SSO Office 365 スタイルブック

• 管理コンソールにサインインする管理者を含む
• 企業の資格情報を使用して、すべてのMicrosoft Office 365サービスに1回サインオンします。

1. 認証仮想サーバーの構成
2. SAML IDPポリシーとプロファイルの構成
3. ポリシーとプロファイルを認証仮想サーバーにバインドする
4. インスタンス上のLDAP認証サーバーとポリシーの構成
5. インスタンスで構成された認証仮想サーバーにLDAP認証サーバーとポリシーをバインドする。

SSO Microsoft Office 365 StyleBookを展開するには

1. NetScaler Consoleで、Applications > StyleBooks に移動します。StyleBooks ページには、NetScaler Console で使用できるすべてのStyleBookが表示されます。下にスクロールして、SSO Office 365 StyleBook を見つけます。Create Configuration をクリックします。
2. StyleBookは、このStyleBookで定義されているすべてのパラメータの値を入力できるユーザーインターフェイスページとして開きます。
3. 次のパラメータの値を入力します。
   1. アプリケーション名。ネットワークに展開するSSO Microsoft Office 365構成の名前。
   2. 認証仮想IPアドレス。Microsoft Office 365 SAML IdPポリシーがバインドされているAAA仮想サーバーで使用される仮想IPアドレス。
      
4. SSL Certificates Settingsセクションで、SSL証明書と証明書キーの名前を入力します。
   注
   これはOffice 365サービスプロバイダー証明書ではありません。このSSL証明書は、NetScalerインスタンス上の仮想認証サーバーにバインドされます。

5. ローカルストレージフォルダーから該当するファイルを選択します。PEM形式の暗号化された秘密キーをロードするために、秘密キーパスワードを入力することもできます。
   
6. 詳細証明書設定チェックボックスを有効にすることもできます。ここでは、証明書の有効期限通知期間、証明書の有効期限モニターの有効化または無効化などの詳細を入力できます。
7. オプションで、SSL証明書がNetScalerにCA公開証明書をインストールする必要がある場合は、認証仮想IP用のSSL CA証明書チェックボックスを選択できます。上記の詳細証明書設定セクションで「CA証明書である」を選択していることを確認してください。
8. SSO Office 365のLDAP設定セクションで、Office 365ユーザーを認証するために次の詳細を入力します。ドメインユーザーが会社のメールアドレスを使用してNetScalerインスタンスにログオンできるようにするには、次を構成します。
   • LDAP (Active Directory) ベース。認証を許可するために、Active Directory (AD) 内にユーザーアカウントが存在するドメインのベースドメイン名を入力します。例: dc=netscaler®,dc=com
   • LDAP (Active Directory) Bind DN。ADツリーを参照する権限を持つドメインアカウント（設定を容易にするためにメールアドレスを使用）を追加します。例：cn=Manager,dc=netscaler,dc=com
   • LDAP (Active Directory) Bind DN パスワード。認証用のドメインアカウントのパスワードを入力します。
   • このセクションで入力する必要があるその他のフィールドは次のとおりです。
     • ユーザー認証のためにNetScalerが接続するLDAPサーバーのIPアドレス。
     • LDAPサーバーのFQDN名。
       注
       上記2つのうち、LDAPサーバーのIPアドレスまたはFQDN名のいずれかを少なくとも1つ指定する必要があります。

     • ユーザー認証のためにNetScalerが接続するLDAPサーバーポート（デフォルトは389）。LDAPSは636を使用します。
     • LDAPホスト名。ホスト名は、検証がオンになっている場合（デフォルトではオフ）、LDAP証明書を検証するために使用されます。
     • LDAPログイン名属性。ログイン名を抽出するために使用されるデフォルトの属性は「samAccountname」です。
     • その他のオプションのLDAP設定。
     
