ID プロバイダの検証と SSO の有効化

前提条件：「自分のプロファイルの設定」

この項では、SSO を有効にする方法について説明します。

IdP の検証

SSO を有効にするには、まず alm IdP を検証します。

IdP を検証して、IdP の設定と、ALM SP と IdP 間の通信を確認します。

注: ローカル認証を有効にし、認証方法としてローカル認証を選択すると、IdP を検証せずに直接 SSO を有効にできます。

前提条件

IdP を検証する前に、次のことを確認します。

  • 少なくとも 1 つの ALM サイト管理ユーザがすでに IdP ユーザにマップされている。

  • ALM および IdP URL が IE の信頼済み URL に追加されている。

ウィザードを使用した IdP の検証

SSO 設定ウィザードを使用して IdP を検証できます。SaaS 以外の環境にのみ適用されます。SaaS 環境については、「検証のために検証 URL を IdP ユーザに送信」を参照してください。

ウィザードを使用して IdP を検証するには、次の手順を実行します。

  1. ［SSOの有効化］ステップで、［IDプロバイダ］フィールドから、検証する IdP を選択します。
  2. ステップの一番下にある［検証］をクリックします。

  3. IdP ログイン・ページで、IdP のユーザ名とパスワードを入力します。

  4. ［検証ステータス］フィールドで、検証ステータスを確認します。

    ステータス 説明
    検証保留中 SSO 検証の初期ステータス。
    検証成功 検証に合格しました。
    検証失敗 検証に合格しませんでした。失敗の詳細は、［検証ステータス］フィールドの下に表示されます。

検証のために検証 URL を IdP ユーザに送信

検証 URL をコピーして、リモート検証のために IdP ユーザに送信できます。

注: SaaS 環境では、SSO 検証のためにのみ、IdP ユーザに検証 URL を送信できます。

  1. ［SSOの有効化］ステップで、［IDプロバイダ］フィールドから、検証する IdP を選択します。
  2. ステップの下部にある［検証URLのコピー］をクリックします。

  3. ［検証URLのコピー］ダイアログ・ボックスで、［コピー］をクリックし、リンクを IdP ユーザに送信します。

    IdP ユーザがリンクを開くと、IdP ログイン・ページにリダイレクトされます。IdP のユーザ名とパスワードを入力すると、検証が成功したかどうか示すページにリダイレクトされ、成功しなかった場合はその理由も示されます。

    電子メール通知が有効になっている場合は、指定されたサイト管理ユーザに、SSO 検証 URL にアクセスしたユーザに関する電子メールが届きます。詳細については、「通知の送信」を参照してください。

先頭に戻る

SSO の有効化

alm IdP が正常に検証されたら、SSO を有効にできます。

SSO を有効にするには、このステップの右下隅にある［SSOの有効化］をクリックします。

SSO を有効にした後：

  • SSO を無効にすることはできません。

  • ［SSOの有効化］ステップの名前が［SSOの検証］に変わり、［SSOの有効化］ボタンが消えます。

  • IdP を追加できます。

先頭に戻る

FAQ

A：

根本原因：間違った SP メタデータ URL が IdP に登録されたため、ALM から送信された SAML 要求を IdP が認識できません。

解決策：正しい SP メタデータを ALM からロードできることを確認してください。また、IdP を検証する前に、ALM を SP として正しく IdP に登録する必要があります。SP メタデータが IdP に登録された後で IdP を検証すると、IdP ログイン・ページに正しくリダイレクトされます。

A：

根本原因：SAML 応答アサーションに、必要なアサーションの「IdentityKey」が含まれていませんでした。

解決策：IdP が SAML 応答を返した場合、IdP と ALM 間の信頼は正常に確立されていることを意味します。唯一の問題は、IdP ユーザを ALM で検証できないことです。ALM ユーザと IdP ユーザは、IdentiyKey の値を使用してマップされます。IdP が SAML 応答で IdentityKey 値を提供しない場合、ALM は IdP ユーザを ALM ユーザにマップできないため、検証は失敗します。

この問題を解決するには、IdP で、SAML 属性としての IdentityKey を、IdP ユーザを一意に識別できる IdP 属性とマップします。

A：Web ブラウザで、ALM SP URL を次のように入力します。{ALM host:port}/osp/a/alm/auth/app/。IdP ログイン・ページにリダイレクトされ、認証後に再び SP ページにエラーなしでリダイレクトされた場合は、SP が IdP から SAML 応答を受信し、IdP と ALM 間の信頼が正常に確立されていることを意味します。

