エンティティーを作成しサービスプロバイダを追加した後に、サービスプロバイダのプロファイルを編集できます。始めにサービスプロバイダを追加したときには設定できなかった属性に値を追加したり、設定済みデータを変更したりする作業が必要な場合があります。連携インタフェースの「エンティティー」から作業を始めます。
「共通属性」の値は、アイデンティティープロバイダ自体の一般的な定義です。
この属性の静的な値は、これがホストプロバイダなのかそれともリモートプロバイダなのかを定義します。
この属性の値は、エンティティーの作成時に入力した説明です。始めに入力した説明を変更するか、その説明がない場合は新たに説明を追加することができます。
このエンティティーによってサポートされる Liberty Alliance Project Liberty Identity Federation Framework (Liberty ID-FF) リリースを選択します。
urn:liberty:iff:2003-08 は Liberty ID-FF version 1.2 を表します。
urn:liberty:iff:2002-12 は Liberty ID-FF version 1.1 を表します。
名前 ID のマッピングにより、サービスプロバイダは別のサービスプロバイダのネームスペースで連携している主体の名前 ID を取得できます。このようにして、要求側のプロバイダは自らは相互にアイデンティティー連携の関係にない主体について、他方のサービスプロバイダとやり取りできます。ID の取得に使用する通信プロトコルを識別する URI を入力し、「追加」をクリックします。
注 – Access Manager の名前 ID マッピングプロファイルは、現時点では SOAP のみをサポートします。この属性を使用する場合、属性の値は http://projectliberty.org/profiles/nim-sp-http にする必要があります。
証明書は Java キーストアファイルに格納されます。ファイル内の各証明書はエイリアスにマップされ、証明書をフェッチするときにはそのエイリアスが使用されます。要求や応答の署名に使用する証明書に関連付けられているキーエイリアスを入力します。
証明書は Java キーストアファイルに格納されます。ファイル内の各証明書はエイリアスにマップされ、証明書をフェッチするときにはそのエイリアスが使用されます。プロバイダのセキュリティー証明書に関連付けられているキーエイリアスを入力します。
Web サービスコンシューマが別のエンティティーと対話するときに使用するキーの長さを入力します。
暗号化の方式を選択します。次の中から選択できます。
なし
AES
DESede
名前 ID の暗号化を有効にするには、このチェックボックスをオンにします。
「通信 URL」属性には、プロバイダがこのアイデンティティープロバイダ専用で伝送できる場所が入ります。
アイデンティティープロバイダの SOAP メッセージの受信者の URL を入力します。この値により、ブラウザを使用しない通信で SOAP 受信者の場所が伝達されます。
サービスプロバイダがログアウト要求を送信できる URL を入力します。シングルログアウトは、このアイデンティティープロバイダが認証したすべてのセッションで、ログアウト機能の同期を取ります。
ログアウト完了後にアイデンティティープロバイダが主体をリダイレクトする URL を入力します。
サービスプロバイダが連携終了要求を送信する URL を入力します。
連携終了処理の完了後にアイデンティティープロバイダが主体をリダイレクトする URL を入力します。
名前 ID を指定するための要求をサービスプロバイダが送信する URL を入力します。この ID は、特定の主体についてこのアイデンティティープロバイダとやり取りするときに使用します。このオプションのサービスは、連携セッションが確立された後にのみ実装されます。
HTTP リダイレクトベースの名前登録の完了後に、アイデンティティープロバイダが主体をリダイレクトする宛先の URL を入力します。
Liberty Alliance Project プロファイルは、メッセージの内容とメッセージの移動に使用するメカニズムとの組み合わせを定義します。次の「通信プロファイル」属性は、アイデンティティープロバイダが各機能に使用するプロファイルを定義します。
アイデンティティープロバイダが主体の連携終了を他のプロバイダに通知するために使用するプロファイルを選択します。
HTTP リダイレクト
SOAP
アイデンティティープロバイダが主体のログアウトを他のプロバイダに通知するために使用するプロファイルを選択します。
HTTP リダイレクト
HTTP GET
SOAP
