本ページの製品は2024年4月1日より、エフサステクノロジーズ株式会社に統合となり、順次、切り替えを実施してまいります。一部、富士通表記が混在することがありますので、ご了承ください。
SANtricity 11 マニュアル (CA08872-010)
SAMLの設定
アクセス管理の認証を設定する場合、ストレージ システムに組み込みのSecurity Assertion Markup Language（SAML）機能を使用することができます。認証を設定すると、アイデンティティー プロバイダーとストレージ プロバイダーの間の接続が確立されます。
-
Security Adminの権限を含むユーザー プロファイルでログインする必要があります。そうしないと、アクセス管理の機能は表示されません。
-
ストレージ システムの各コントローラーのIPアドレスまたはドメイン名を確認しておく必要があります。
-
IdP管理者がIdPシステムの設定を完了している必要があります。
-
IdP管理者が、認証時に名前IDを返す機能がIdPでサポートされていることを確認しておく必要があります。
-
IdPサーバーとコントローラーのクロックを同期しておきます（NTPサーバーを使用するかコントローラーのクロックの設定を調整します）。
-
IdPのメタデータ ファイルをIdPシステムからダウンロードし、SANtricity System Managerへのアクセスに使用するローカル システムで使用できるようにしておきます。
アイデンティティー プロバイダー（IdP）は、ユーザーにクレデンシャルを要求して認証されたユーザーかどうかを確認するために使用される外部のシステムです。多要素認証にも対応しており、Active Directoryなどの任意のユーザー データベースを使用するように設定できます。IdPの保守は社内のセキュリティ チームが行います。サービス プロバイダー（SP）は、ユーザーの認証とアクセスを制御するシステムです。アクセス管理にSAMLを設定すると、ストレージ システムがアイデンティティー プロバイダーに認証を要求するサービス プロバイダーとして機能します。IdPとストレージ システムの間の接続を確立するには、この2つのエンティティ間でメタデータ ファイルを共有します。その後、IdPのユーザー エンティティをストレージ システムのロールにマッピングします。最後に、接続とSSOログインをテストしたうえでSAMLを有効にします。
|
SAMLとディレクトリー サービス。認証方式としてディレクトリー サービスを使用するように設定されている状況でSAMLを有効にした場合、SANtricity System ManagerではSAMLがディレクトリー サービスよりも優先されます。その後SAMLを無効にすると、元の設定に戻ってディレクトリー サービスが使用されます。 |
|
編集と無効化。SAMLを有効にした場合、ユーザー インターフェイスで無効にしたり、IdP設定を編集したりすることはできません。SAMLの設定を無効にしたり編集したりする必要がある場合は、弊社のサポートにお問い合わせください。 |
SAML認証の設定プロセスは複数の手順で構成されます。
手順 1：IdPのメタデータ ファイルをアップロードする
ストレージ システムにIdPの接続情報を渡すために、SANtricity System ManagerにIdPのメタデータをインポートします。このメタデータは、IdPシステムが認証要求を正しいURLにリダイレクトし、受信した応答を検証するために必要です。コントローラーが2台ある場合でも、アップロードするメタデータ ファイルはストレージ システムに対して1つだけです。
-
[設定]>[アクセス管理]を選択します。
-
[SAML] タブを選択します。
設定手順の概要が表示されます。
-
[アイデンティティ プロバイダ（IdP）ファイルをインポート] リンクをクリックします。
[アイデンティティ プロバイダ ファイルのインポート] ダイアログ ボックスが開きます。
-
[参照] をクリックし、ローカル システムにコピーしたIdPのメタデータ ファイルを選択してアップロードします。
ファイルを選択すると、IdPのエンティティIDが表示されます。
-
[インポート] をクリックします。
手順 2：サービス プロバイダーのファイルをエクスポートする
IdPとストレージ システムの間の信頼関係を確立するために、サービス プロバイダーのメタデータをIdPにインポートします。このメタデータは、IdPがコントローラーとの間の信頼関係を確立し、許可要求を処理するために必要になります。このファイルには、コントローラーのドメイン名やIPアドレスなど、IdPがサービス プロバイダーと通信するために必要な情報が含まれています。
-
[サービス プロバイダ ファイルをエクスポート] リンクをクリックします。
[サービス プロバイダ ファイルのエクスポート] ダイアログ ボックスが開きます。
-
[コントローラー A] フィールドにコントローラーのIPアドレスまたはDNS名を入力し、[エクスポート] をクリックしてメタデータ ファイルをローカル システムに保存します。ストレージ システムにコントローラーが2台含まれている場合は、[コントローラー B] フィールドを使用して、2台目のコントローラーについて同じ手順を繰り返します。
[エクスポート] をクリックすると、サービス プロバイダーのメタデータがローカル システムにダウンロードされます。ファイルの保存先をメモしておいてください。
-
ローカル システムで、エクスポートしたサービス プロバイダーのメタデータ ファイルを探します。
コントローラーごとにXML形式のファイルが1つあります。
-
IdPサーバーで、サービス プロバイダーのメタデータ ファイルをインポートして信頼関係を確立します。ファイルを直接インポートすることも、ファイルからコントローラーの情報を手動で入力することもできます。
手順 3：ロールをマッピングする
