDP が Logout Request を受信すると、そのリクエストを使用して、IDP がセッション認証またはセッション参加者として所有するセッションを含め、どの依拠当事者に依存しているセッションを終了するかを決定します。IDP は各セッションに対して、依存側に対してログアウトリクエストを発行し、各社からの Logout Response を待ってから、新しい Logout Response を元のセッション参加者に発行します。IDP で Global Logout Profile フローが開始された場合、フローはこのステップで開始し、その他のメカニズムを使用してセッションと SP が決定されます。

3. IDP が発行するログアウト。

   IDP がすべてのセッションと関連する当事者を判別すると、ログアウトリクエストを <LogoutRequest> メッセージの形式でログアウト要求を送信し、依拠当事者に依存してログアウト応答を待機します。これらの要求は IDP と依存側間で直接送信することも、プリンシパルのユーザーエージェントを介して間接的に送信することもできます。

4. Session Participant または Authority.が発行するログアウト応答をログアウトします。

   IDP 自体を含む各依存側は、Logout Request の IDP によってダイレクトされたセッションの終了を試み、<LogoutResponse> メッセージの形式で Logout Response を返すことがあります。Logout Request と同様に、応答は依存側と IDP 間で直接発行することも、プリンシパルのユーザーエージェントから間接的に発行することもできます。

5. IDP は元の Session Participant への Logout 応答を発行します。

   すべての Logout Response が依存側から受信されると、IDP は <LogoutResponse> メッセージの形式で新しいログアウト応答を送信し、ログアウトを要求した元のセッション参加者に戻ります。このフローの他の部分と同様に、この応答は IDP とセッションの参加者間で直接渡されるか、プリンシパルのユーザーエージェントによって間接的に渡すことができます。ログアウト要求が IDP で開始された場合は、この手順は省略されます。

1. IDP のセキュリティードメインを作成します。

   IDP はクレデンシャルのプリンシパルを処理し、そのプリンシパルの認証および承認を処理し、その結果に基づいて適切な SAML v2 セキュリティーアサーションを発行します。これには、セキュリティードメインを使用してアイデンティティーストアを設定する必要があります。このセキュリティードメインおよびアイデンティティーストアを作成する唯一の要件は、認証および承認メカニズムが適切に定義されていることです。これは、プロパティーファイル、データベース、LDAP など、さまざまな ID ストアと関連のログインモジュールを使用して IDP アプリケーションをサポートすることができることを意味します。セキュリティードメインの詳細は、JBoss EAP Security Architecture ガイドの Security Domains を参照してください。

   以下の例では、プロパティーファイルを使用して簡単な UsersRoles ログインモジュールを使用します。

   セキュリティードメインを作成する管理 CLI コマンド

   /subsystem=security/security-domain=idp:add(cache-type=default)
   
   /subsystem=security/security-domain=idp/authentication=classic:add
   
   /subsystem=security/security-domain=idp/authentication=classic/login-module=UsersRoles:add(code=UsersRoles,flag=required,module-options=[usersProperties=${jboss.server.config.dir}/idp-users.properties,rolesProperties=${jboss.server.config.dir}/idp-roles.properties])
   
   reload

   UsersRoles ログインモジュールは、プロパティーファイルを使用して、ユーザー/パスワードとユーザー/ロール情報を保存します。UsersRoles モジュールの詳細は、JBoss EAP Login Module Reference を参照してください。この例では、プロパティーファイルには以下が含まれます。

   idp-users.properties

   Eric=samplePass
   Alan=samplePass

   idp-roles.properties

   Eric=All
   Alan=

2. IDP の web.xml ファイルを設定します。

   IDP の web.xml ファイルには以下が含まれている必要があります。

   • セキュアな領域の URL パターンにマップする <url-pattern> が含まれる <web-resource-collection> を持つ <security-constraint>。任意で、<security-constraint> に許可されるロールを明記する <auth-constraint> を含めることもできます。
   • FORM 認証用に設定された <login-config>。
   • <auth-constraint> にロールが指定されている場合、これらのロールを <security-role> で定義する必要があります。
   • 必要に応じて、イメージやスタイルなどのログインフォームで使用されるリソースは、追加のセキュリティー制約で、認証前にアクセスできるように、セキュアでない追加のセキュリティー制約で指定できます (例: ログインページ)。

