ステップ: MS-AD FS 2.0 を使用した SAML SSO の設定

前提条件

マシン:
Windows Server 2008 R2 と AD FS 2.0 がインストールされている。
AD FS 2.0 Rollup 2 ホットフィックスがインストールされ、 が使用されている。
RelayState
パラメータが有効。詳しくは、AD FS 2.0 Rollup 2 ホットフィックスを参照してください。
ドメインに含まれている。
回答
Adaptive Planning
管理者権限のあるアカウント
確認 E メールの送信者:
Adaptive Planning
SAML が でプロビジョニングされたことを示します
Adaptive Planning
インスタンス。
認証機関によって認可されたトークン署名証明書。

"MS AD FS Management Console" > "Service" > "Certificates"
に移動します。
"Certificates"
リストの
"Token-Signing"
を右クリックし、
"View Certificate"
をクリックします。
"Details"
タブに移動し、
"Copy to File"
をクリックします。
"Certificate Export Wizard"
が表示されたら、
"Next"
をクリックします。
"DER encoded binary X.509 (.cer)"
を選択し、
"Next"
をクリックします。
ファイルに名前を付けて保存するディレクトリを選択し、
"Next"
をクリックします。
"Finish"
をクリックします。

AD FS 2.0 Rollup 2 ホットフィックス

ホットフィックスをインストールしていない場合、こちらで入手できます。

http://support.microsoft.com/kb/2681584

ホットフィックスをインストール後、ID プロバイダ起動 SSO の RelayState パラメータの使用を有効にします。

以下を開きます。
inetpub\adfs\ls\web.config
エディタ内のファイル
次で始まるセクションを探します
<microsoft.identityServer.web>
このセクションに次の行を追加します。
<useRelayStateForIdpInitiatedSignOn enabled="true" />
そのファイルを保存します。

設定

Adaptive Planning

証明書利用者として

AD FS 2.0 管理コンソールへ移動します。
"AD FS 2.0"
をクリックし、
"Trust Relationships"
を展開します。
"Relying Party Trusts"
を右クリックし、
"Add Relying Party Trust"
をクリックします。
"Select Data Source"
ページで、
"Enter data about the relying party manually"
を選択し、
"Next"
をクリックします。
表示名には、任意の適切な名前を指定します。例: AdaptivePlanning。必要に応じてメモを入力し、
"Next"
をクリックします。
"AD FS 2.0 Profile"
を選択します。
証明書設定ステップはスキップします。
以下を設定します。
Adaptive Planning
SSO URL ("SAML 設定" ページから取得)。例:
https://login.adaptiveplanning.com:443/samlsso/VkdHUkVFTkNPQURGUoMzNA==
"Configure Identifiers
" ページで、の "SAML 設定" ページから取得した URL を入力します。
Adaptive Planning
を識別子として選択し、
"追加"
をクリックします。
次のページで、
"Permit all users access to this relying party"
を選択します。このアプリケーションを後で特定のユーザーに割り当てる場合は
"Deny"
を選択し、
"Next"
をクリックします。
"Ready to Add Trust"
ページで、
"Next"
をクリックします。
"Finish"
ページの、
"Open the Edit Claims Rules dialog for this relying party trust when the wizard closes"
をクリアし、
"Close"
をクリックします。

クレーム ルールの設定

サンプルのクレーム ルール #1

このクレーム ルールでは、ユーザーの

"Email-Address"

の値は特性ステートメントとして SAML 応答で送られます。その特性が個々にユーザーを識別できる限り、SAML トークンではどの LDAP 特性も使用できます。同じように、"Outgoing Claim Type" では、名前のリストまたはタイプから 1 つ選択します。

"Relying Party Trusts"
リストの中の
"Adaptive Planning"
エントリを右クリックし、
"Edit Claim Rules"
を選択してください。
"Issuance Transform Rules"
タブの
"Add Rule"
をクリックします。
"Claim Rule"
テンプレート ドロップダウンから、
"Send LDAP Attribute as Claims"
を選択します。
"Next"
をクリックします。
「
Email as Claim
」のような名前をつけます。
"Attribute Store"
フィールドを
"Active Directory"
に、
"LDAP Attribute"
を
"Email-Addresses"
に、
"Outgoing Claim Type"
を
"Email Address"
に設定します。
"Finish"
をクリックします。

サンプルのクレーム ルール #2

このクレーム ルールでは、クレーム ルール #1 で設定された E メール アドレスを

"NameID"

の件名として送信します。

"Add Rule"
をクリックします。
クレーム ルール テンプレートが使用するものとして、
"Transform an Incoming Claim"
を選択します。
これに名前をつけます。この例では、
"Email Address to Name ID"
を使用しています。
受信クレーム タイプは、
"E-mail Address"
である必要があります (またはサンプル クレーム ルール #1 で使用した送信クレーム タイプと一致する必要があります)。
"Outgoing claim type"
を
"Name ID"
に、
"Outgoing name ID format"
を
"Email"
に設定してください。
"Pass through all claim values"
を選択します。
"Finish"
をクリックします。

