保護

Security Assertion Markup Language (SAML) を使用して統合 ID 認証を設定する
統合 ID は、シングルサインオンを実現して、ユーザーの利便性を高め、管理コストの削減を図る手段です。 IBM Domino と IBM Notes では、ユーザー認証用の統合 ID に、OASIS の Security Assertion Markup Language (SAML) 標準が使用されます。

このタスクについて

SAML 認証を使用すると、指定された ID プロバイダ (IdP) でユーザー認証を一度行うだけで、その IdP とパートナーになっている任意のサーバーにアクセスできるようになります。Notes クライアントと Web クライアントのどちらのユーザーも SAML 認証を利用できます。認証は署名付きの XML ID アサーションに依存します。結果的にユーザーに対して透過認証とシングルサインオンが実現され、複数の Domino Web サーバーとアプリケーション、さらに IdP とパートナーになっているサードパーティ製アプリケーションに対してもワンタイム認証が適用されます。ワンタイム認証の方式は IdP によって決定されます。したがって、ユーザーにパスワードを求めるプロンプトが出される場合もあれば、イントラネット内のユーザーに対して非パスワード認証方式 (統合 Windows™ 認証 (SPNEGO/Kerberos) など) が使用される場合もあります。

組織が SAML 認証を使用するのは、次の 3 つの場合が考えられます。組織の必要に応じて、これらの設定のいずれか、すべてを行ってください。


管理者は、SAML 認証を使用するように Domino サーバーを設定することができます。それには、このサーバーをオンプレミスの統合 ID サーバー (IBM® Tivoli® Federated Identity Manager (TFIM) と IBM Tivoli Access Manager (TAM) 認証サーバーの組み合わせなど) のパートナーにします。TAM/TFIM サーバーが ID プロバイダ (IdP) になり、Domino サーバーが SAML 認証サービスのプロバイダとしてこの IdP に登録されます。

IBM Domino は SAML 1.1 と SAML 2.0 の両方をサポートしていますが、選択した ID プロバイダによっては、使用する SAML バージョンを選べない場合があります。組織が SAML 1.1 を使用する具体的な理由がない限り、SAML 2.0 を使用することをお勧めします。特定のアプリケーションでシングルサインオンをサポートするために SAML 1.1 が必要であれば、SAML 1.1 を使用してください。

参加アプリケーションに必要な SAML のレベルに応じて、SAML をサポートする次の ID プロバイダが、IBM Domino がパートナーとなる対象の統合として機能します。

表 1. ID プロバイダでサポートされる SAML バージョン
ID プロバイダ (IdP)SAML バージョン
IBM Tivoli Access Manager/Tivoli Federated Identity Manager (TAM/TFIM)SAML 1.1 または SAML 2.0
Microsoft™ Active Directory Federation Services (ADFS)SAML 2.0 必須

重要: SAML 認証にはタイムスタンプが含まれます。SAML IdP コンピュータと Domino SAML サービスプロバイダコンピュータが同じ現在時刻の概念を共有できるように、これらのコンピュータのクロックを同期させてください。クロックの同期があまりにもずれていると、アサーションの時刻が無効なように見えるため、SAML アサーションが否認される可能性があります。IdP マシンの時刻が Domino サーバーの時刻よりも進んでいる場合は特に問題です。アサーションが将来の時刻を指定するように見えるため、IBM Domino はこのアサーションを否認します。

クロックスキューを回避するための NOTES.INI 設定の詳細については、IBM Notes/Domino Wiki や IBM サポートの技術情報を検索してください。

互換性

次の表に、SAML が互換性を持たない、または部分的にしか互換性を持たないクライアント設定を示します。

表 2. SAML との互換性を持たないクライアント設定
組織が使用するものSAML が推奨されない理由
スマートカードで保護された IDスマートカードで保護された ID では、Notes 統合ログインに必要な ID ボールトを使用できないため、スマートカードで保護された ID を統合ログインのユーザー ID にすることはできません。
サーバー上のローミング用の個人アドレス帳に ID ファイルが格納されている Notes ローミングユーザーローミング用の個人アドレス帳に ID が格納されている Notes ローミングユーザーを統合ログインユーザーにすることはできません。ローミング用の個人アドレス帳に格納された Notes ID では、Notes 統合ログインに必要な ID ボールトを使用できないためです。
USB デバイス上の IBM NotesUSB デバイス上の IBM Notes では、Notes 統合ログインに必要な ID ボールトを使用できないため、USB デバイス上の IBM Notes で統合ログインを使用することはできません。
複数のパスワードを持つ Notes ユーザー ID複数のパスワードを持つ ID では、Notes 統合ログインに必要な ID ボールトを使用できないため、複数のパスワードを持つ Notes ユーザー ID を統合ログインのユーザー ID にすることはできません。
Notes ユーザーに対するサーバーベースのパスワードチェックすべての IBM Notes ユーザーを Notes 統合ログイン用に設定する場合は、サーバープラットフォーム上でこの機能を無効にしてください。 非統合ログインユーザーに対してはパスワードチェックを強制できますが、統合ログインユーザーに対しては強制できません。

手順

以下のタスクを実行します。