KACE Systems Management Appliance 10.0 Common Documents

シングルサインオン用に SAML を構成する

例：Azure で Microsoft Active Directory を SAML アイデンティティプロバイダとして使用する

サードパーティー製の認証ツールを使用すると、ようこそページに資格情報を入力しなくてもユーザーを認証するようにアプライアンスを設定できます。

SAML（Security Assertion Markup Language）は、ID とサービスプロバイダーの間でセキュリティトークンを使用する XML ベースのプロトコルです。セキュリティトークンには、ユーザーの ID に関する情報を提供するアサーション要素が含まれています。

アプライアンスで SAML が有効化されて設定され、ユーザーがこのシングルサインオン方式でサインオンすると、アプライアンスから ID プロバイダー（IdP）に認証リクエストが送信されます。次に、ID プロバイダーがユーザーの ID を確認し、アプライアンスに認証応答を送信します。次に、アプライアンスがユーザーを管理者コンソール（またはユーザーコンソール）にログインさせて、ユーザーセッションを確立します。SAML ユーザーがアプライアンスからログアウトすると、IdP アカウントからログアウトされます。アプライアンスを使用した後も引き続き IdP アカウントにログインしたい場合は、サインアウトせずに管理者コンソールブラウザウィンドウを閉じてください。SAML ユーザーのセッションがタイムアウトになっても IdP アカウントにログインしたままの場合、アプライアンスは自動的にそのユーザーの新しいセッションを開始します。

複数の組織がある場合、この認証方式を使用する各組織で SAML を構成し、他の組織のローカルのログイン方式を保持できます。

注: SAML シングルサインオンは現在、KACE GO ではサポートされていません。

アプライアンスにログインするための有効な ID 情報が、IdP にあることを確認します。

KACE SMA 管理者コンソール（https://KACE_SMA_hostname/admin）にログインします。または、管理ヘッダーに組織メニューを表示オプションがアプライアンスの一般設定で有効になっている場合は、ページの右上隅で、ログイン情報の横にあるドロップダウンリストから組織を選択します。

SAML 設定ページに移動します。

左側のナビゲーションバーで、設定、SAML 構成の順にクリックします。

SAML 設定ページの Security Assertion Markup Language（SAML）で、SAML サービスプロバイダーを有効にするチェックボックスをチェックします。

リモート ID プロバイダー（IDP）設定セクションで、次のいずれかの手順を実行して、ユーザーを認証するための IdP メタデータを指定します。

◦

推奨。IdP メタデータを含む XML ページへの URL が IdP で提供されている場合（推奨するオプション）、IdP からメタデータを取得をクリックします。IDP メタデータの URL フィールドが表示されたら、その URL を入力して IDP メタデータのインポートをクリックします。

◦

IdP メタデータの XML ファイルを使用するには、XML メタデータの入力をクリックし、IdP メタデータの XML フィールドが表示されたら、XML ファイルの内容をコピーしてフィールドに貼り付けます。IDP メタデータのインポートをクリックします。アプライアンスが提供された XML コンテンツを解析して、IdP との接続を確立するために必要な設定を入力します。

リモート ID プロバイダー（IdP）設定セクションが更新され、IdP 構成の詳細が表示されます。一覧表示されたオプションで、SAML 認証中にアプライアンスページのリダイレクトを指定します。詳細については、https://www.oasis-open.org/committees/tc_home.php?wg_abbrev=securityを参照してください。

注: SAML 構成中にこの情報を確認するには、このセクションのメタデータを表示をクリックします。

IdP 属性マッピングセクションで、アプライアンスへの SAML ユーザーアクセス権の付与に使用するオプションを選択します。

◦

ローカルユーザーテーブルを使用：アプライアンスにローカルで保存されているユーザーリストに依存します。

◦

LDAP ルックアップを使用：外部 LDAP サーバからユーザー情報をインポートします。詳細については、「LDAPサーバーを使用したユーザー認証」を参照してください。

◦

SAML を使用：このページで指定された値を使用して、IdP がアプライアンスユーザーレコード（名前やメールアドレスなど）に使用するフィールドにマッピングします。例えば、IdP が LDAP を使用してユーザーを認証する場合、ObjectGUID および cn のそれぞれに UID とログインを設定できます。詳細については、IdP のマニュアルを参照してください。

