SAML IdP プロファイルで、この IdP に適用可能なサービスプロバイダー URL のリストの式をとる acsurlRule を設定します。この式は、使用している SP によって異なります。NetScaler が SP として構成されている場合、ACS URLはhttps://<SP-domain_name>/cgi/samlauthです 。一致させるには、式に完全な URL を含めることをお勧めします。

SAML IdP で ACS URL を 1 つだけ許可する場合は、次のコマンドを使用します。

次の CLI 例では https://testlb.aaa.localをACS URLとして使用しています。

SAML IdP に ACS URL を正規表現と一致させたい場合は、次の表現を使用してください。

–acsUrlRule AAA.LOGIN.SAML_REQ_ACS_URL.REGEX_MATCH(re#\^https://example.com/cgi/samlauth$#)

上記の式により、ACS URLがhttps://example.com/cgi/samlauthと一致することが保証されます。正規表現の先頭に「\^」記号が付いていると、NetScalerでは「https」より前は何も許可されません。正規表現の末尾に「$」記号が付いていると、NetScalerでは「samlauth」の後に何も許可されないようになります。

式が-acsUrlRule AAA.LOGIN.SAML_REQ_ACS_URL.REGEX_MATCH(re#https://example.com/cgi/#)の場合、SAML IdP は次の例に示すように任意の ACS URL を許可します。

SAML は RSA 証明書のみをサポートします。HSM、FIPS などの他の証明書はサポートされていません。

IdPログアウトURLがリダイレクトURLと異なり、ユーザーがNetScalerログインページに2分以上いる場合、ユーザーが認証を試みるとサーバーエラーHTTP/1.1 Internal Server Error 43549が表示されます。NetScalerのログには、受信したログアウト後のリダイレクトURLがユーザーの許可リストに登録されているログアウトリダイレクトURLに含まれていないことを示すメッセージが表示されます。

この問題を解決するには、以下の例のようにパターンセットをバインドします。

bind patset ns_aaa_oauthidp_logout_redirect_uris "https://FQDN and path to the logout url"

認証仮想サーバーが SAML SP として構成されている場合、SAML IdP プロファイルで使用する必要があるメタデータ URL は https://<netscaler-saml-sp-fqdn>/metadata/samlsp/saml_sp_actです。例：

add authentication samlIdPProfile SAML_IDP_profile -samlIdPCertName aaa_local -assertionConsumerServiceURL "https://ksav.ksaaa.local/cgi/samlauth" -samlIssuerName "https://ksidp1.aaa.local/saml/login" -rejectUnsignedRequests OFF -serviceProviderID kslb.ksaaa.local -signAssertion NONE -SPLogoutUrl "https://ksav.ksaaa.local/cgi/tmlogout" -logoutBinding REDIRECT -metadataUrl "https://ksav.ksaaa.local/metadata/samlsp/saml_sp_act" -metadataRefreshInterval 1

名前-新しい SAML シングルサインオンプロファイルの名前。

SAML IDPメタデータのエクスポート-SAML IdPプロファイルのメタデータをNetScaler Gateway VPN仮想サーバーにエクスポートする場合は、このリンクをクリックします。

メタデータのインポート-このオプションは SAML IdP メタデータをインポートします。このオプションは、デフォルトで有効になっています。

アサーションコンシューマーサービス URL-アサーションの送信先の URL。

サービスプロバイダログアウト URL-ログアウトメッセージの送信先となる SP エンドポイント。

ログアウトバインディング — SAML ログアウトメッセージの転送メカニズムを指定します。使用可能なオプションはPOSTとリダイレクトです。

SAML SP メタデータ URL — SAML IdP メタデータを取得するために使用される URL。

メタデータの更新間隔 (分)-指定されたメタデータ URL からメタデータを取得する間隔 (分単位)。デフォルトの時間間隔は 3600 分です。

アサーションコンシューマーサービス URL ルール-SAML SP からの許可される ACS URL を定義する式。つまり、SAML 要求に不正な ACS URL を挿入する攻撃を防ぐために、ACS URL を許可リストに登録します。