このルールで、ユーザーの E メール アドレスの値を件名の NameID として次のフォーマットで送信します

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

。

で AD FS を ID プロバイダとして設定

Adaptive Planning

ユーザーにサインインする
Adaptive Planning
インスタンスに、"ユーザー管理者" 権限を持つユーザーとして。
"管理" > "SAML SSO 設定の管理"
に移動します。
次の設定を入力します。
ID プロバイダ名:
AD FS 2.0 のサーバー名をここに入力します。
ID プロバイダ エンティティ ID:
FS Server AD FS 2.0 管理コンソールに表示されている値を入力します。これを探すには、
"サービス"
を右クリックし、
"Federation Services プロパティを編集"
をクリックして、
"Federation Service ID"
フィールドの値をコピーします。
ID プロバイダ シングル サインオン URL:
MS AD FS 側から に直接ログインするための URL を入力します。
Adaptive Planning
以下に類似
https://ADFS_HOST/adfs/ls
。
カスタム ログアウト URL
:
必須ではありません。ユーザーが から "ログアウト" をクリックしたときに読み込む URL を入力します
Adaptive Planning
。URL を指定しない場合、
Adaptive Planning
サインイン ページは使用されます。
ID プロバイダ証明書:
"前提条件" に含まれる証明書ファイルを選択します。
SAML ユーザー ID タイプ
:
ユーザー フェデレーション ID を選択します。ユーザーの E メール アドレスを使用するというクレーム ルールを設定してあり、そのアドレスがユーザー プロファイルのログイン フィールドと同じなら、
"ユーザーの
Adaptive Planning
"SAML ユーザー ID"
のユーザー名
SAML ユーザー ID の場所
: 証明書利用者のクレーム ルールで、サンプル クレーム #1 のみを設定した場合は、"特性のユーザー ID" を選択してください。サンプル クレーム ルール #2 を設定した場合は、
"件名の名前 ID"
に
"ユーザー ID"
を選択してください。
"SAML 特性"
および
"SAML NameID 形式"
: これらのどれか 1 つを入力する必要があります。
サンプル クレーム ルール #1 のみを設定したのであれば、
"SAML 特性"
のフィールドにサンプル クレーム ルール #1 からの送信クレーム タイプを入力します。"SAML NameID 形式" フィールドは空白のままにします。
サンプル クレーム ルールを両方とも設定した場合は、
"SAML 特性"
フィールドをスキップして
"SAML NameID"
フィールドに入力します。サンプル クレーム ルール #2 (E メール) の送信名 ID 形式を使用します。
SAML の有効化
: "無効" を選択します (これがデフォルトの値です)。設定をテストしたら、このページに戻って他のユーザーの SAML を有効にします。
"保存"
をクリックします。設定
Adaptive Planning
管理の概要ページがロードされます。
検索対象
Adaptive Planning
ページの下部にあるSSO URL をクリックし、文字列値全体をコピーします。次のセクションでこの値が必要になるので、保存してください。例:

https://login.adaptiveplanning.com:443/samlsso/VkdHUKVFTkNPQURGU0MzNA--

AD FS の証明書利用者の設定の完了

AD FS 2.0 管理コンソールに戻ります。
"Relying Party Trusts"
リストの
"AdaptivePlanning"
を右クリックし、
"Properties"
を選択します。
"Endpoints"
タブをクリックしてから
"Add"
をクリックします。
"Endpoint Type"
を
"SAML Assertion Consumer"
に設定します。
"Binding"
を
"POST"
に設定します。
次の値を貼り付け:
Adaptive Planning
「Adaptive Planning で MS AD FS を ID プロバイダとして設定」のステップ 6 でコピーした SSO URL を
"URL"
フィールドにマッピング
"OK"
をクリックし、プロパティ ダイアログの
"Apply"
をクリックします。

設定のテスト

AD FS および
Adaptive Planning
。設定
Adaptive Planning
ユーザーには "SAML 管理者" 権限が必要です。
ユーザーの E メール アドレス (またはクレーム ルール #1 で選択された LDAP 特性) を AD FS に入力します。
開始
Adaptive Planning
にアクセスし、
"管理" > "ユーザー"
ページでユーザーの
"SAML フェデレーション ID"
フィールドに E メール アドレスを入力し、
"送信"
をクリックします。
Active Directory ドメインの一部を成すコンピュータにその AD FS ユーザーをログインします。
そのコンピュータ上の Web ブラウザ内で、以下に移動します。
https://login.adaptiveplanning.com/app
インスタンスが米国以外の地域の認証を使用している場合、認証 URL と API エンドポイントは地域によって異なります。参照 参考: 地域認証 URL。
すべてが正しく設定できていれば、以下にリダイレクトされます。
Adaptive Planning
ウェルカム ページ。サインイン ページでユーザー名を入力し、パスワード フィールドは空白のままにします。
"送信"
をクリックします。

Excel Interface for Planning および OfficeConnect への SSO