他のプロバイダが主体の新しい名前 ID をこのアイデンティティープロバイダに連絡するときに使用するプロファイルを選択します。
HTTP リダイレクト
SOAP
このアイデンティティープロバイダが認証要求または連携要求への応答を送信するときに使用するプロファイルを選択します。
ブラウザ POST (ブラウザベースの HTTP POST プロトコルを指定)
ブラウザアーティファクト (ブラウザを使用しない SOAP ベースのプロトコルを指定)
LECP (Liberty 対応クライアントプロキシを指定)
プロバイダは 1 つまたは複数のトラストサークルに所属することができます。しかし、トラストサークルが指定されていないプロバイダは、Liberty Alliance Project 仕様に基づく通信に参加できません。トラストサークルがまだ作成されていない場合は、あとでこの属性を定義することができます。
この数値は、特定の認証モジュールに定義されている認証レベルに対応します。ユーザーは、この認証レベルが定義されているモジュールにリダイレクトされます。
Mobile Contract
Mobile Digital ID
MobileUnregistered
パスワード
PasswordProtectedTransport
以前のセッション
スマートカード
Smartcard-PKI
ソフトウェア PKI
時間同期トークン
このリストには、プロバイダが設定された設定済みエンティティーが表示されます。
「サービスプロバイダ」属性は、サービスプロバイダに関する一般情報を定義します。
サービスプロバイダに送信されるすべての SAML 表明を受信し処理するエンドポイントの URL を入力します。
「サポートされるプロトコルリスト」共通属性の値が urn:liberty:iff:2003-08 の場合は、この必須 ID を入力します。
要求に ID が指定されていない場合にデフォルト値として「表明コンシューマサービス URL」を使用するには、このチェックボックスをオンにします。
サービスプロバイダが常に認証要求に署名するようにするには、このチェックボックスをオンにします。
主体が連携された後にサービスプロバイダを名前登録に参加できるようにするには、このチェックボックスをオンにします。
このオプションを選択することにより、要求者はアイデンティティープロバイダ側の名前 ID ポリシーを制御できます。オプションは次のとおりです。
アイデンティティープロバイダと要求元のサービスプロバイダまたはアフィリエイトグループとの間に主体について連携が存在している場合、アイデンティティープロバイダはその連携に対応する名前 ID を返します。そのような連携が存在しない場合は、エラーが返されます。
アイデンティティープロバイダは、主体について連携後に 1 回だけ使用できる一時的な ID を発行します。
主体についてアイデンティティー連携が存在していない場合、アイデンティティープロバイダは新しいアイデンティティー連携を開始できます。
アフィリエイト連携を有効にするには、このチェックボックスをオンにします。
「Federated Access Manager 設定」属性は、このホストされている Access Manager インスタンスに関する情報を定義します。
com.sun.identity.federation.plugins.FederationSPAdapter の実装クラスを定義します。これは、連携処理中にアプリケーション固有の処理を追加するのに使用されます。
「プロバイダエイリアス」は、エンティティープロファイル内でホストプロバイダを識別し、サービスプロバイダとアイデンティティープロバイダのどちらの設定であるかを見分けるために使用される名前です。値は一意で、URL で表すことができる必要があります。たとえば、sunAlias とすることができます。
ローカルホストプロバイダからの認証要求に使用するプロバイダのタイプを選択します。
「ローカル」を選択すると、ローカルホストプロバイダは、認証要求を受け取ったらすぐにローカルアイデンティティープロバイダに接続するように指定されます。実質的に自らに接続することになります。
「リモート」を選択すると、ローカルホストプロバイダは、認証要求を受け取ったらすぐにリモートアイデンティティープロバイダに接続するように指定されます。
情報をサービスプロバイダ要求の一部として受信していない場合に、このアイデンティティープロバイダが使用する認証コンテキストクラス (認証の方法) を選択します。この値で指定された認証コンテキストクラスは、不明なユーザーがサービスプロバイダの保護リソースにアクセスしようとしたために、サービスプロバイダが認証要求を送信するときにも使用されます。オプションは次のとおりです。
パスワード