SANtricity System Managerへのアクセスをユーザーに許可するために、IdPユーザーの属性とグループ メンバーシップをストレージ システムの事前定義されたロールにマッピングする必要があります。
-
IdP管理者が、IdPシステムでユーザーの属性とグループ メンバーシップを設定しておく必要があります。
-
IdPのメタデータ ファイルをSANtricity System Managerにインポートしておきます。
-
各コントローラーのサービス プロバイダー メタデータ ファイルをIdPシステムにインポートして信頼関係を確立しておきます。
-
SANtricity System Managerのロールをマッピング するためのリンクをクリックします。
[ロールのマッピング] ダイアログ ボックスが開きます。
-
IdPユーザーの属性とグループを事前定義されたロールに割り当てます。1つのグループに複数のロールを割り当てることができます。
フィールドの詳細
設定 説明 マッピング
ユーザー属性
マッピングするSAMLグループの属性（「member of」など）を指定します。
属性値
マッピングするグループの属性値を指定します。正規表現を使用できます。次の特殊文字を正規表現のパターン以外で使用する場合は、バックスラッシュ（
\）でエスケープする必要があります。 \.[]{}()<>*+-=!?^$|ロール
フィールド内をクリックし、属性にマッピングするストレージ システムのロールを1つ選択します。マッピングするロールを1つずつ選択する必要があります。MonitorロールはSANtricity System Managerにログインするため必要なロールであり、他のロールと一緒に指定する必要があります。また、少なくとも1つのグループにSecurity Adminロールをマッピングする必要があります。
各ロールの権限は次のとおりです。
-
Storage admin
ストレージ オブジェクト（ボリュームやプールなど）に対する読み取り / 書き込みのフル アクセスが付与されます。セキュリティ設定にはアクセスできません。 -
Security Admin
アクセス管理、証明書管理、および監査ログ管理のセキュリティ設定へのアクセスが付与されます。また、従来の管理インターフェイス（SYMbol）のオンとオフを切り替えることができます。 -
Support Admin
ストレージ システムのすべてのハードウェア リソース、障害データ、MELイベント、およびコントローラー ファームウェア アップグレードへのアクセスが付与されます。ストレージ オブジェクトやセキュリティ設定にはアクセスできません。 -
Monitor
すべてのストレージ オブジェクトに対する読み取り専用のアクセスが付与されます。セキュリティ設定にはアクセスできません。
Monitorロールは、管理者を含むすべてのユーザーに必要です。Monitorロールがないユーザーの場合、SANtricity System Managerは正常に動作しません。
-
-
必要な場合は、[別のマッピングを追加] をクリックしてグループとロールのマッピングをさらに指定します。
ロールのマッピングは、SAMLを有効にしたあとに変更できます。
-
マッピングが終了したら、[保存] をクリックします。
ステップ 4：SSOログインをテストする
IdPシステムとストレージ システムが通信できることを確認するために、必要に応じてSSOログインをテストできます。このテストは、SAMLを有効にする最後の手順でも実行します。
-
IdPのメタデータ ファイルをSANtricity System Managerにインポートしておきます。
-
各コントローラーのサービス プロバイダー メタデータ ファイルをIdPシステムにインポートして信頼関係を確立しておきます。
-
[SSO ログインのテスト] リンクを選択します。
SSOクレデンシャルの入力を求めるダイアログ ボックスが開きます。
-
Security AdminとMonitorの両方の権限を持つユーザーのログイン クレデンシャルを入力します。
ログインのテストを実行中であることを示すダイアログ ボックスが開きます。
-
テストに成功したことを示すメッセージを確認します。テストに成功した場合は、SAMLを有効にする次の手順に進みます。
テストに失敗した場合は、エラー メッセージに詳細が表示されます。次の点を確認してください。
-
ユーザーがSecurity AdminとMonitorの権限を持つグループに属していること。
-
アップロードしたIdPサーバーのメタデータが正しいこと。
-
SPメタデータ ファイル内のコントローラーのアドレスが正しいこと。
-
ステップ5：SAMLを有効にする
最後に、ユーザー認証用のSAMLの設定を完了します。このプロセスでは、SSOログインのテストも求められます。SSOログインのテスト プロセスについては、前の手順で説明したとおりです。
-
IdPのメタデータ ファイルをSANtricity System Managerにインポートしておきます。
-
各コントローラーのサービス プロバイダー メタデータ ファイルをIdPシステムにインポートして信頼関係を確立しておきます。
-
少なくともMonitorロールとSecurity Adminロールを1つずつマッピングしておきます。
|
編集と無効化。 SAMLを有効にした場合、ユーザー インターフェイスで無効にしたり、IdP設定を編集したりすることはできません。SAMLの設定を無効にしたり編集したりする必要がある場合は、弊社のサポートにお問い合わせください。 |
-
[SAML] タブで、[SAML の有効化] リンクを選択します。
[SAML の有効化の確認] ダイアログ ボックスが開きます。
-
「
enable」と入力し、[有効化] をクリックします。 -
SSOログインのテスト用にユーザー クレデンシャルを入力します。
SAMLが有効になると、アクティブなセッションはすべて終了され、SAMLを使用したユーザーの認証が開始されます。