アサーションコンシューマーサービス URL-認証されたユーザーがリダイレクトされる URL。

IdP 証明書名-認証ページに使用される証明書とキーのペア。

SP 証明書名-サービスプロバイダの証明書このシナリオでは、キーは必要ありません。

Sign Assertion- クライアントをサービスプロバイダにリダイレクトするときに、アサーションと応答に署名するオプション。

発行者名-IdP によって発行された SAML アサーションに含まれる文字列値。

サービスプロバイダー ID：サービスプロバイダーの識別に役立つように SP 上で指定される一意の ID。ID は何でもかまいませんが、必ずしも URL である必要はありません。ただし、ID は SP プロファイルと IdP プロファイルの両方で同じでなければなりません。

デフォルト認証グループ-抽出されたグループに加えて、認証が成功したときに選択されるデフォルトグループ。このグループは、管理者が nFactor フローを使用して中継側に適した構成を決定する場合に便利です。たとえば、認証ポリシーを設定する場合、次の式の一部としてデフォルトのグループ名を指定できます。

AAA.USER.IS_MEMBER_OF("Default Authentication Group name").

署名されていないリクエストを拒否-SP 証明書で署名されたアサーションのみが受け付けられるように指定できるオプション。

オーディエンス-IdP によってアサーションが送信されるオーディエンス。これは通常、SP を表すエンティティ名または URL です。

スキュー時間（分）-スキュー時間（分）-このオプションは、NetScalerサービスプロバイダーが受信アサーションで許容するクロックスキューを分単位で指定します。たとえば、16:00 にスキュー時間を 10 分に設定した場合、SAML アサーションは 15:50 から 16:10（合計 20 分）まで有効です。デフォルトのスキュー時間は 5 分です。

NAME ID 形式-アサーションで送信される名前識別子の形式。

名前 ID 式-アサーションで送信される名前識別子を取得するために評価される式。

アサーションへの署名-IdP から送信されたアサーションの一部に署名するオプション。使用可能なオプションは、、、、または です。

Signature Algorithm：IdP と SP の間のアサーションの署名と検証に使用されるアルゴリズム。IdP プロファイルと SP プロファイルで同じである必要があります。

Digest Method：IdP と SP の間のアサーションの整合性を検証するために使用されるアルゴリズム。IdP プロファイルと SP プロファイルで同じである必要があります。

SAML バインディング-SP と IdP の間で SAML リクエスタとレスポンダのメッセージを転送するために使用されるメカニズム。NetScalerがSPとして機能する場合、ポスト、リダイレクト、アーティファクトのバインディングがサポートされます。デフォルトのバインド方法は POST です。SAML IdP ポリシーを認証仮想サーバーに関連付けます。Artifact バインディングでは、SP と IdP のトランスポートメカニズムが同じである必要があります。

属性1-値を抽出して属性1として保存する必要があるSAMLアサーション内の属性の名前。同様のパターンが残りの属性にも当てはまります。

属性1Expr-評価されて属性1の値を取得する式。

Attribute1FriendlyName-SAML アサーションで送信する必要がある属性 1 の名前。

属性 1 形式-SAML アサーションで送信される属性 1 のフォーマット。

名前-SAML IdP 認証ポリシーの名前。

アクション-このポリシーに一致するリクエストまたは接続に適用する SAML IdP プロファイルの名前。

ログアクション -リクエストがこのポリシーに一致する場合に使用するメッセージログアクションの名前。ドロップダウンリストからログアクションを選択するか、 をクリックしてログアクションを作成します。

未定義結果アクション-ポリシー評価の結果が未定義の場合に実行するアクション。未定義のイベントは内部エラー状態を示します。ビルトインアクションのみを使用できます。

コメント -このポリシーに関する情報を保存するための任意のコメント。