   <security-constraint> および <security-role> 要素を使用すると、管理者は URL パターンおよびロールを基に制限された領域または無制限の領域をセットアップできます。これにより、リソースをセキュリティーで保護することができ、保護しないこともできます。

   <login-config> タグは、ユーザーの認証時に IDP が使用するログインおよびエラーページを定義します。

   例: web.xml ファイル

   <web-app>
     <display-name>IDP</display-name>
     <description>IDP</description>
     <!-- Define a security constraint that gives unlimited access to images -->
     <security-constraint>
       <web-resource-collection>
         <web-resource-name>Images</web-resource-name>
         <url-pattern>/images/*</url-pattern>
       </web-resource-collection>
     </security-constraint>
     <!-- Define a security constraint that requires the All role to access resources -->
     <security-constraint>
       <web-resource-collection>
         <web-resource-name>IDP</web-resource-name>
         <url-pattern>/*</url-pattern>
       </web-resource-collection>
       <auth-constraint>
         <role-name>All</role-name>
       </auth-constraint>
     </security-constraint>
     <!-- Define the Login Configuration for this Application -->
     <login-config>
       <auth-method>FORM</auth-method>
       <realm-name>IDP Application</realm-name>
       <form-login-config>
         <form-login-page>/jsp/login.jsp</form-login-page>
         <form-error-page>/jsp/error.jsp</form-error-page>
       </form-login-config>
     </login-config>
     <!-- Security roles referenced by this web application -->
     <security-role>
       <description>The role that is required to log in to the IDP Application</description>
       <role-name>All</role-name>
     </security-role>
   </web-app>

   注記

   Welcome ページはアプリケーション内で定義することが推奨されます。デフォルトでは、JBoss EAP は index.jsp という名前のファイルを検索しますが、web.xml で <ogg-file-list> を使用してこれを設定できます。

   例: login.jsp ファイル

   <html>
     <head></head>
     <body>
       <form id="login_form" name="login_form" method="post" action="j_security_check" enctype="application/x-www-form-urlencoded">
         <center> <p>Welcome to the <b>IDP</b></p> <p>Please login to proceed.</p> </center>
         <div style="margin-left: 15px;">
           <p> <label for="username">Username</label> <br /> <input id="username" type="text" name="j_username"/> </p>
           <p> <label for="password">Password</label> <br /> <input id="password" type="password" name="j_password" value=""/> </p>
           <center> <input id="submit" type="submit" name="submit" value="Login"/> </center>
         </div>
       </form>
     </body>
   </html>

   例: error.jsp ファイル

   <html>
     <head></head>
     <body>
       <p>Login failed, please go back and try again.</p>
     </body>
   </html>

3. IDP の認証システムを設定します。

   この認証システムは、ユーザーの認証と SAML v2 セキュリティーアサーションを発行および検証します。オーセンティケーターの一部は、プリンシパルの認証および承認に使用するセキュリティードメインを定義することで jboss-web.xml ファイルに設定されます (手順 1 を参照)。また、<login-config> が web.xml で指定され、必要な依存関係が宣言されるようにする必要があります。

   jboss-web.xml ファイルには以下が必要です。

   • 認証または承認に使用されるセキュリティードメインを指定する <security-domain>。

   例: jboss-web.xml ファイル

   <jboss-web>
     <security-domain>idp</security-domain>
     <context-root>identity</context-root>
   </jboss-web>

4. IDP に必要な依存関係を宣言します。

   IDP として機能する web アプリケーションは、org.picketlink クラスを見つけることができるように依存関係を jboss-deployment-structure.xml に定義する必要があります。JBoss EAP は必要なすべての org.picketlink と関連クラスを提供し、アプリケーションはそれらを依存関係として宣言して使用することのみが必要になります。

   jboss-deployment-structure.xml を使用した依存関係の宣言

   <jboss-deployment-structure>
     <deployment>
       <dependencies>
         <module name="org.picketlink" services="import"/>
       </dependencies>
     </deployment>
   </jboss-deployment-structure>

