SSO Office 365 スタイルブック
-
管理者による管理コンソールへのサインインを含む
-
エンタープライズ資格情報を使用して、すべてのMicrosoft Office 365サービスに一度のサインオンでアクセスする。
-
認証仮想サーバーの構成
-
SAML IDPポリシーとプロファイルの構成
-
ポリシーとプロファイルを認証仮想サーバーにバインドする
-
インスタンスでのLDAP認証サーバーとポリシーの構成
-
LDAP認証サーバーとポリシーを、インスタンスで構成された認証仮想サーバーにバインドする。
| Product | Minimum Required Version |
|---|---|
| NetScaler | 11.0, Advanced/Premium License |
SSO Microsoft Office 365 StyleBookを展開するには
-
NetScaler Console で、Applications > StyleBooks の順に移動します。StyleBooks ページには、NetScaler Console で使用できるすべての StyleBook が表示されます。下にスクロールして、SSO Office 365 StyleBook を見つけます。Create Configuration をクリックします。
-
StyleBook は、この StyleBook で定義されているすべてのパラメーターの値を入力できるユーザーインターフェイスページとして開きます。
-
次のパラメーターの値を入力します。
-
アプリケーション名。ネットワークに展開する SSO Microsoft Office 365 構成の名前。
-
認証仮想 IP アドレス。Microsoft Office 365 SAML IdP ポリシーがバインドされている AAA 仮想サーバーで使用される仮想 IP アドレス。

-
-
SSL証明書 設定」セクションで、SSL証明書と証明書キーの名前を入力します。注これは Office 365 サービスプロバイダー証明書ではありません。この SSL 証明書は、NetScaler インスタンス上の仮想認証サーバーにバインドされます。
-
ローカルストレージフォルダーから該当するファイルを選択します。PEM 形式で暗号化された秘密キーをロードするために、秘密キーのパスワードを入力することもできます。

-
詳細証明書設定チェックボックスを有効にすることもできます。ここでは、証明書の有効期限通知期間、証明書の有効期限モニターの有効化または無効化などの詳細を入力できます。
-
オプションで、SSL 証明書が NetScaler に CA 公開証明書をインストールする必要がある場合は、認証仮想 IP 用 SSL CA 証明書チェックボックスを選択できます。上記の詳細証明書設定セクションで「CA 証明書である」を選択していることを確認してください。
-
SSO Office 365 の LDAP 設定セクションで、Office 365 ユーザーを認証するために次の詳細を入力します。ドメインユーザーが会社のメールアドレスを使用して NetScaler インスタンスにログオンできるようにするには、次を設定します。
-
LDAP (Active Directory) ベース。認証を許可するために、ユーザーアカウントが Active Directory (AD) 内に存在するドメインのベースドメイン名を入力します。例: dc=netscaler®,dc=com
-
LDAP (Active Directory) Bind DN。ADツリーを参照する権限を持つドメインアカウント(設定を容易にするためにメールアドレスを使用)を追加します。例:cn=Manager,dc=netscaler,dc=com
-
LDAP (Active Directory) Bind DN パスワード。認証のためにドメインアカウントのパスワードを入力します。
-
このセクションで入力する必要があるその他のフィールドは次のとおりです。
-
ユーザー認証のためにNetScalerが接続するLDAPサーバーのIPアドレス。
-
LDAPサーバーのFQDN名。注上記の2つのうち、LDAPサーバーのIPアドレスまたはFQDN名の少なくともいずれか1つを指定する必要があります。
-
ユーザー認証のためにNetScalerが接続するLDAPサーバーポート(デフォルトは389)。LDAPSは636を使用します。
-
LDAPホスト名。検証がオンになっている場合(デフォルトではオフ)、ホスト名はLDAP証明書の検証に使用されます。
-
LDAPログイン名属性。ログイン名を抽出するために使用されるデフォルトの属性は「samAccountname」です。
-
その他のオプションのLDAP設定。

