ステップ: MS-AD FS 3.0 を使用した SAML SSO の設定

前提条件

以下のコンピュータ:
Windows Server 2008 R2 または RelayState パラメータが有効になっている。詳細については、MS AD FS 3.0 RelayState を参照してください。
ドメインに含まれている
回答
Adaptive Planning
管理者権限のあるアカウント
確認 E メールの送信者:
Adaptive Planning
SAML がインスタンスでプロビジョニングされていることを示しています
認証機関によって認可されたトークン署名証明書

"MS AD FS Management Consol" > "Service" > "Certificates"
に移動します。
証明書リストで
"Token-Signing"
を右クリックし、
"View Certificate"
をクリックします。
"Details"
タブに移動し、
"Copy to File..."
をクリックします。
"Certificate Export Wizard"
が表示されたら、
"Next"
をクリックします。
"DER encoded binary X.509 (.cer)"
を選択し、
"Next"
をクリックします。
ファイルを保存するディレクトリを選択し、名前を付け、
"Next"
をクリックします。
"Finish"
をクリックします。

MS AD FS 3.0 RelayState

ADFS 3.0 の場合は、次のファイルをノートブックで開きます。
%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config
次のように、
"microsoft.identityServer.web"
セクションに
"useRelayStateForIdpInitiatedSignOn"
の列を追加し、変更を保存します。
<microsoft.identityServer.web>
...
<useRelayStateForIdpInitiatedSignOn enabled="true" />
</microsoft.identityServer.web>
そのファイルを保存します。
"Active Directory Federation Services" (adfssrv) サービスを再起動します。

設定中

Adaptive Planning

証明書利用者として

MS AD FS 3.0 管理コンソールへ移動します。
"MS AD FS 3.0"
をクリックし、
"Trust Relationships"
を展開します。
"Relying Party Trusts"
を右クリックし、
"Add Relying Party Trust"
をクリックします。
"Select Data Source" ページで、
"Enter data about the relying party manually"
を選択し、
"Next"
をクリックします。
表示名には、任意の適切な名前を指定します。例: AdaptivePlanning。必要に応じてメモを入力し、
"Next"
をクリックします。
AD FS プロファイル
を選択します。
証明書設定ステップはスキップします。
以下を設定します。
Adaptive Planning
SSO URL (の "SAML 設定" 画面から取得)
Adaptive Planning
。例:
https://login.adaptiveplanning/samlsso/R0xPQk8==
"ID の設定"
ページで以下を入力します。
URL (の "SAML 設定" 画面から)
Adaptive Planning
を識別子として選択し、
"追加" をクリックします。
次のページで、
"Permit all users access to this relying party"
を選択し (のちにこのアプリケーションを特定のユーザーに割り当てる場合は、
"Deny"
を選択)、
"Next"
をクリックします。
"Ready to Add Trust"
ページで、
"Next"
をクリックします。
"Finish"
ページの、
"Open the Edit Claims Rules dialog for this relying party trust when the wizard closes"
をクリアし、
"Close"
をクリックします。

クレーム ルールの設定

サンプルのクレーム ルール #1

このクレーム ルールでは、ユーザーの

"Email-Address"

の値は特性ステートメントとして SAML 応答で送られます。その特性が個々にユーザーを識別できる限り、SAML トークンではどの LDAP 特性も使用できます。同じように、"Outgoing Claim Type" では、名前のリストまたはタイプから 1 つ選択します。

"Relying Party Trusts"
リストの中の
"Adaptive Planning"
エントリを右クリックし、
"Edit Claim Rules"
を選択してください。
"Issuance Transform Rules"
タブの
"Add Rule"
をクリックします。
"Claim Rule"
テンプレート ドロップダウンから、
"Send LDAP Attribute as Claims"
を選択します。
"Next"
をクリックします。
「
Email as Claim
」のような名前をつけます。
"Attribute Store"
フィールドを "Active Directory" に、
"LDAP Attribute"
を "Email-Addresses" に、
"Outgoing Claim Type"
を "Email Address" に設定します。
"Finish"
をクリックします。
SAML attribute:
クレーム ルール #1 のみ設定している場合は、クレーム ルール #1 から送信クレーム タイプを入力してください。
送信クレーム タイプを探すには、ADFS 管理コンソールに移動してください。
"Service" > "Claim Descriptions" をクリックします。
使用しているクレーム タイプを右クリックし、プロパティをクリックします。
"Claim Type"
の値をコピーし、SAML 特性名に貼り付けます。次のようになります。
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
" または入力した短縮名

サンプルのクレーム ルール #2

このクレーム ルールでは、クレーム ルール #1 で設定された E メール アドレスを

"NameID"

の件名として送信します。

"Add Rule"
をクリックします。
クレーム ルール テンプレートが使用するものとして、
"Transform an Incoming Claim"
を選択します。
これに名前をつけます。この例では、
"Email Address to Name ID"
を使用しています。
受信クレーム タイプは、
"E-mail Address"
である必要があります (またはサンプル クレーム ルール #1 で使用した送信クレーム タイプと一致する必要があります)。
"Outgoing claim type"
を
"Name ID"
に、
"Outgoing name ID format"
を
"Email"
に設定してください。
"Pass through all claim values"
を選択します。
"Finish"
をクリックします。