   注記

   これまでのバージョンの JBoss EAP では、同じ依存関係を宣言していましたが、SAML 認証システムをインストールするためのバルブが宣言されていました。JBoss EAP 7 で Undertow が導入され、services="import" を使用して SAML 認証システムをインストールするようになりました。

5. IDP の picketlink.xml ファイルを作成および設定します。

   picketlink.xml ファイルは authenticator の動作を管理し、アプリケーションの起動時にロードされます。

   ファイルには、少なくとも以下の要素が含まれている必要があります。

   • <IdentityURL> を使用した IDP の URL と、IDP で信頼されるホストを定義する <PicketLinkIDP>。
   • SAML リクエストおよび応答の処理に必要なハンドラーのセットを定義する <Handlers>。

   picketlink.xml ファイルの例

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1">
       <IdentityURL>${idp.url::http://localhost:8080/identity/}</IdentityURL>
       <Trust>
         <Domains>localhost,example.com</Domains>
       </Trust>
     </PicketLinkIDP>
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
     </Handlers>
   </PicketLink>

   警告

   ハンドラーは、Chain of Responsibility を使用して実装されます。各ハンドラーは、picketlink.xml で定義された順序で要求および応答でロジックを実行します。ハンドラーが設定される順序に注意することが非常に重要です。

   デフォルトでは、picketlink.xml は IDP web アプリケーションの WEB-INF ディレクトリーにあります。ただし、アプリケーション外の picketlink.xml へのカスタムパスを設定できます。これは、複数の JBoss EAP インスタンス間で複数のアプリケーションが同じ picketlink.xml 設定を共有している場合に便利です。

6. オプション: picketlink.xml のカスタムの場所の設定

   CONFIG_FILE パラメーターを使用して picketlink.xml のカスタムの場所を指定できます。これは、web.xml に <context-param> 要素を追加して行います。

   CONFIG_FILE パラメーターの使用

   <context-param>
     <param-name>CONFIG_FILE</param-name>
     <param-value>/path/to/picketlink.xml</param-value>
   </context-param>

   org.picketlink.federation.saml.CONFIG_PROVIDER パラメーターを使用してカスタム設定プロバイダーを指定することもできます。これにより、org.picketlink.identity.federation.web.util.SAMLConfigurationProvider を拡張するカスタム実装を作成して、独自の設定ロジックを提供することができます。

   org.picketlink.federation.saml.CONFIG_PROVIDER パラメーターの使用

   <context-param>
     <param-name>org.picketlink.federation.saml.CONFIG_PROVIDER</param-name>
     <param-value>MyConfigurationProvider</param-value>
   </context-param>

   注記

   ここで使用する管理 CLI コマンドは、JBoss EAP スタンドアロンサーバーを実行していることを仮定しています。JBoss EAP 管理対象ドメインの管理 CLI を使用する場合の詳細は JBoss EAP Management CLI Guide を参照してください。

1. SP のセキュリティードメインを設定します。

   IDP はユーザーのクレデンシャルを処理し、SAML v2 セキュリティーアサーションを発行するため、SP はこれらのアサーションを検証するロールを担います。この検証を実行するにはセキュリティードメインが必要になりますが、アイデンティティーストアは必要ありません。この場合、SP のセキュリティードメインは SAML2LoginModule を使用する必要があります。

   セキュリティードメイン追加の管理 CLI コマンド

   /subsystem=security/security-domain=sp:add(cache-type=default)
   
   /subsystem=security/security-domain=sp/authentication=classic:add
   
   /subsystem=security/security-domain=sp/authentication=classic/login-module=org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule:add(code=org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule,flag=required)
   
   reload

   警告

   SAML2LoginModule は SAML で PicketLink を使用するアプリケーションでのみ使用を目的としており、PicketLink Service Provider Undertow ServletExtension (org.picketlink.identity.federation.bindings.wildfly.sp.SPServletExtension) なしでは使用しないでください。これを行うことで、SAML2LoginModule または SAML2CommonLoginModule が常に RELPTY_STR のデフォルトパスワードを受け入れるため、セキュリティーリスクが発生する可能性があります。たとえば、PicketLink Service Provider Undertow ServletExtension が SP アプリケーションにインストールされていない場合でも発生する可能性があります。PicketLink Service Provider Undertow ServletExtension は、JBoss EAP の SP アプリケーションを設定する 際に自動的にインストールされます。SAML2LoginModule が他のログインモジュールとスタックされている場合にも、これが発生します。