SAML を使用オプションを選択した場合は、SAML 認証ユーザーに付与する役割を指定します。役割マッピングで、役割を付与するときにチェックする条件を指定します。

例えば、特定のテキスト文字列（admin など）を含む名前を持つ LDAP グループのメンバーに管理者役割を付与するには、管理者役割を次のように設定します。

Administrator memberOf Contains admin

役割は優先順位に従って一覧表示されます。役割の優先順位は必要に応じてドラッグ & ドロップで変更できます。一致するものが複数ある場合、アプライアンスは SAML ユーザーに最も高い優先度を持つ役割を付与します。

役割マッピングはオプションです。一致するものが見つからない場合、アプライアンスはデフォルトの役割を割り当てます。デフォルトの役割を指定するには、不一致ユーザーのデフォルトの役割をクリックし、次の利用可能なオプションから役割を適宜選択します。管理者、アクセスなし、読み取り専用管理者、またはユーザーコンソールのみ。

（オプション）アプライアンス固有の SAML 設定をアプライアンスに表示するには、ローカルサービスプロバイダ（SP）設定セクションでメタデータの表示をクリックし、表示されるオプションを確認します。

これらのフィールドにはデフォルト値が入っているため、ほとんどの場合は変更不要です。

保存をクリックします。

SAML 構成をテストします。

アプライアンスからログアウトします。

IdP アカウントにログインしていることを確認します。

管理者コンソールまたはユーザーコンソールの「ようこそ」ページを開きます。

ユーザー資格情報を指定せずに、ログインをクリックします。

ヒント: アプライアンスで SAML が有効になっている場合は、ローカルサインインをクリックし、ユーザー資格情報を指定します。

管理者コンソールまたはユーザーコンソールページが表示されます。

例：Azure で Microsoft Active Directory を SAML アイデンティティプロバイダとして使用する

Azure で Active Directory を SAML アイデンティティプロバイダ（IdP）として使用する場合は、いくつかの追加手順が必要です。ここでは、Active Directory を IdP として SAML を設定するプロセスについて説明します。

アプライアンスにログインするための有効な ID 情報が、IdP にあることを確認します。

次の手順を実行します。

アプライアンスの SSL を有効にします。Microsoft Azure は SSL クライアントとのみ正常に通信できるため、この手順が必要です。手順については、アプライアンスのセキュリティ設定の構成を参照してください。

https://portal.azure.comにログインし、Azure Active Directory を選択します。

アプリの登録で、リダイレクト URI の設定をクリアしたまま、新しい登録を作成します。

新しく作成したアプリケーション登録のエンドポイントページで、連携メタデータドキュメントフィールドの内容をコピーします。

SAML 設定ページに移動します。

左側のナビゲーションバーで、設定、SAML 構成の順にクリックします。

SAML 設定ページの Security Assertion Markup Language（SAML）で、SAML サービスプロバイダーを有効にするチェックボックスをチェックします。

リモート ID プロバイダ（IdP）設定セクションで、次のいずれかの手順を実行して、ユーザーを認証するための IdP メタデータを指定します。

IdP からメタデータを取得をクリックします。

表示される IdP メタデータ URL フィールドに、2.dで記録した連携メタデータドキュメントフィールドの内容を入力し、IdP メタデータのインポートをクリックします。

注: SAML 構成中にこの情報を確認するには、このセクションのメタデータを表示をクリックします。

Security Assertion Markup Language（SAML）セクションで、IdP がパッシブ認証をサポートしないチェックボックスが選択されていることを確認します。

IdP 属性マッピングセクションで、アプライアンスへの SAML ユーザーアクセス権の付与に使用するオプションを選択します。

◦

ローカルユーザーテーブルを使用：アプライアンスにローカルで保存されているユーザーリストに依存します。

◦

SAML を使用を選択し、次のオプションを設定します。

◦

UID：http://schemas.microsoft.com/identity/claims/objectidentifier

◦

ログイン：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name

◦

名前：http://schemas.microsoft.com/identity/claims/displayname

◦

プライマリ電子メール：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name

SAML を使用オプションを選択した場合、役割マッピングで、SAML 認証ユーザーに付与する役割（例えば、管理者役割）の次の条件を指定します。

http://schemas.microsoft.com/ws/2008/06/identity/claims/groups equals <オブジェクト ID>

ここで、<オブジェクト ID> はグループのオブジェクト ID です。

これらのフィールドにはデフォルト値が入っているため、ほとんどの場合は変更不要です。

10.

