製品ドキュメント
ADC
14.1 - Current Release 13.1 13.0 12.1
PDFを表示

SAML でサポートされる機能の追加

April 12, 2023
寄稿者: 
C

SAML では次の機能がサポートされています。

SAML SP および IdP 構成のメタデータの読み取りと生成のサポート

Citrix ADCアプライアンスは、SAMLサービスプロバイダー（SP）とIDプロバイダー（IdP）の両方の構成エンティティの手段としてメタデータファイルをサポートするようになりました。メタデータファイルは、エンティティの設定を記述する構造化された XML ファイルです。SP と IdP のメタデータファイルは別々です。デプロイメントに基づき、1 つの SP または IdP エンティティに複数のメタデータファイルがある場合もあります。 管理者は、Citrix ADC で（SAML SP および IdP）メタデータファイルをエクスポートおよびインポートできます。 SAML SP および IdP のメタデータのエクスポートとインポートの機能については、次のセクションで説明します。

SAML SP のメタデータエクスポート

Citrix ADC が SAML SP として構成され、SAML IdP が Citrix ADC SP 構成を含むメタデータをインポートしたい場合を考えてみましょう。Citrix ADC アプライアンスが、SAML SP 構成を指定する「samlAction」属性ですでに構成されているとします。

ユーザーまたは管理者からメタデータをエクスポートするには、以下のようにCitrix Gateway または認証仮想サーバーにクエリを実行します。

https://vserver.company.com/metadata/samlsp/<action-name>

SAML SP のメタデータのインポート

現在、Citrix ADCアプライアンスでのSAMLアクション構成にはさまざまなパラメーターが必要です。これらは管理者が手動で指定します。ただし、異なる SAML システムとの相互運用に関しては、管理者は命名法に気付かないことがよくあります。IdP のメタデータが利用可能であれば、「samlAction」エンティティの大部分の設定を回避できます。実際、IdP メタデータファイルを指定すると、IdP 固有の設定全体が省略されることがあります。’samlAction ‘エンティティは、メタデータファイルから設定を読み取るための追加パラメータを取るようになりました。

Citrix ADCアプライアンスにメタデータをインポートすると、メタデータには使用する署名アルゴリズムは含まれず、エンドポイントの詳細が含まれます。メタデータは、メタデータそのものを検証するために使用できる特定のアルゴリズムで署名できます。アルゴリズムは ‘samlAction’ エンティティには保存されません。

したがって、’samlAction’ エンティティで指定する内容は、データを送信するときに使用されます。受信データには、Citrix ADCアプライアンスが処理する異なるアルゴリズムを含めることができます。 最大サイズは 64 K バイトのメタデータをインポートできます。

コマンドラインインターフェイスを使用してメタデータファイルをフェッチする。

set samlAction <name> [-metadataUrl <url> [-metadataRefreshInterval <int>] https://idp.citrix.com/samlidp/metadata.xml

注

metadataRefreshInterval パラメータは、指定したメタデータ URL からメタデータ情報をフェッチする間隔（分）です。デフォルト値は 36000 です。

Metadata import for SAML IdP

「samlidpProfile」パラメータは、SP に固有の設定全体を読み取るために、新しい引数を取ります。SAML IdP の設定は、SP 固有のプロパティを SP メタデータファイルに置き換えることで簡略化できます。このファイルは HTTP 経由で照会されます。

コマンドラインインターフェイスを使用してメタデータファイルから読み込むには：

set samlIdPProfile <name> [-metadataUrl <url>] [-metadataRefreshInterval <int>]

Name-value attribute support for SAML authentication

SAML 認証属性に一意の名前と値を設定できるようになりました。名前は SAML アクションパラメータで設定され、値は名前のクエリによって取得されます。name 属性値を指定すると、管理者は属性名に関連付けられた属性値を簡単に検索できます。また、管理者は属性を値だけで覚える必要がなくなりました。

重要

  • samlAction コマンドでは、合計サイズが 2048 バイト未満で、カンマで区切って最大 64 個の属性を設定できます。
  • 属性リストを使用することをお勧めします。「属性 1 から属性 16」を使用すると、抽出された属性のサイズが大きい場合にセッションが失敗します。

CLI を使用して名前と値の属性を設定するには

コマンドプロンプトで入力します。

add authentication samlAction <name> [-Attributes <string>]

例：

add authentication samlAction samlAct1 -attributes “mail,sn,userprincipalName”

SAML IdP に対するアサーションコンシューマーサービス URL のサポート

SAML IDプロバイダ（IdP）として構成されたCitrix ADCアプライアンスは、SAMLサービスプロバイダ（SP）要求を処理するためのアサーションコンシューマサービス（ACS）インデックス作成をサポートするようになりました。SAML IdP は、ACS インデックス設定を SP メタデータからインポートするか、ACS インデックス情報を手動で入力できるようにします。 次の表は、Citrix ADCアプライアンスがSAML SPまたはSAML IdPとして使用される展開に固有の記事の一覧です。