   <security-domain name="sp" cache-type="default">
     <authentication>
       <login-module code="org.picketlink.identity.federation.bindings.jboss.auth.SAML2LoginModule" flag="optional">
         <module-option name="password-stacking" value="useFirstPass"/>
       </login-module>
       <login-module code="UsersRoles" flag="required">
         <module-option name="usersProperties" value="users.properties"/>
         <module-option name="rolesProperties" value="roles.properties"/>
         <module-option name="password-stacking" value="useFirstPass"/>
       </login-module>
     </authentication>
   </security-domain>

   SAML2LoginModule は、アサーションに基づいてユーザーのセキュリティーコンテキストを構築するために使用されます。PicketLink SAML Authenticator (PicketLink Service Provider Undertow ServletExtension (org.picketlink.identity.federation.bindings.wildfly.sp.SPServletExtension) によってインストールされる PicketLink SAML Authenticator は SAML2LoginModule を使用し、SP の picketlink.xml で設定される IDP の認証決定を保留できるようにします。

   オーセンティケーターは、セキュリティーアサーション (この場合は SAML アサーション) に基づいてプリンシパルの認証を行います.この場合、IDP によって発行されます。アプリケーションに追加された各リクエストをインターセプトし、SAML アサーションがリクエストに存在するかどうかを確認し、アサーションを検証し、プリンシパルの SAML 固有の検証を実行し、要求されたアプリケーションでプリンシパルのセキュリティーコンテキストを作成します。

   オーセンティケーターの一部は、プリンシパルの認証および承認に使用するセキュリティードメインを定義することで jboss-web.xml ファイルに設定されます。また、 web.xml で <login-config> が指定され、必要な依存関係 が宣言されていることを確認する必要があります.これは後のステップで実行します。

   SP の jboss-web.xml ファイルには以下が必要です。

   • 認証または承認に使用されるセキュリティードメインを指定する <security-domain>。

   例: jboss-web.xml ファイル

   <jboss-web>
     <security-domain>sp</security-domain>
     <context-root>sales-post</context-root>
   </jboss-web>

2. SP の web.xml ファイルを設定します。

   SP の web.xml ファイルには以下が含まれている必要があります。

   • セキュアな領域の URL パターンにマップする <url-pattern> が含まれる <web-resource-collection> を持つ <security-constraint>。任意で、<security-constraint> に許可されるロールを明記する <auth-constraint> を含めることもできます。
   • <auth-constraint> にロールが指定されている場合、これらのロールを <security-role> で定義する必要があります。
   • FORM 認証を指定する <auth-method> が含まれる <login-config>。これは SAML オーセンティケーターに必要です。

   例: web.xml ファイル

   <web-app>
     <display-name>SP</display-name>
     <description>SP</description>
     <!-- Define a Security Constraint on this Application -->
     <security-constraint>
       <web-resource-collection>
         <web-resource-name>SP</web-resource-name>
         <url-pattern>/*</url-pattern>
       </web-resource-collection>
       <auth-constraint>
         <role-name>All</role-name>
       </auth-constraint>
     </security-constraint>
     <!-- Security roles referenced by this web application -->
     <security-role>
       <description> The role that is required to log in to the SP Application </description>
       <role-name>All</role-name>
     </security-role>
     <!-- Define the Login Configuration for this Application -->
     <login-config>
       <auth-method>FORM</auth-method>
     </login-config>
   </web-app>

   注記

   アプリケーションのウェルカムページを定義することが推奨されます。デフォルトでは、JBoss EAP は index.jsp という名前のファイルを検索しますが、web.xml の <ogg-file-list> を使用してこれを設定できます。

