SSO Google Apps スタイルブック

1. 認証仮想サーバーの構成
2. SAML IdPポリシーとプロファイルの構成
3. ポリシーとプロファイルを認証仮想サーバーにバインドする
4. インスタンスでのLDAP認証サーバーとポリシーの構成
5. LDAP認証サーバーとポリシーを、インスタンスで構成された認証仮想サーバーにバインドする

SSO GoogleアプリStyleBookを展開するには

1. NetScaler Consoleで、Applications > Configurations > StyleBooks に移動します。StyleBooksページには、NetScaler Consoleで使用できるすべてのStyleBookが表示されます。下にスクロールして、SSO Google Apps StyleBook を見つけます。Create Configuration をクリックします。
2. StyleBookは、このStyleBookで定義されているすべてのパラメーターの値を入力できるユーザーインターフェイスページとして開きます。
3. 以下のパラメーターの値を入力します。
   1. アプリケーション名。ネットワークに展開するSSO Googleアプリ構成の名前。
   2. 認証仮想IPアドレス。認証、承認、監査仮想サーバーがGoogleアプリSAML IdPポリシーにバインドするために使用する仮想IPアドレス。
   3. SAMLルール式。デフォルトでは、以下のNetScalerポリシー（PI）式が使用されます: HTTP.REQ.HEADER("Referrer").CONTAINS("google")。要件が異なる場合は、このフィールドを別の式で更新してください。このポリシー式は、これらのSAML SSO設定が適用されるトラフィックと一致し、ReferrerヘッダーがGoogleドメインから来ていることを確認します。
4. SAML IdP設定セクションでは、ステップ3で作成された認証、承認、監査仮想サーバーによって使用されるSAML IdPプロファイルとポリシーを作成することにより、NetScalerインスタンスをSAML IDプロバイダーとして構成できます。
   1. SAML発行者名。このフィールドに、認証仮想サーバーのパブリックFQDNを入力します。例: https://<NetScaler Auth VIP>/saml/login
   2. SAMLサービスプロバイダー（SP）ID。（オプション）NetScaler IDプロバイダーは、このIDと一致する発行者名からのSAML認証要求を受け入れます。
   3. アサーションコンシューマーサービスURL。NetScaler IDプロバイダーがユーザー認証成功後にSAMLアサーションを送信する必要があるサービスプロバイダーのURLを入力します。アサーションコンシューマーサービスURLは、IDプロバイダーサーバーサイトまたはサービスプロバイダーサイトで開始できます。
   4. このセクションには、他にも入力できるオプションフィールドがあります。たとえば、次のオプションを設定できます。
      1. SAMLバインディングプロファイル（デフォルトは「POST」プロファイル）。
      2. SAMLリクエスト/レスポンスを検証/署名するための署名アルゴリズム（デフォルトは「RSA-SHA1」）。
      3. SAMLリクエスト/レスポンスのハッシュをダイジェストする方法（デフォルトは「SHA-1」）。
      4. 暗号化アルゴリズム（デフォルトはAES256）、およびその他の設定。
      注
      これらの設定はGoogle Appsとの互換性がテスト済みであるため、デフォルト設定を維持することをお勧めします。

   5. ユーザー属性チェックボックスを有効にして、次のようなユーザー詳細を入力することもできます。
      1. ユーザー属性の名前
      2. 属性の値を抽出するために評価されるNetScaler PI式
      3. 属性のユーザーフレンドリーな名前
      4. ユーザー属性の形式を選択します。
      これらの値は発行されたSAMLアサーションに含まれます。このStyleBookを使用してNetScalerによって発行されるアサーションには、最大5セットのユーザー属性を含めることができます。
5. LDAP設定セクションで、Google Appsユーザーを認証するために以下の詳細を入力します。ドメインユーザーが会社のメールアドレスを使用してNetScalerインスタンスにログオンできるようにするには、以下を設定する必要があります。
   1. LDAP (Active Directory) ベース。認証を許可したいActive Directory (AD) 内にユーザーアカウントが存在するドメインのベースドメイン名を入力します。例: dc=netscaler、dc=com
   2. LDAP (Active Directory) Bind DN。ADツリーを参照する権限を持つドメインアカウント（設定を容易にするためにメールアドレスを使用）を追加します。例: cn=Manager,dc=netscaler,dc=com
   3. LDAP (Active Directory) Bind DN Password。認証用のドメインアカウントのパスワードを入力します。
   4. このセクションで入力する必要があるその他のフィールドは次のとおりです。
      1. NetScalerがユーザー認証のために接続するLDAPサーバーのIPアドレス
      2. LDAPサーバーのFQDN名
         注
         上記の2つのうち、LDAPサーバーのIPアドレスまたはFQDN名の少なくともいずれか1つを指定する必要があります。

      3. NetScalerがユーザー認証のために接続するLDAPサーバーポート（デフォルトは389）.
      4. LDAPホスト名。これは、検証がオンになっている場合（デフォルトではオフ）、LDAP証明書を検証するために使用されます。
      5. LDAPログイン名属性。ログイン名を抽出するために使用されるデフォルトの属性は「sAMAccountName」です。
      6. その他のオプションのLDAP設定
6. SAML IdP SSL証明書セクションでは、SSL証明書の詳細を指定できます。
   1. Certificate Name。SSL証明書の名前を入力します。
   2. Certificate File。ローカルシステムまたはNetScaler ConsoleのディレクトリからSSL証明書ファイルを選択します。
   3. CertKey Format。ドロップダウンリストボックスから、証明書と秘密鍵ファイルの形式を選択します。サポートされている形式は.pemおよび.der拡張子です。
   4. Certificate Key Name。証明書秘密鍵の名前を入力します。
   5. 証明書キーファイル。ローカルシステムまたはNetScaler Consoleから、証明書の秘密鍵を含むファイルを選択します。
   6. 秘密鍵パスワード。秘密鍵ファイルがパスフレーズで保護されている場合は、このフィールドに入力します。
   7. また、「詳細証明書設定」チェックボックスを有効にして、証明書の有効期限通知期間、証明書の有効期限モニターの有効化または無効化などの詳細を入力することもできます。
7. オプションで、上記で入力したSAML IdP証明書がNetScalerにCA公開証明書をインストールする必要がある場合、IdP SSL CA証明書を選択できます。詳細設定で「CA証明書である」を選択していることを確認してください。
8. オプションで、SAML SP SSL証明書を選択して、Google Apps (SAML SP) からの認証要求を検証するために使用されるGoogle SSL証明書 (公開鍵) を指定できます。
9. ターゲットインスタンスをクリックし、このGoogle Apps SSO構成を展開するNetScalerインスタンスを選択します。作成をクリックして構成を作成し、選択したNetScalerインスタンスに構成を展開します。
   注
   更新アイコンをクリックして、NetScaler Consoleで最近検出されたNetScalerインスタンスを、このウィンドウの利用可能なインスタンスリストに追加することもできます。
   また、,
   ヒント
   実際の構成を実行する前に、ドライランを選択して、StyleBookによってターゲットNetScalerインスタンスに作成される構成オブジェクトを視覚的に確認することをお勧めします。