他の特定のデプロイメントに関するいくつかの情報:

認証メカニズムに対する WebView クレデンシャルタイプのサポート

Citrix ADCアプライアンスの認証でAuthV3プロトコルをサポートできるようになりました。AuthV3 プロトコルの WebView 資格情報タイプは、すべてのタイプの認証メカニズム (SAML や OAuth を含む) をサポートします。WebView資格情報の種類はAuthV3の一部で、Citrix ReceiverおよびブラウザによってWebアプリケーションに実装されます。

次の例では、Citrix Gateway およびCitrix Receiverを介したWebViewイベントのフローについて説明します。

  1. Citrix Receiverは、AuthV3プロトコルのサポートについてCitrix Gateway
  2. Citrix ADCアプライアンスは肯定的に応答し、特定の開始URLを提案します。
  3. その後、Citrix Receiverは特定のエンドポイント（URL）に接続します。
  4. Citrix Gateway は、WebViewを起動するための応答をクライアントに送信します。
  5. Citrix ReceiverがWebViewを起動し、Citrix ADCアプライアンスに初期要求を送信します。
  6. Citrix ADCアプライアンスはURIをブラウザのログインエンドポイントにリダイレクトします。
  7. 認証が完了すると、Citrix ADCアプライアンスはWebViewに完了応答を送信します。
  8. WebViewが終了し、セッション確立のためにAuthV3プロトコルを続行するようにCitrix Receiverに制御が戻されます。

SAML SP でのセッションインデックスサイズの増加

SAML サービスプロバイダ (SP) の SessionIndex サイズが 96 バイトに増加しました。以前は、sessionIndex のデフォルトの最大サイズは 63 バイトでした。

注

NetScaler 13.0ビルド36.xで導入されたサポート

SAML SP のカスタム認証クラスリファレンスのサポート

SAML action コマンドで、カスタム認証クラス参照属性を設定できます。カスタム認証クラス参照属性を使用すると、適切な SAML タグ内のクラス名をカスタマイズできます。カスタム認証クラス参照属性と名前空間は、SAML SP 認証リクエストの一部として SAML IdP に送信されます。

以前は、SAML action コマンドを使用すると、authnctxClassRef 属性に定義されている定義済みクラスのセットのみを設定できました。

重要

customAuthnctxClassRef 属性を設定する際には、次の点を確認してください。

  • クラス名には、英数字、または適切な XML タグを持つ有効な URL を含める必要があります。
  • 複数のカスタムクラスを設定する必要がある場合は、各クラスをカンマで区切る必要があります。

CLI を使用して customAuthnCtxClassRef 属性を設定するには

コマンドプロンプトで入力します。

  • add authentication samlAction <name> [-customAuthnCtxClassRef <string>]
  • set authentication samlAction <name> [-customAuthnCtxClassRef <string>]

例：

  • add authentication samlAction samlact1 –customAuthnCtxClassRef http://www.class1.com/LoA1,http://www.class2.com/LoA2
  • set authentication samlAction samlact2 –customAuthnCtxClassRef http://www.class3.com/LoA1,http://www.class4.com/LoA2

GUI を使用して customAuthnCtxClassRef 属性を設定するには

  1. セキュリティ > AAA-アプリケーショントラフィック > ポリシー > 認証 > 詳細ポリシー > アクション > SAMLに移動します。
  2. [SAML] ページで [ サーバー ] タブを選択し、[ 追加] をクリックします。
  3. [認証 SAML サーバーの作成 ] ページで、SAML アクションの名前を入力します。

  4. 下にスクロールして、[ カスタム認証クラスタイプ] セクションのクラスタイプを設定します 。

    カスタム認証クラスタイプ

SAML IdP でのアーティファクトバインディングのサポート

SAML IDプロバイダー（IdP）として構成されたCitrix ADCアプライアンスは、アーティファクトバインディングをサポートします。Artifact バインディングは SAML IdP のセキュリティを強化し、悪意のあるユーザによるアサーションの検査を制限します。

SAML IdP に対するアサーションコンシューマーサービス URL のサポート

SAML IDプロバイダ（IdP）として構成されたCitrix ADCアプライアンスは、SAMLサービスプロバイダ（SP）要求を処理するためのアサーションコンシューマサービス（ACS）インデックス作成をサポートするようになりました。SAML IdP は、ACS インデックス設定を SP メタデータからインポートするか、ACS インデックス情報を手動で入力できるようにします。