   ログアウトプロセスでは、正常にログアウトされた時にプリンシパルを logout.jsp にリダイレクトしようとします。このファイルがアプリケーションの root ディレクトリーに定義されていることを確認してください。

3. SP に必要な依存関係を宣言します。

   SP として機能する web アプリケーションは、org.picketlink クラスを見つけることができるように依存関係を jboss-deployment-structure.xml に定義する必要があります。JBoss EAP は必要なすべての org.picketlink と関連クラスを提供し、アプリケーションはそれらを依存関係として宣言して使用することのみが必要になります。

   jboss-deployment-structure.xml を使用した依存関係の宣言

   <jboss-deployment-structure>
     <deployment>
       <dependencies>
         <module name="org.picketlink" services="import"/>
       </dependencies>
     </deployment>
   </jboss-deployment-structure>

   注記

   これまでのバージョンの JBoss EAP では、同じ依存関係を宣言していましたが、SAML 認証システムをインストールするためのバルブが宣言されていました。JBoss EAP 7 で Undertow が導入されたため、PicketLink SAML オーセンティケーターを使用してデプロイメントを手動で設定する必要はありません。org.picketlink 依存関係で use services="import" を定義すると、これらのサービスは自動的に設定されるようになりました。デプロイメントに対して SAML を有効にするには、この設定を宣言する必要があります。

4. SP 用の picketlink.xml ファイルを作成および設定します。

   picketlink.xml ファイルは Authenticator の動作を管理し、アプリケーションの起動時にロードされます。

   ファイルには、少なくとも以下の要素が含まれている必要があります。

   • <PicketLinkSP> IDP ( <IdentityURL>) の URL と SP の URL ( <ServiceURL>) を定義します。
   • SAML リクエストおよび応答の処理に必要なハンドラーのセットを定義する <Handlers>。

   picketlink.xml ファイルの例

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" BindingType="POST">
       <IdentityURL>${idp.url::http://localhost:8080/identity/}</IdentityURL>
       <ServiceURL>${sales-post.url::http://localhost:8080/sales-post/}</ServiceURL>
     </PicketLinkSP>
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
     </Handlers>
   </PicketLink>

   注記

   推奨されませんが、BindingType="POST" を BindingType="REDIRECT" に変更して SP が HTTP/REDIRECT を使用するように設定することも可能です。

   警告

   ハンドラーは、Chain of Responsibility を使用して実装されます。各ハンドラーは、picketlink.xml で定義された順序で要求および応答でロジックを実行します。ハンドラーが設定される順序に注意することが非常に重要です。

   デフォルトでは、picketlink.xml は SP Web アプリケーションの WEB-INF ディレクトリーにありますが、アプリケーション外の picketlink.xml へのカスタムパスを設定できます。これは、複数の JBoss EAP インスタンス間で複数のアプリケーションが同じ picketlink.xml 設定を共有している場合に便利です。

5. オプション: picketlink.xml にカスタムの場所を設定します。

   CONFIG_FILE パラメーターを使用して picketlink.xml のカスタムの場所を指定できます。これは、web.xml に <context-param> 要素を追加して行います。

   CONFIG_FILE パラメーターの使用

   <context-param>
     <param-name>CONFIG_FILE</param-name>
     <param-value>/path/to/picketlink.xml</param-value>
   </context-param>

   org.picketlink.federation.saml.CONFIG_PROVIDER パラメーターを使用してカスタム設定プロバイダーを指定することもできます。これにより、org.picketlink.identity.federation.web.util.SAMLConfigurationProvider を拡張するカスタム実装を作成して、独自の設定ロジックを提供することができます。

   org.picketlink.federation.saml.CONFIG_PROVIDER パラメーターの使用

   <context-param>
     <param-name>org.picketlink.federation.saml.CONFIG_PROVIDER</param-name>
     <param-value>MyConfigurationProvider</param-value>
   </context-param>

   注記

   ここで使用する管理 CLI コマンドは、JBoss EAP スタンドアロンサーバーを実行していることを仮定しています。JBoss EAP 管理対象ドメインの管理 CLI を使用する場合の詳細は JBoss EAP Management CLI Guide を参照してください。

