このページのトピック
Active Directory Federation Services（ADFS）セットアップガイド
Trend Micro Cloud OneのメタデータXMLをダウンロードする
- IDおよびアカウント権限へのフルアクセス権を持つ Trend Micro Cloud One にログインします。
- ページの下部にある [User Management] をクリックします。
- 左側のIdentity Providersタブをクリックします。
- [ Trend Micro Cloud One用のメタデータXMLをダウンロード ]リンクをクリックするか、リンクを右クリックしてオプションを選択し、ファイルを保存します。
このXMLファイルは、SAMLを設定するためにADFSにアップロードされます。後で別のXMLファイルを使用して Cloud One にアップロードします。
ADFSでSAMLを設定する
以下の手順の詳細については、 Microsoftのドキュメント を参照してください。
これは、Active Directoryに少なくとも1つのグループに関連付けられたユーザがいることを前提としています。次の設定を使用するには、これらのユーザに有効なメールアドレスが必要です。
証明書利用者信頼の追加
- ADFS Management consoleを開き、[ Add Relying Party Trust ]をクリックします。 Claims aware （利用可能な場合）を選択し、 Startをクリックします。
- Import data about the relying party from a fileを選択し、Cloud Oneメタデータファイルをアップロードします。
- Cloud One の表示名を入力し、[ Next ]をクリックします。
- アクセス制御ポリシーを選択します。たとえば、すべてのユーザ、特定のグループを許可するなどです（グループのクレームは後の手順で定義します）。
- 最後のページに到達するまでNextをクリックし、Finishをクリックします。
クレーム発行ポリシーの追加
- [ Relying Party Trusts ]で、[ Edit Claim Issuance Policy ]をクリックします。
名前ID
- [ Add Rule ]をクリックし、[ Send LDAP Attributes as Claims ]を選択して、「E-mail to E-mail」など、ルールの名前を入力します。
- 属性ストアに[ Active Directory ]を選択し、LDAP属性[ E-Mail-Addresses ]を送信クレームの種類[ E-Mail Address ]にマップします。[Finish] をクリックします。
- [ Add Rule ]をクリックし、[ Transform an Incoming Claim ]を選択して、「E-mail to Name ID」など、ルールに付ける任意の名前を入力します。
- 受信の場合は、[ E-Mail Address ]を選択します。送信クレームの種類として、[ Name ID ]を選択します。送信名IDの形式として、[ Email ]を選択します。 Pass through all claim values が選択されていることを確認し、[ Finish ]をクリックします。
グループのクレーム
- [ Add Rule ]をクリックします。 [ Send Group Membership as a Claim ]を選択し、「Group Membership」など、ルールに付ける名前を入力します。
- ユーザが属するグループを選択します。[ Outgoing claim type ]を選択する場合は、[ Group ]を選択します。[Outgoing claim value]にこのクレームの名前を入力します（例：
group） 。この値は後で使用するため、覚えておいてください。
名前のマッピング
- [ Add Rule ]をクリックし、[ Send LDAP Attributes as Claims ]を選択して、「Display Name to Name」などのルールの名前を入力します。
- ストアに[ Active Directory ]を選択し、LDAP Attribute Display-Name を[ Name ]にマッピングして、[ OK ]をクリックします。
詳細については、 属性のクレームガイド を参照してください。
Relayステータス
現在、この機能はTrend Micro Cloud One Workload Securityでのみ機能します。
サインイン時にユーザが自動的に Cloud One Workload Security にアクセスできるようにするには、次の手順に従ってください。それ以外の場合は、ADFS のメタデータXMLのダウンロードに進んでください。
ADFS 2.0の手順
にスキップADFS 3.0 の手順ADFS 2.0 ではなく ADFS 3.0 を使用している場合。
- KB2681584 （アップデートロールアップ2）または KB2790338 （アップデートロールアップ3）をインストールして、 Relay Stateをサポートします。
- テキストエディタ（メモ帳など）でファイル
%systemroot%\inetpub\adfs\ls\web.configを開きます。 web.configファイルのmicrosoft.identityServer.webセクションに、useRelyStateForIdpInitiatedSignOnに関する行を次のように追加し、変更を保存します。<microsoft.identityServer.web> ... <useRelayStateForIdpInitiatedSignOn enabled="true" /> ...</microsoft.identityServer.web>- インターネットインフォメーションサービス（IIS）を再起動するには、コマンドラインで
iisresetと入力します。 - Windowsマシンでサービスアプリを開き、 Active Directory Federation Servicesを右クリックして、[ Restart ]オプションを選択します。
ADFS 3.0の手順
- テキストエディタ（メモ帳など）でファイル
%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.configを開きます。 web.configファイルのmicrosoft.identityServer.webセクションに、useRelyStateForIdpInitiatedSignOnに関する行を次のように追加し、変更を保存します。<microsoft.identityServer.web> ... <useRelayStateForIdpInitiatedSignOn enabled="true" /> ...</microsoft.identityServer.web>- Windowsコンピュータでサービスアプリを開き、