このルールで、ユーザーの E メール アドレスの値を件名の NameID として次のフォーマットで送信します

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

。

で MS AD FS を ID プロバイダとして設定

Adaptive Planning

"ユーザー管理者" 権限を持つユーザーとして Adaptive Planning インスタンスにログインします。
"管理" > "SAML SSO 設定"
に移動します。
次の設定を入力します。
ID プロバイダ名
:
MS AD FS 3.0 のサーバー名をここに入力します。
ID プロバイダ エンティティ ID
:
FS Server MS AD FS 3.0 管理コンソールに表示されている値を入力します。これを探すには、
"サービス"
を右クリックし、
"Federation Services プロパティを編集"
をクリックして、
"Federation Service ID"
フィールドの値をコピーします。
ID プロバイダ シングル サインオン URL:
次のような URL を入力します (これは MS AD FS 側から Adaptive Planning に直接ログインするための URL です)。
https://ADFS_HOST/adfs/ls
カスタム ログアウト URL
: 必須ではありません。ユーザーが Adaptive Planning から
"ログアウト" を
クリックしたときに読み込む URL を入力します。URL が指定されていない場合、Adaptive Planning ログイン ページが使用されます。
ID プロバイダ証明書:
"前提条件" で説明される証明書ファイルを選択します。
SAML ユーザー ID タイプ
: ユーザーのフェデレーション ID を選択します。ユーザーの E メール アドレスを使用するというクレーム ルールを設定してあり、そのアドレスがユーザーのプロファイルのログイン フィールドと同じなら、
"SAML ユーザー ID" に "ユーザーの Adaptive Planning ユーザー名" を選択できます。
SAML ユーザー ID の場所
:
証明書利用者のクレーム ルールでサンプル クレーム #1 のみを設定した場合は、
"特性のユーザー ID" を選択します。
サンプル クレーム ルール #2 を設定した場合は、
"件名の名前 ID"
に
"ユーザー ID"
を選択してください。
"SAML 特性"
および
"SAML NameID 形式"
: これらのどれか 1 つを入力する必要があります。サンプル クレーム #1 のみを設定したのであれば、"SAML 特性" のフィールドをサンプル クレーム #1 からの出力クレーム タイプで入力し、
"SAML NameID 形式"
フィールドは空白にしておいてください。両方のサンプル クレーム ルールを設定したのであれば、
"SAML 特性"
フィールドをスキップし、
"SAML NameID"
フィールドにサンプル クレーム ルール #2 (E メール) からの出力名前 ID 形式で入力します。
SAML の有効化
:
"無効"
を選択します (これがデフォルトの値です)。設定をテストしたら、この画面に戻って他のユーザーのために SAML を有効にします。
"保存"
をクリックします。管理の概要が表示されます。
"SAML SSO の設定"
ページに戻り、設定が正常に保存されたことを確認します。ID プロバイダ証明書の発行者と有効性を確認します。
ページの下部にある "Adaptive Planning の
SSO URL"
を検索し、文字列値全体をコピーします。次のセクションでこの値が必要になるので、保存してください。

MS AD FS の証明書利用者の設定完了

MS AD FS 3.0 管理コンソールに戻ります。
"Relying Party Trusts"
リストの
"AdaptivePlanning"
を右クリックし、
"Properties"
を選択します。
"Endpoints"
タブをクリックしてから
"Add"
をクリックします。
"Endpoint Type"
を
"SAML Assertion Consumer"
に設定します。
"Binding"
を
"POST"
に設定します。
Adaptive Planning の SSO URL の値を
"URL"
フィールドに貼り付けます。ステップ
「 Adaptive Planning で MS AD FS を ID プロバイダとして設定」
で URL をコピーしたことに注意してください。
"OK"
をクリックし、プロパティ ダイアログの
"Apply"
をクリックします。

設定のテスト

MS AD FS 側と Adaptive Planning 側のユーザーを選択します。設定
Adaptive Planning
ユーザーには "SAML 管理者" 権限が必要です。
ユーザーの E メール アドレス (またはクレーム ルール #1 で選択された LDAP 特性) を MS AD FS に入力します。
Adaptive Planning で、
"管理" > "ユーザーを編集"
ページのユーザーの
"SAML フェデレーション ID"
フィールドに E メール アドレス (おそらく同じ値) を入力します。
Active Directory ドメインの一部を成すコンピュータにその AD FS ユーザーをログインします。
そのコンピュータ上の Web ブラウザで、以下にアクセスします。
https://login.adaptiveplanning.com/app
インスタンスが米国以外の地域の認証を使用している場合、認証 URL と API エンドポイントは地域によって異なります。参照 参考: 地域認証 URL。
すべてが正しく設定できていれば、Adaptive Planning のウェルカム ページへリダイレクトされます。ユーザー名を入力しますが、ログイン ページのパスワード フィールドは空白のままにします。
"送信"
をクリックします。

Excel Interface for Planning および OfficeConnect への SSO