手順

1. プリンシパルは SP 上のセキュアなリソースへのアクセスを試行します。
2. SP はプリンシパルでチェックを実行します。プリンシパルが認証されていない場合は、IDP にリダイレクトする必要があります。すでに認証されている場合は、その他のステップはすべてスキップされ、最後のステップが実行されます。
3. SP は IDP を見つけ、プリンシパルのブラウザーを使用して IDP に対する認証要求を発行します。
4. IDP は、設定されたアイデンティティーストアを使用してプリンシパルをログインページなどで認証しようとします。
5. プリンシパルが IDP で特定された後 (ログイン成功後など)、IDP はプリンシパルのセキュリティー関連情報が含まれる SAML v2 アサーションを、プリンシパルのブラウザーを使用して SP に発行します。
6. SP はプリンシパルのセキュリティーアサーションに対してチェックを実行し、これらのアサーションに含まれる情報に基づいて、SP は要求されたリソースへのアクセスを許可または拒否します。

1. picketlink.xml を設定します。

   picketlink.xml に SAML2 LogOutHandler を追加します。

2. logout.jsp ページを作成します。

   ユーザーは、ログアウトプロセスの一部として、サービスプロバイダーアプリケーションの root ディレクトリーにある logout.jsp ページにリダイレクトされます。このページが作成されていることを確認します。

   logout.jsp の例

   <html>
     <head></head>
     <body>
       <p>You have successfully logged out.</p>
     </body>
   </html>

3. SP の Global Logout Profile リンクを設定します。

   SP リソースへのリンクの URL パラメーターに glo GLO=true を使用して、グローバルログアウトプロファイルプロセスを開始します。

   ログアウトリンクの例

   <a href="?GLO=true">Click to log out</a>

1. エクステンションを更新します。

   JBoss EAP 設定ファイルでは、スタンドアロンインスタンスの standalone.xml またはドメインの domain.xml に org.wildfly.extension.picketlink 拡張を追加します。

   <extensions>
     ...
     <extension module="org.wildfly.extension.picketlink"/>
     ...
   </extensions>

2. サブシステムを追加します。

   JBoss EAP 設定ファイルでは、スタンドアロンインスタンスの standalone.xml またはドメインの domain.xml に picketlink-federation サブシステムを追加します。

   <profile>
     ...
     <subsystem xmlns="urn:jboss:domain:picketlink-federation:2.0"/>
      ...
   </profile>

   注記

   設定の例は EAP_HOME/docs/examples/configs/standalone-picketlink.xml で確認できます。

1. 最初に HTTPS セキュリティーレルムを追加し、設定します。HTTPS セキュリティーレルムが設定されたら、セキュリティーレルムを参照する undertow サブシステムで https-listener を設定します。

   batch
   
   /core-service=management/security-realm=HTTPSRealm:add
   
   /core-service=management/security-realm=HTTPSRealm/server-identity=ssl:add(keystore-path=identity.jks, keystore-relative-to=jboss.server.config.dir, keystore-password=password1, alias=appserver)
   
   /subsystem=undertow/server=default-server/https-listener=https:write-attribute(name=security-realm, value=HTTPSRealm)
   
   run-batch

   警告

   Red Hat では、影響するすべてのパッケージで TLSv1.1 または TLSv1.2 を利用するために SSLv2、SSLv3、および TLSv1.0 を明示的に無効化することを推奨しています。

2. JBoss EAP サーバーを再起動し、変更を反映します。

1. Encrypt および SupportsSignatures を有効化します。

   暗号化を有効にするには、<PicketLinkIDP> および <PicketLinkSP> を更新する必要があります。

   IDP の場合は、Encrypt および SupportsSignatures 属性を <PicketLinkIDP> に、true になるように追加または更新します。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" Encrypt="true" SupportsSignatures="true">
       ...
     </PicketLinkIDP>
   </PicketLink>

   SP の場合は、<PicketLinkSP> の SupportsSignatures に追加または更新します。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
     </PicketLinkSP>
   </PicketLink>

