ADFSへのメタデータファイルのインストール

概要

このドキュメントでは、Microsoft Active Directoryフェデレーションサービス(ADFS)にメタデータファイルをインストールする方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• ADFS
• セキュリティ管理アプライアンスとのSecurity Assertion Markup Language(SAML)統合

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• SMA 11.x.x
• SMA 12.x.x

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

メタデータファイルをADFSにインストールする前に、次の要件が満たされていることを確認してください。

• SMAで有効なSAML
• 組織で使用されているアイデンティティプロバイダーがCiscoコンテンツセキュリティ管理アプライアンスでサポートされているかどうかを確認します。サポートされているアイデンティティプロバイダーは次のとおりです。

  • Microsoft Active Directoryフェデレーションサービス(ADFS)2.0

  • Ping Identity PingFederate 7.2

  • Cisco Webセキュリティアプライアンス9.1

• アプライアンスとIDプロバイダー間の通信を保護するために必要な次の証明書を取得します。

  • アプライアンスでSAML認証要求に署名する場合、またはIDプロバイダーでSAMLアサーションを暗号化する場合は、信頼できる認証局(CA)と関連付けられた秘密キーから自己署名証明書または証明書を取得します。

  • アイデンティティプロバイダーがSAMLアサーションに署名するには、アイデンティティプロバイダーの証明書を取得します。アプライアンスはこの証明書を使用して、署名されたSAMLアサーションを確認します

設定

ステップ1:SMAに移動し、図に示すように[System Administration] > [SAML] > [Download Metadata]を選択します。

ステップ2：お客様がADFSメタデータファイルをアップロードすると、アイデンティティプロバイダープロファイルが自動的に入力されます。MicrosoftのデフォルトURLは次のとおりです。https://<ADFS-host>/FederationMetadata/2007-06/FederationMetadata.xml。

ステップ3：両方のプロファイルを設定したら、バグCSCvh30183に従って、SPプロファイルメタデータを編集する必要があります。図に示すように、メタデータファイルが表示されます。

ステップ4：強調表示された情報を削除します。最後のメタデータファイルは、図に示すように指定する必要があります。

ステップ5：図に示すように、ADFSに移動し、編集したメタデータファイルを[ADFS Tools] > [AD FS Management] > [Add Relying Party Trust]にインポートします。

ステップ6：メタデータファイルを正常にインポートした後、新しく作成した証明書利用者信頼の要求ルールを設定し、図に示すように[要求ルールテンプレート] > [LDAP属性の送信]を選択します。

ステップ7：要求ルール名に名前を付け、[Attribute Store] > [Active Directory]を選択します。

ステップ8：図に示すように、LDAP属性をマッピングします。

• [LDAP Attribute] > [E-Mail-Addresses]
• [Outgoing Claim Type] > [E-Mail-Address]

ステップ9：図に示すように、この情報を使用して新しいカスタム要求ルールを作成します。

これは、カスタム要求ルールに追加する必要があるカスタムルールです。

c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"] =>
issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer
= c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType,
Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] =
"urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress",
Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier
"] = "https://<smahostname>:83");

• SMAのホスト名とポートを使用して強調表示されたURLを変更します（CES環境では、ポートは不要ですが、euq1.<allocation>.iphmx.comをポイントする必要があります）

ステップ10:[Claim rule order]が図に示すように、LDAP要求ルールが最初に、カスタム要求ルールが2番目に表示されます。

ステップ11:EUQにログインし、ADFSホストにリダイレクトする必要があります。

確認

現在、この設定に使用できる確認手順はありません。

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。

関連情報

• CSCvh30183
• テクニカル サポートとドキュメント – Cisco Systems