9. SAML IdP証明書セクションでは、SAMLアサーションに使用されるSSL証明書の詳細を指定できます。
   • 証明書名。SSL証明書の名前を入力します。
   • 証明書ファイル。ローカルシステムのディレクトリからSSL証明書ファイルを選択します。
   • CertKey Format。ドロップダウンリストボックスから、証明書と秘密鍵ファイルの形式を選択します。サポートされている形式は、.pemおよび.derファイル拡張子です。
   • Certificate Key Name。証明書秘密鍵の名前を入力します。
   • Certificate Key File。ローカルシステムから証明書の秘密鍵を含むファイルを選択します。
   • Private Key Password。秘密鍵ファイルを保護するパスフレーズを入力します。
   Advanced Certificate Settingsチェックボックスを有効にすることもできます。ここでは、証明書の有効期限通知期間、証明書の有効期限モニターの有効化または無効化などの詳細を入力できます。
10. オプションで、上記で入力したSAML IdP証明書にNetScalerにインストールするCA公開証明書が必要な場合は、SAML IdP CA Certificateを選択できます。上記のAdvanced Certificate SettingsセクションでIs a CA Certificateが選択されていることを確認してください。
11. SAML SP Certificateセクションで、Office 365 SSL公開証明書の以下の詳細を入力します。この証明書は、NetScalerインスタンスが受信SAML認証要求を検証するために使用されます。
    • Certificate Name。SSL証明書の名前を入力します。
    • Certificate File。ローカルシステムのディレクトリからSSL証明書ファイルを選択します。
    • CertKey Format。ドロップダウンリストボックスから、証明書と秘密鍵ファイルの形式を選択します。サポートされている形式は、.pemおよび.derファイル拡張子です。
    • Advanced Certificate Settingsチェックボックスを有効にすることもできます。ここでは、証明書の有効期限通知期間、証明書の有効期限モニターの有効化または無効化などの詳細を入力できます。
    
12. SAML Idp Settingsセクションでは、ステップ3で作成されたAAA仮想サーバーによって使用されるSAML IDPプロファイルとポリシーを作成することにより、NetScalerインスタンスをSAML IDプロバイダーとして構成できます。
    • SAML Issuer Name。このフィールドに、認証仮想サーバーのパブリックFQDNを入力します。例: https://<NetScaler Auth VIP>/saml/login
    • Name Identifier Expression。SAMLアサーションで送信されるSAML NameIdentifierを抽出するために評価されるNetScaler式を入力します。例: "HTTP.REQ.USER.ATTRIBUTE(2).B64ENCODE"
    • 署名アルゴリズム: SAMLリクエスト/レスポンスを検証/署名するアルゴリズムを選択します（デフォルトは「RSA-SHA256」）。
    • ダイジェストメソッド。SAMLリクエスト/レスポンスのハッシュをダイジェストする方法を選択します（デフォルトは「SHA256」）。
    • オーディエンス名。サービスプロバイダー（Microsoft Office 365）を表すエンティティ名またはURLを入力します。
    • SAMLサービスプロバイダー（SP）ID。（オプション）NetScaler IDプロバイダーは、このIDと一致する発行者名からのSAML認証リクエストを受け入れます。
    • アサーションコンシューマーサービスURL。ユーザー認証が成功した後、NetScaler IDプロバイダーがSAMLアサーションを送信する必要があるサービスプロバイダーのURLを入力します。アサーションコンシューマーサービスURLは、IDプロバイダーサーバーサイトまたはサービスプロバイダーサイトで開始できます。
    • このセクションには、他にも入力できるオプションフィールドがあります。たとえば、次のオプションを設定できます。
      • SAML属性名。SAMLアサーションで送信されるユーザー属性の名前。
      • SAML属性フレンドリ名。SAMLアサーションで送信されるユーザー属性のフレンドリ名。
      • SAML属性のPI式。デフォルトでは、次のNetScalerポリシー（PI）式が使用されます: HTTP.REQ.USER.ATTRIBUTE(1)。このフィールドは、LDAPサーバーから送信される最初のユーザー属性（メール）をSAML認証属性として指定します。
      • ユーザー属性の形式を選択します。
      これらの値は、発行されたSAMLアサーションに含まれます。
      ヒント
      これらの設定はMicrosoft Office 365アプリで動作することがテストされているため、デフォルト設定を維持することをお勧めします。

    
13. ターゲットインスタンスをクリックし、このMicrosoft Office 365 SSO構成を展開するNetScalerインスタンスを選択します。作成をクリックして構成を作成し、選択したNetScalerインスタンスに構成を展開します。
    
    ヒント
    実際の構成を実行する前に、ドライランを選択して、StyleBookによってターゲットのNetScalerインスタンス上に作成される構成オブジェクトを表示することをお勧めします。