Mobile Digital ID
スマートカード
Smartcard-PKI
MobileUnregistered
ソフトウェア PKI
以前のセッション
Mobile Contract
時間同期トークン
PasswordProtectedTransport
アイデンティティープロバイダが新規の認証要求を受け取ったときに、セッションが継続中でもユーザーを再び認証する必要がある場合は、チェックボックスをオンにします。この属性はデフォルトで有効です。
アイデンティティープロバイダがユーザーとやり取りしてはならないことを指定するには、チェックボックスをオンにします。
このプロバイダが設定されているレルムを指す値を入力します。たとえば、/sp です。
使用する Liberty Alliance Project 仕様のバージョンを規定する URI を入力します。デフォルト値は http://projectliberty.org/specs/v1 です。
このフィールドは、サービスプロバイダが名前登録に参加するために使用するクラスを定義します。名前登録とは、サービスプロバイダが主体の名前 ID を指定するためのプロファイルです。名前 ID は、アイデンティティープロバイダがサービスプロバイダと通信する際に使用します。値は com.sun.identity.federation.services.util.FSNameIdentifierImpl です。
ローカルホストプロバイダのホームページの URL を入力します。
シングルサインオンに失敗した場合に主体がリダイレクトされる URL を入力します。
自動連携は、同じユーザーの異なるプロバイダアカウントを共通属性に基づいて自動的に連携します。自動連携を有効にするには、このチェックボックスをオンにします。
この属性の値は、同じユーザーの異なるプロバイダアカウントを自動的に連携する際の共通属性として使用されます。
この属性の値は、SAML 表明の属性をローカルに定義されたユーザー属性にマップする際に使用するクラスです。デフォルトのクラスは com.sun.identity.federation.services.FSDefaultAttributeMapper です。
この値は、上で指定した属性マッパークラスによって使用されるマッピングを定義します。この属性のマッピングは、次のように設定します。
SAML 属性=ローカル属性
たとえば、EmailAddress=mail や Address=postaladdress のようにします。
別のアイデンティティープロバイダによってすでに認証された主体を認証するよう依頼されたアイデンティティープロバイダはプロキシとなって、要求元のサービスプロバイダの代わりに、認証を行うアイデンティティープロバイダに認証要求を送ります。これを動的アイデンティティープロバイダプロキシといいます。「プロキシ認証設定」属性は、動的アイデンティティープロバイダプロキシの値を定義します。
動的アイデンティティープロバイダプロキシを有効にするには、このチェックボックスをオンにします。
動的アイデンティティープロバイダプロキシに使用可能なアイデンティティープロバイダのリストを追加します。この属性の値は、所有者/プロバイダが属するエンティティーの「エンティティー名」属性に定義された値と一致する URI です。
要求の送信先にすることが可能なプロキシアイデンティティープロバイダの最大数を入力します。
プロキシとして機能しているアイデンティティープロバイダを検索するために Introduction Cookie を使用するには、このチェックボックスをオンにします。
「組織プロファイル」属性は、主体とやり取りするときに必要になることがある基本情報を提供します。これらの属性はオプションです。
注 – 「名前」属性に値を指定した場合は、「表示名」および「URL」属性に値を追加する必要があります。
エンティティーの組織の正式名称を入力し、「追加」をクリックします。この値は、locale| organization-name の形式で定義します。たとえば、en| example.com のようにします。
主体者への表示に適したエンティティーの組織の名前を入力し、「追加」をクリックします。この値は、locale|organization-display-name の形式で定義します。たとえば、en|example.com のようにします。
組織の URL を入力し、「追加」をクリックします。この値は、locale| organization-URL の形式で定義します。たとえば、en| http://www.example.com のようにします。
この属性はオプションです。詳細については、「担当者をプロバイダエンティティーに含まれるプロバイダに追加する」を参照してください。