-
-
-
SAML IdP証明書セクションでは、SAMLアサーションに使用されるSSL証明書の詳細を指定できます。
-
証明書名。SSL証明書の名前を入力します。
-
証明書ファイル。ローカルシステムのディレクトリからSSL証明書ファイルを選択します。
-
CertKey Format。ドロップダウンリストボックスから、証明書と秘密鍵ファイルの形式を選択します。サポートされている形式は.pemおよび.derファイル拡張子です。
-
Certificate Key Name。証明書秘密鍵の名前を入力します。
-
Certificate Key File。ローカルシステムから証明書の秘密鍵を含むファイルを選択します。
-
Private Key Password。秘密鍵ファイルを保護するパスフレーズを入力します。
Advanced Certificate Settingsチェックボックスを有効にすることもできます。ここでは、証明書の有効期限通知期間、証明書の有効期限モニターの有効化または無効化などの詳細を入力できます。
-
-
オプションで、上記で入力したSAML IdP証明書にNetScalerにインストールするCA公開証明書が必要な場合は、SAML IdP CA Certificateを選択できます。上記のAdvanced Certificate SettingsセクションでIs a CA Certificateが選択されていることを確認してください。
-
SAML SP Certificateセクションで、Office 365 SSL公開証明書の以下の詳細を入力します。この証明書は、NetScalerインスタンスが受信SAML認証要求を検証するために使用されます。
-
Certificate Name。SSL証明書の名前を入力します。
-
Certificate File。ローカルシステムのディレクトリからSSL証明書ファイルを選択します。
-
CertKey Format。ドロップダウンリストボックスから、証明書と秘密鍵ファイルの形式を選択します。サポートされている形式は.pemおよび.derファイル拡張子です。
-
Advanced Certificate Settingsチェックボックスを有効にすることもできます。ここでは、証明書の有効期限通知期間、証明書の有効期限モニターの有効化または無効化などの詳細を入力できます。

-
-
SAML Idp Settingsセクションでは、ステップ3で作成されたAAA仮想サーバーによって使用されるSAML IDPプロファイルとポリシーを作成することにより、NetScalerインスタンスをSAML IDプロバイダーとして構成できます。
-
SAML Issuer Name。このフィールドに、認証仮想サーバーの公開FQDNを入力します。例:
https://<NetScaler Auth VIP>/saml/login -
Name Identifier Expression。SAMLアサーションで送信されるSAML NameIdentifierを抽出するために評価されるNetScaler式を入力します。例:
"HTTP.REQ.USER.ATTRIBUTE(2).B64ENCODE" -
署名アルゴリズム: SAMLリクエスト/レスポンスを検証/署名するためのアルゴリズムを選択します (デフォルトは「RSA-SHA256」です)。
-
ダイジェストメソッド。SAMLリクエスト/レスポンスのハッシュをダイジェストするためのメソッドを選択します (デフォルトは「SHA256」です)。
-
オーディエンス名。サービスプロバイダー (Microsoft Office 365) を表すエンティティ名またはURLを入力します。
-
SAMLサービスプロバイダー (SP) ID。(オプション) NetScaler IDプロバイダーは、このIDに一致する発行者名からのSAML認証リクエストを受け入れます。
-
アサーションコンシューマーサービスURL。ユーザー認証が成功した後、NetScaler IDプロバイダーがSAMLアサーションを送信する必要があるサービスプロバイダーのURLを入力します。アサーションコンシューマーサービスURLは、IDプロバイダーサーバーサイトまたはサービスプロバイダーサイトで開始できます。
-
このセクションには、他にも入力できるオプションフィールドがあります。たとえば、次のオプションを設定できます。
-
SAML属性名。SAMLアサーションで送信されるユーザー属性の名前。
-
SAML属性フレンドリ名。SAMLアサーションで送信されるユーザー属性のフレンドリ名。
-
SAML属性のPI式。デフォルトでは、次のNetScalerポリシー (PI) 式が使用されます: HTTP.REQ.USER.ATTRIBUTE(1)。このフィールドは、LDAPサーバーから送信される最初のユーザー属性 (メール) をSAML認証属性として指定します。
-
ユーザー属性の形式を選択します。
これらの値は、発行されたSAMLアサーションに含まれます。ヒントこれらの設定はMicrosoft Office 365アプリで動作することがテストされているため、デフォルト設定を維持することをお勧めします。 -

-
-
ターゲットインスタンスをクリックし、このMicrosoft Office 365 SSO構成を展開するNetScalerインスタンスを選択します。作成をクリックして、構成を作成し、選択したNetScalerインスタンスに構成を展開します。
ヒント実際の構成を実行する前に、ドライランを選択して、StyleBookによってターゲットのNetScalerインスタンス上に作成される構成オブジェクトを表示することをお勧めします。