35.4 識別情報アプリケーションで使用する識別ボールトの設定

識別情報アプリケーションは、識別ボールト内のオブジェクトとデータをやり取りできる必要があります。場合によっては、eDirectoryで認証方法とインデックスを設定して、識別ボールトと識別情報アプリケーションが効率よく通信できるようにする必要があります。

35.4.1 eDirectoryでのインデックスの作成

識別情報アプリケーションのパフォーマンスを高めるために、eDirectory管理者はmanager、ismanager、およびsrvprvUUIDの各属性にインデックスを作成する必要があります。これらの属性にインデックスがない場合、識別情報アプリケーションユーザは、特にクラスタ化環境で、パフォーマンスの低下を感じる可能性があります。

RBPM設定ユーティリティで［詳細］>［Create eDirectory Indexes (eDirectoryインデックスの作成)］を選択すると、インストール中に自動的にこれらのインデックスを作成できます。Index Managerを使用してインデックスを作成する方法の詳細については、『NetIQ eDirectory 管理ガイド』を参照してください。

35.4.2 SAML認証メソッドのインストールおよび環境設定

Identity Managerインストールプログラムは自動的にこの設定を追加します。

NMASでサポートされている他の製品と一緒に識別情報アプリケーションを設定する場合、手動でこの設定を実行します。その際は、次のアクティビティを実行します。

eDirectoryツリーにおけるSAMLメソッドのインストール

nmassaml.zipファイルを見つけて圧縮解除します。
eDirectoryツリーにSAMLメソッドをインストールするには、次の手順を実行します。
1. authsaml.schに保存されたスキーマの拡張
  
  たとえばLinuxでは、次のコマンドを入力します。
```
ndssch -h edir_ip edir_admin authsaml.sch
```
2. SAMLメソッドをインストールします。
  
  たとえばLinuxでは、次のコマンドを入力します。
```
nmasinst   -addmethod edir_admin tree ./config.txt 
```

eDirectoryの属性の編集

iManagerを開きます。
［Roles and Tasks (役割とタスク)］>［Directory Administration (ディレクトリ管理)］>［Create Object (オブジェクトの作成)］の順に展開します。
［すべてのオブジェクトクラスの表示］を選択します。
クラスがauthsamlAffiliateである新規のオブジェクトを作成します。
［authsamlAffiliate］を選択して、［OK］をクリックします

このオブジェクトには任意の有効な名前を付けることができます。
コンテキストを指定するには、ツリーで［SAML Assertion.Authorized Login Methods.Security］コンテナオブジェクトを選択して、［OK］をクリックします。
クラスオブジェクトauthsamlAffiliateに属性を追加するには、次の手順を実行します。
1. iManagerで［View Objects (オブジェクトの表示)］>［参照］タブをクリックします。
2. SAML Assertion.Authorized Login Methods.Securityコンテナで新しい連携オブジェクトを見つけます。
3. 新しい連携オブジェクトを選択して、［オブジェクトの修正］を選択します。
4. 属性authsamlProviderIDを新しい連携オブジェクトに追加します。
  
  この属性を使用して、アサーションを連携と一致させます。この属性のコンテンツは、SAMLアサーションで送られたIssuerの属性と完全に一致している必要があります。
5. ［OK］をクリックします。
6. 属性authsamlValidBeforeおよびauthsamlValidAfterを連携オブジェクトに追加します。
  
  これらの属性は、アサーションが有効とみなされると、アサーションのIssueInstantに基づいて時間を秒で定義します。一般的なデフォルトは180秒です。
7. ［OK］をクリックします。
セキュリティコンテナを選択します。
［Create Object (オブジェクトの作成)］を選択し、セキュリティコンテナ内でルート認証局コンテナを作成します。
ルート認証局コンテナ内でルート認証局オブジェクトを作成するには、次の手順を実行します。
1. ［Roles and Tasks (役割とタスク)］>［Directory Administration (ディレクトリ管理)］の順に移動し、［Create Object (オブジェクトの作成)］を選択します。
2. ［すべてのオブジェクトクラスの表示］を選択します。
3. 連携がアサーションを署名するために使用する証明書用のルート認証局オブジェクトを作成します。これを行うには、証明書のderエンコードしたコピーを持っている必要があります。
4. ルートCA証明書につながれた署名証明書で、各証明書に対し新規のトラステッドルートオブジェクトを作成します。
5. 以前作成された［トラステッドルートコンテナへのコンテキスト］を設定して、［OK］をクリックします。
オブジェクトビューアに戻ります。
authsamlTrustedCertDN属性を連携オブジェクトに追加し、［OK］をクリックします。

この属性は、前の手順で作成した署名証明書のルート認証局オブジェクトを参照する必要があります(連携のアサーションはすべて、この属性によって示される証明書で署名されている必要があります。署名がない場合は拒否されます)。
authsamlCertContainerDN属性を連携オブジェクトに追加し、［OK］をクリックします。

この属性は、以前作成したルート認証局コンテナを参照する必要があります(この属性を使用して、署名証明書の証明書チェーンを確認します)。