2. ハンドラーの追加。

   さらに、ハンドラーを <Handlers> に追加する必要があります。

   IDP では、SAML2EncryptionHandler および SAML2SignatureValidationHandler を picketlink.xml ファイルに追加します。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2EncryptionHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   SP では、SAML2SignatureGenerationHandler および SAML2SignatureValidationHandler を picketlink.xml ファイルに追加します。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   警告

   ハンドラーは、Chain of Responsibility を使用して実装されます。各ハンドラーは、picketlink.xml で定義された順序で要求および応答でロジックを実行します。ハンドラーが設定される順序に注意することが非常に重要です。

   SAML2SignatureGenerationHandler は SAML2EncryptoinHandler と同じチェーンで設定することはできません。これにより、SAML メッセージが複数回署名されます。

3. キープロバイダーを設定します。

   最後に、<KeyProvider> 要素を 両方の picketlink.xml ファイルに追加する必要があります。この要素は、セキュリティーアサーションの暗号化および復号化に使用される Java キーストアにアクセスするための場所と認証情報を提供します。Java キーストアの生成例は、JBoss EAP サーバーセキュリティーの設定方法 を参照してください。

   IDP の要素は <PicketLinkIDP> に追加する必要があります。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" Encrypt="true" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
         <ValidatingAlias Key="sp1.example.com" Value="servercert" />
         <ValidatingAlias Key="sp2.example.com" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkIDP>
     ...
   <PicketLink>

   SP の場合は、<PicketLinkSP> に要素を追加する必要があります。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkSP>
   </PicketLink>

   注記

   アサーションを適切に暗号化および復号化するには、IDP は署名を生成する必要があり、SP はこれらの署名を検証し、その出所を特定する必要があります。これは、<ValidatingAlias> 要素を使用して実行できます。IDP には、信頼される信頼されたサーバー/ドメイン ( <Trust> 要素のすべてのエントリー) ごとに <ValidatingAlias> が必要です。SPS には、IDP を含むサーバー/ドメインごとに <ValidatingAlias> が必要です。

1. SupportsSignatures を有効にします。

   デジタル署名を有効にするには、<PicketLinkIDP> 要素および <PicketLinkSP> 要素を更新する必要があります。

   IDP および SP の場合は、<PicketLinkSP> の SupportsSignatures 属性を true に追加または更新します。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
     </PicketLinkIDP>
   </PicketLink>

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
     </PicketLinkSP>
   </PicketLink>

2. ハンドラーの追加。

   さらに、ハンドラーを <Handlers> に追加する必要があります。

   IDP および SP では、SAML2SignatureGenerationHandler および SAML2SignatureValidationHandler を picketlink.xml ファイルに追加します。

   IDP picketlink.xml

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2IssuerTrustHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   SP picketlink.xml

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2LogOutHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2AuthenticationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.RolesGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureGenerationHandler" />
       <Handler class="org.picketlink.identity.federation.web.handlers.saml2.SAML2SignatureValidationHandler" />
     </Handlers>
   </PicketLink>

   警告

   ハンドラーは、Chain of Responsibility を使用して実装されます。各ハンドラーは、picketlink.xml で定義された順序で要求および応答でロジックを実行します。ハンドラーが設定される順序に注意することが非常に重要です。

   SAML2SignatureGenerationHandler は SAML2EncryptionHandler と同じチェーンで設定することはできません。これにより、SAML メッセージが複数回署名されます。

3. キープロバイダーを設定します。

   最後に、<KeyProvider> 要素を 両方の picketlink.xml ファイルに追加する必要があります。この要素は、セキュリティーアサーションの署名に使用される Java キーストアにアクセスするための場所およびクレデンシャルを提供します。Java キーストアの生成例は、JBoss EAP サーバーセキュリティーの設定方法 を参照してください。

   IDP の要素は <PicketLinkIDP> に追加する必要があります。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkIDP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
         <ValidatingAlias Key="sp1.example.com" Value="servercert" />
         <ValidatingAlias Key="sp2.example.com" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkIDP>
     ...
   <PicketLink>