FIPS オフロードサポート

SAMLサービスプロバイダーとして使用されるCitrix ADC MPX FIPSアプライアンスで、暗号化されたアサーションがサポートされるようになりました。また、SAMLサービスプロバイダーまたはSAML IDプロバイダーとして機能するCitrix ADC MPX FIPSアプライアンスを、FIPSハードウェアでSHA2アルゴリズムを使用するように構成できるようになりました。

注

FIPS モードでは、RSA-V1_5 アルゴリズムのみがキートランスポートアルゴリズムとしてサポートされます。

コマンドラインインターフェイスを使用して FIPS オフロードサポートを構成します。

  1. SSL FIPS を追加する

    add ssl fipsKey fips-key

  2. CSR を作成し、CA サーバで使用して証明書を生成します。その後、 /nsconfig/sslに証明書をコピーできます。このファイルが fips3cert.cerであると仮定します。

    add ssl certKey fips-cert -cert fips3cert.cer -fipsKey fips-key<!--NeedCopy-->

  3. SAML SP モジュールの SAML アクションでこの証明書を指定する

    set samlAction <name> -samlSigningCertName fips-cert<!--NeedCopy-->

  4. SAML IdP モジュールの SAMLidpProfile の証明書を使用する

    set samlidpprofile fipstest –samlIdpCertName fips-cert<!--NeedCopy-->

一般的な SAML 用語

SAML の一般的な用語をいくつか挙げます。

  • アサーション： SAML アサーションは、ユーザの認証後に ID プロバイダからサービスプロバイダに返される XML ドキュメントです。アサーションには、SAML 標準で定義されている特定の構造があります。

  • アサーションのタイプ: アサーションのタイプは次のとおりです。

    • 認証-ユーザーは特定の時間に、特定の手段で認証されます。
    • Authorization-指定されたリソースへのアクセスを許可または拒否されたユーザー
    • Attributes-ユーザーは指定された属性に関連付けられます。

  • アサーションコンシューマサービス (ACS): SAML アサーションの受信と解析を担当するサービスプロバイダのエンドポイント (URL)

  • オーディエンス制限： SAML アサーション内の値で、アサーションの対象となるユーザー（および対象者のみ）を指定します。 「オーディエンス」はサービスプロバイダーで、通常は URL ですが、技術的には任意のデータ文字列としてフォーマットできます。

  • ID プロバイダ (IdP): SAML の観点では、ID プロバイダは、サービスプロバイダからの要求に応じて、ユーザの ID を検証するエンティティです。

    ID プロバイダーは、ユーザーの ID を維持および認証する責任を負います。

  • サービスプロバイダ (SP): SAML に関しては、サービスプロバイダ (SP) はユーザーにサービスを提供し、ユーザーが SAML を使用してサインインできるようにします。ユーザーがサインインしようとすると、SP は ID プロバイダ (IdP) に SAML 認証要求を送信します。

  • SAML バインディング: SAML リクエスタとレスポンダは、メッセージを交換して通信します。これらのメッセージを転送するメカニズムを SAML バインディングと呼びます。

  • HTTP Artifact: SAML プロトコルでサポートされるバインディングオプションの 1 つ。HTTP Artifact は、SAML リクエスタとレスポンダが HTTP User-Agent を使用していて、技術的またはセキュリティ上の理由からメッセージ全体を転送したくないシナリオで役立ちます。代わりに、SAML Artifact が送信されます。SAML Artifact は、完全な情報の一意の ID です。IdP は Artifact を使用して完全な情報を取得できます。Artifact issuer は、Artifact が保留されている間、状態を維持する必要があります。Artifact 解決サービス (ARS) を設定する必要があります。

    HTTP Artifact はアーティファクトをクエリパラメータとして送信します。

  • HTTP POST: SAML プロトコルでサポートされているバインディングオプションの 1 つ。

    HTTP POST は、メッセージコンテンツを POST パラメータとしてペイロードで送信します。

  • HTTP リダイレクト: SAML プロトコルでサポートされるバインディングオプションの 1 つ。

    HTTP リダイレクトを使用すると、サービスプロバイダはログインが発生する ID プロバイダにユーザをリダイレクトし、ID プロバイダはユーザをサービスプロバイダにリダイレクトして戻します。HTTP リダイレクトには、User-Agent（ブラウザ）による介入が必要です。

    HTTP リダイレクトはメッセージコンテンツを URL で送信します。このため、レスポンスのサイズは通常、ほとんどのブラウザで許可されている URL の長さを超えるため、SAML レスポンスには使用できません。

    注： Citrix ADCアプライアンスは、ログアウト中のPOSTおよびリダイレクトバインディングをサポートします。

  • メタデータ: メタデータは、SP と IdP の相互通信方法を知るための設定データで、XML 標準になります。

SAML 認証に関連するCitrix その他の有用な記事

SAML 認証に関する次の記事が役に立つかもしれません。

SAML でサポートされる機能の追加
April 12, 2023
寄稿者: 
C
April 12, 2023
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.