Active Directory Federation Servicesを右クリックして、restartオプションを選択します。
ADFS 2.0とADFS 3.0の両方に共通の手順
- PowerShellプロンプトで、
Set-AdfsProperties -EnableRelayStateForIdpInitiatedSignOn $trueと入力します。 - Windowsの[ファイル名を指定して実行]ダイアログボックスで、「
%windir%\ADFS\Microsoft.IdentityServer.msc」と入力してAD FS管理アプリケーションを開きます。 - AD FSの下のアプリケーションの左側で、
Relying Party Trustsフォルダを選択します。 - 信頼を右クリックし、[ Properties ]を選択します。
- Identifiers タブを選択します。
Relying Party Identifierをメモします（例：https://saml.cloudone.trendmicro.com）。- URLエンコーダ（https://www.urlencoder.org/など）を使用してRPIDをエンコードします。
- 以下の
Valid Relay Statesテーブルから選択した Relay Stateをエンコードします（たとえば、/workloadは%2Fworkloadになります）。 - 値
RelayState=<Your encoded Relay State>をエンコードします（例：RelayState%3D%252Fworkload）。 - これで、RelayStateの完全な文字列
?RelayState=RPID%3<Your encoded RPID>%26RelayState%3D%252Fworkloadを作成できます（例：?RelayState=RPID%3https%3A%2F%2Fsaml.cloudone.trendmicro.com%26RelayState%3D%252Fworkload）。 - SAML SSOを使用する場合は、RelayState文字列をURL
https://YOUR-DNS/adfs/ls/idpinitiatedsignonの末尾に追加します。次のような形式になります。https://YOUR-DNS/adfs/ls/idpinitiatedsignon?RelayState=RPID%3https%3A%2F%2Fsaml.cloudone.trendmicro.com%26RelayState%3D%252Fworkload
コンソールのテーマを設定する
テーマクエリパラメータの指定は任意で、ユーザはアイデンティティプロバイダSAML応答から取得したrelayStateで特定のテーマを指定できます。有効なテーマ値は「light」と「dark」です。「ダーク」を選択すると、 Trend Micro Cloud One コンソールがダークモードで開きます。テーマパラメータが指定されていない場合、ブラウザの初期設定はライトモードになります。
テーマを指定するには、SAML応答のrelayStateでクエリパラメータとして「theme」を「dark」または「light」のいずれかの値とともに含める必要があります。
RelayStateの場合：
/theme=dark暗いテーマの場合/theme=lightライトテーマ用
Relay状態サインインのテスト
- ブラウザを開き、 Relay Stateで作成したURLに移動します。
プロンプトが表示され、ADFSで設定した証明書利用者信頼にログインできるようになります。
利用可能なすべての証明書利用者信頼を含むドロップダウンが表示されます。
-
ログインするサイトを選択します。
-
[ Sign In ]ボタンをクリックします。
メールアドレスとパスワードの入力を求められます。
このメールアドレスとパスワードは、Windows Server Active Directoryで設定されているユーザと一致する必要があります。
- 有効なメールアドレスとパスワードを入力し、[ Sign In ]をクリックします。
Cloud Oneにログインします。Relay Stateが正しく設定されている場合、 Workload Securityにリダイレクトされます。
有効な Relay ：
| Relay Sate | 送信先サービス |
|---|---|
| /workload | エンドポイント保護 |
ADFSのメタデータXMLをダウンロードする
- https://YOUR-DNS/FederationMetadata/2007-06/FederationMetadata.xmlに移動して、フェデレーションメタデータXMLを取得します。
Cloud OneでSAMLを設定する
- Cloud One Identity Providers ページで、[ New ]をクリックします。
- [ アイデンティティプロバイダ ]ダイアログボックスの[ エイリアス ]フィールドに任意の名前を入力しますが、名前にはAzure ADやOktaなどのIDプロバイダを含めることをお勧めします。
- メタデータXMLファイル ボックスで、 ブラウズ ボタンをクリックし、IDプロバイダー（ Cloud Oneではない）からダウンロードしたメタデータファイルに移動します。
- [マッピング]セクション（SAMLシングルサインオンについての説明を参照）には、次の手順で説明する役割と属性を指定します。
- 役割属性 を次のように設定します。
http://schemas.xmlsoap.org/claims/Group - グループ を
group（グループ要求の作成時に入力した 送信要求の値 の値）に設定し、 Cloud One ロールにマッピングします。 - 名前属性 を
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameに設定し、 ロケール属性 および タイムゾーン属性 を空のままにします。 - [Save] をクリックします。
[マッピング]セクションで[ + ]をクリックして、複数の グループを追加します。複数のグループに異なるアクセス権を設定できます。
SAML SSOのテスト
- ADFSに戻ります。ADFSから、
https://YOUR-DNS/adfs/ls/idpinitiatedsignonに移動します。 - Active Directoryのユーザの1人としてログインすると、 Cloud Oneに自動的にログインします。
問題が発生した場合は、 トラブルシューティングSAMLガイド を参照してください。