A：

根本原因：古いバージョンの ALM Client Launcher が使用されました。

解決策：ALM 15.x SSO ソリューションを使用するには、最新の ALM Client Launcher をダウンロードしてください。

https://marketplace.microfocus.com/appdelivery/content/alm-client-launcher

A：「*ローカル認証を有効にする」で［ローカル認証を有効にする］を［はい］に設定すると、ローカル・ユーザは ALM 側で、IdP ユーザは IdP 側で認証されます。ALM では、ALM ローカル・ユーザは、IdP「alm」が検証に合格しなかった場合でも、SSO を有効にできます。これは、検証に合格しなかった場合でもユーザがローカル・ユーザとして ALM にログインし、IdP ユーザが ALM にログインできるように IdP 設定を修正する可能性があるためです。

A：SSO が有効になった後でも、ローカル・ユーザが ALM にログインして SSO 設定の問題を修正できるように、ローカル認証を有効にすることをお勧めします。

A：15.0.1 以降、SSO が有効になった後は、すべてのユーザが SSO 認証またはローカル認証のいずれかを介して認証されます。

ローカル・アカウントは、SSO が有効になった後も ALM に保持されます。認証を受けるには、ローカル・アカウントが次の要件のどちらかを満たしている必要があります。

  • 各ローカル・ユーザが、IdP ユーザにマップされている。
  • 各ローカル・ユーザが、ALM ローカル・ユーザとして設定されていて、ローカル認証が有効になっている。

A：ALM 15.0.1 以降では、ローカル認証がサポートされています。ローカル認証が有効になっている場合、サイト管理者は、ユーザの IdP ID を「local」として指定することにより、そのユーザを ALM ローカル・ユーザとして設定できます。このようなローカル・ユーザは、ALM に直接ログインできます。

A：プロジェクト・データへの影響はありません。SSO 認証で変更されるのはユーザ管理のみです。

A：SSO モードに切り替えても、既存ユーザのユーザ名は変更されません。ユーザは、ALM が非 SSO モードで実行されていたときにアクセスしていたのと同じリソースに引き続きアクセスできます。

ユーザは、対応する IdP ユーザにマップされるだけです。USERS テーブルには 2 つの追加カラム（US_IDENTITY_KEY および US_IDPID_NAME）があり、このカラムに各ユーザのユーザ・マッピング情報が保持されます。

A：ALM 15 が SSO モードで動作する場合、いくつかの IdP セッションおよび SP セッションが HTTP 要求の Cookie の末尾に追加されます。これにより、要求ヘッダ・サイズは ALM が非 SSO モードで実行される場合よりも大幅に大きくなります。この問題は、ユーザのリバース・プロキシまたは ALM が、要求ヘッダのサイズを実際のサイズよりも小さく制限しているときに発生します。

この問題を解決するには、ALM Jetty 設定を変更して、要求ヘッダ・サイズを大きくします。推奨サイズ：81920。Jetty コネクタの "requestHeaderSize" を設定する方法については、Jetty のドキュメントを参照してください。

リバース・プロキシでも要求ヘッダのサイズを制限している場合は、ネットワーク管理者にサイズの変更を依頼してください。

A：SSO 設定ファイルを手動で変更するには、次の手順を実行します。

  1. {installzation_folder} にある qcConfigFile.properties ファイルで、「repositoryPath」の値を新しいリポジトリ・フォルダに更新します。

  2. {deployment_folder}/wrapper にある wrapper.conf ファイルで、「wrapper.java.additional.34」の値を次のように更新します。

    wrapper.java.additional.34=-Dalm.osp.framework.generic-properties-filename="{New ALM repository}/sa/DomsInfo/osp/basic.properties"

  3. {project repository folder} にある basic.properties ファイルで、「oauth-keystore.file」の値を次のように更新します。

    oauth-keystore.file={New ALM repository}\\sa\\DomsInfo/osp/basic.pfx

  4. {project repository folder} にある ospcfg.xml ファイルで、「name="propertiesFile"」の値を次のように更新します。

    <NamedValue value="{New ALM repository}\sa\DomsInfo/osp/alm.properties" name="propertiesFile"/>

  5. SSO 設定ツールで「サービス・プロバイダの設定」および「ID プロバイダの設定」を実行します。

注: ALM リポジトリを変更する方法の詳細については、「How to move the domain repository from one location to another when using TD for QC」を参照してください。

A：Chrome または Edge のセキュリティ設定を変更します。

  1. Chrome の場合は「chrome://flags/」、Edge の場合は「edge://flags/」と入力します。
  2. キーワード「SameSite by default cookies」を検索します。

  3. Chrome の場合：［Cookies without SameSite must be secure］および［SameSite by default cookies］オプションを［Disabled］に設定します。

    Edge の場合：［SameSite by default cookies］および［Schemeful Same-Site］オプションを［Disabled］に設定します。

先頭に戻る