   SP の場合は、<PicketLinkSP> に要素を追加する必要があります。

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     ...
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" SupportsSignatures="true">
       ...
       <KeyProvider ClassName="org.picketlink.identity.federation.core.impl.KeyStoreKeyManager">
         <Auth Key="KeyStoreURL" Value="/my_keystore.jks" />
         <Auth Key="KeyStorePass" Value="store123" />
         <Auth Key="SigningKeyPass" Value="test123" />
         <Auth Key="SigningKeyAlias" Value="servercert" />
         <ValidatingAlias Key="idp.example.com" Value="servercert" />
         <ValidatingAlias Key="localhost" Value="servercert" />
       </KeyProvider>
       ...
     </PicketLinkSP>
   </PicketLink>

   注記

   アサーションを適切に暗号化および復号化するには、IDP は署名を生成する必要があり、SP はこれらの署名を検証し、その出所を特定する必要があります。これは、<ValidatingAlias> 要素を使用して実行できます。IDP には、信頼される信頼されたサーバー/ドメイン ( <Trust> 要素のすべてのエントリー) ごとに <ValidatingAlias> が必要です。SPS には、IDP を含むサーバー/ドメインごとに <ValidatingAlias> が必要です。

1. すべてのアイデンティティープロバイダーを設定します。

   アイデンティティープロバイダーのセットアップに関する詳細は、IDP の設定 セクションを参照してください。

2. WEB-INF/idpmap.properties ファイルを設定します。

   name=url 形式を使用して利用可能なすべてのアイデンティティープロバイダーを一覧表示する WEB-INF/idpmap.properties ファイルを作成する必要があります。

   WEB-INF/idpmap.properties の例

   Domain=http://localhost:8080/idp/
   Domain-Alt=http://localhost:8080/idp-alt/

3. アカウント選択ランディングページを作成します。

   ユーザーが認証するアイデンティティープロバイダーを選択できるようにするには、アカウントランディングページを作成して、サービスプロバイダーに追加する必要があります。このページには、認証を許可するすべてのアイデンティティープロバイダーへのリンクが含まれている必要があります。

   accountChooser.html の例

   <html>
     <head>...</head>
     <body>
       <h1>Account Chooser</h1>
       <ul>
         <li><a href="?idp=Domain">Domain</a>
         <li><a href="?idp=Domain-Alt">Domain Alt</a>
       </ul>
     </body>
   </html>

4. picketlink.xml xml で IdentityURL 要素を設定します。

   また、アカウント選択ランディングページを参照するように、picketlink.xml で IdentityURL 要素を設定する必要もあります。サービスプロバイダーの他の picketlink.xml の設定に関する詳細は、SP の設定 の項を参照してください。

   picketlink.xml の例

   <PicketLink xmlns="urn:picketlink:identity-federation:config:2.1">
     <PicketLinkSP xmlns="urn:picketlink:identity-federation:config:2.1" BindingType="REDIRECT">
       <IdentityURL>
         <Provider Page="/accountChooser.html"/>
       </IdentityURL>
       ...
     </PicketLinkSP>
     <Handlers xmlns="urn:picketlink:identity-federation:handler:config:2.1">
       ...
     </Handlers>
   </PicketLink>

   Provider 要素で利用可能な属性を使用して、動的アカウント選択の追加オプションを設定できます。

   表2.4 Provider 要素属性

   オプション	タイプ	デフォルト	説明
   Page	String	/accountChooser.html	異なる IDP アカウントを一覧表示する HTML/JSP ページの名前。
   expiration	Integer	-1	Cookie の有効期限 (秒単位)。デフォルトは -1 です.これは、ブラウザーが閉じられると Cookie が期限切れすることを意味します。
   DefaultURL	String		デフォルト IDP の URL。
   Domain	String		ユーザーのブラウザーに送信されるクッキーに使用されるドメイン名。
   Type	String		デフォルト実装を置き換える IDP マッピングの実装の完全修飾名。この実装では、org.picketlink.identity.federation.web.config.IdentityURLConfigurationProvider を実装する必要があります。デフォルトの実装では、SP Web アプリケーションの WEB-INF/idpmap.properties ファイルを使用します。

   重要

   picketlink-federation サブシステムを使用した動的アカウント選択の設定はサポートされません。