保護
始める前に
注: この条件と前記の条件が満たされない場合、証明書作成やメタデータエクスポートのステップの実行に idpcat.nsf 内のエージェントを使用することはできません。その代わりとして、Domino サーバーコンソールで一連のコマンドを使用してこれらのステップを実行したい場合は、Domino メタデータファイルの手動作成についての関連トピックを参照してください。
IdP 設定文書に含まれるいくつかのフィールドの値は、metadata.xml ファイルを IdP からインポートする際に自動的に指定されます。
重要: Domino サーバーにパスワードで保護された server.id ファイルがある場合は、管理者は (手順 9 に示す) [証明書の作成] ボタンを使用してメタデータファイルを作成することができません。server.id ファイルがパスワード保護されている場合は、このシーケンスに含まれる、Domino メタデータファイルの作成タスクを参照してください。
重要: 後で既存の SAML IdP 設定文書を変更する場合や、新規の設定文書を追加する場合は、変更内容が認識されるように、HTTP プロセスを Domino Web サーバー上で再始動してください。
注: 組織で RSS フィードを使用している場合は、SAML 認証を有効化すると RSS フィードで予期しない結果が生じる可能性があります。
手順
1. IBM Domino Administrator クライアントから、ファイル名が idpcat.ntf のテンプレートを使用して IdP カタログアプリケーション (idpcat.nsf) を作成するか、アプリケーションが既に存在する場合はそれを開きます。
注意: ご使用のサーバーが UNIX™ 上で稼働している場合は、ファイル名がすべて小文字になっていることを確認してください。
制約事項: 推奨事項に従い、組織で SSL を使用している場合は、IP アドレスを含める必要があります。
8. [統合製品] フィールドで、SAML 認証に使用する統合サービスに応じて [TFIM] (IBM Tivoli Federated Identity Manager の場合) または [ADFS] (Microsoft Active Directory Federation Services の場合) を選択します。 デフォルトは [ADFS] です。
9. [サービスプロバイダ ID] フィールドに、IdP で IBM Domino をサービスプロバイダパートナーとして識別する文字列を入力します。
注: IBM Domino で SSL を設定せずに、IdP に TFIM を使用する場合、この設定には https ではなく http が含まれます (例: http://domino1.us.renovations.com)。 IdP に ADFS を使用する場合は SSL が必要なので、文字列内に https を使用します。
重要: [証明書管理] タブの [証明書の作成] ボタンを使用するには、このフィールドに入力する必要があります。
注: ADFS で統合が設定されている場合は、このファイルの名前が若干異なる可能性があります (例: FederationMetadata.xml)。
表 1. metadata.xml ファイルから値が生成される IdP 設定文書内のフィールド
たとえば、Renovations 組織が TFIM、SAML 2.0、SSL を使用している場合は、次のような成果物 URL が生成されます。https://tfim.renovations.com/FIM/sps/samlTAM20/soap
たとえば、Renovations 組織が TFIM、SAML 2.0、SSL を使用している場合は、次のようなログイン URL が生成されます。https://tfim.renovations.com/FIM/sps/samlTAM20/logininitial
注: このフィールドの値は、IdP に対して期待される URL のサブセットとなります。必要に応じて、Domino サーバーによって完全な URL が生成されます。
注: このフィールドが表示されるのは、[タイプ] フィールドが [SAML 2.0] に設定されている場合のみです。
例: url.oasis.names.tc:SAML:2.0:protocol
c. Notes クライアントの組み込みブラウザで、ログインシーケンス中に IdP でアクセスされる URL を SSL で保護することが必要な場合は、[SSL の強制] フィールドの設定を [はい] のままにします。
ヒント: この名前は、実際の IdP 設定に含まれるものと一致する必要はありません。ただし、この文字列は idp.xml ファイルの構文と互換性がなければなりません。つまり、不等号括弧 (< または >) などの文字を含めることはできません。
https://your_SAML_service_provider_hostname
このフィールドに指定した文字列は URL の最初の部分となり、IdP がユーザーの SAML アサーションを IBM Domino に送信する際に使用されます。
注: IBM Domino で SSL を設定せずに、IdP に TFIM を使用する場合、この設定には https ではなく http が含まれます (例: http://domino1.us.renovations.com)。
注: [基本] タブの [サービスプロバイダ ID] フィールドに入力した文字列を使用できます。
https://your_tfim_server.com/sps/samlTAM20/saml20
次のタスク
インターネットサイト文書を使用する場合は、その文書に関連するトピックの手順に従って、SAML を有効化し、優先されるセッション Cookie を指定します。
注: 後でインターネットサイト文書で認証タイプを変更して SAML を削除した場合、その変更を有効にして SAML を無効化するには、この IdP 設定文書を無効化または削除する必要があります。
親トピック: IBM Domino で SAML を設定する 次のトピック: Domino メタデータファイルの手動作成
関連タスク TFIM サーバーを ID プロバイダ (IdP) として設定する Microsoft Active Directory Federated Services (ADFS) を IBM Domino パートナーの統合として設定する SSL を使用した SAML ベースのセキュリティプロバイダとして IBM Domino を使用する インターネットサイト (Web サイト) 文書から SAML を設定する Domino メタデータファイルの手動作成
関連資料 クライアントユーザーに対する SAML とログアウトに関する注意
関連情報 IBM Domino とその他の製品の Security Assertion Markup Language (SAML) の設定の組み合わせに関する補足情報