次の手順を実行します。

ローカルサービスプロバイダ（SP）の設定セクションで、メタデータの表示をクリックします。

Microsoft Azure ポータルで、新しく作成したアプリ登録を探します。

アプリ登録ページで、リダイレクト URI を追加するをクリックします。

リダイレクト URI セクションで Web を選択し、SAML 設定ページのローカルサービスプロバイダ（SP）設定の SP アサーションコンシューマサービス（url）値に設定します。

詳細設定で、ログアウト URL フィールドにローカルサービスプロバイダ（SP）設定セクションの SP SLO エンドポイント（url）値を設定します。

Azure で API を公開をクリックし、アプリケーション ID URI の横にある設定をクリックします。このフィールドには、ローカルサービスプロバイダ（SP）の設定セクションの SP エンティティ識別子（uri）値を設定します。

Azure でマニフェストをクリックし、右側に表示されるエディタで、「groupMembershipClaims」属性を追加または更新し、その値を「SecurityGroup」または「All」に設定します。

例：「groupMembershipClaims」：「SecurityGroup」、

11.

保存をクリックします。

12.

SAML 構成をテストします。

アプライアンスからログアウトします。

IdP アカウントにログインしていることを確認します。

管理者コンソールまたはユーザーコンソールの「ようこそ」ページを開きます。

ユーザー資格情報を指定せずに、ログインをクリックします。

ヒント: アプライアンスで SAML が有効になっている場合は、ローカルサインインをクリックし、ユーザー資格情報を指定します。

管理者コンソールまたはユーザーコンソールページが表示されます。

レプリケーション共有の使用

レプリケーション共有の作成

レプリケーション共有の詳細の表示

レプリケーション共有は、配布対象ファイルのコピーを保持するデバイスであり、管理対象デバイスが複数の地理的な場所に展開されている場合に特に有用です。

例えば、レプリケーション共有を使用すると、ロサンゼルスにある KACE SMA からニューヨークにあるデバイスにファイルをダウンロードしなくても、ニューヨークの同じオフィスにある別のデバイスからファイルをダウンロードできます。レプリケーション共有は、すべてのデジタル資産の完全なレプリケーションであり、アプライアンスによって自動的に管理されます。ラベルでレプリケーション共有を指定していると、そのラベルに含まれるデバイスは、常にレプリケーション共有にアクセスしてファイルを取得します。

また、レプリケーション共有を使用すれば、ネットワーク帯域幅と速度が懸念される管理対象インストール、パッチ、またはDellアップデートも展開できます。レプリケーション共有は、アプライアンスからの直接ダウンロードに代わる便利な手段です。

レプリケーション共有により、デバイス上の共有フォルダに、アプリケーションインストーラ、パッチ、アップグレード、およびスクリプト依存関係を複製できます。レプリケーションアイテムがアプライアンスから削除されると、そのアイテムはレプリケーション共有で削除対象としてマークされ、レプリケーションタスクサイクルで削除されます。次の図に、レプリケーション共有の設定とタスクフローを示します。

レプリケーション共有の設定

レプリケーション共有を作成するには、各リモートサイトでレプリケーションデバイスとして機能するデバイスを1つ指定します。アプライアンスは、指定したターゲットパス上のレプリケーションデバイスにすべてのレプリケーションアイテムをコピーします。レプリケーションプロセスは、ネットワークエラーやレプリケーションスケジュールのために停止されても、自動的に再開されます。停止された場合、レプリケーションプロセスは停止されたポイントで再開されます。

スニーカーネット共有：新しいフォルダを作成し、そのフォルダに既存のレプリケーションフォルダの内容をコピーできます。その後、アプライアンスで新しいレプリケーションフォルダとしてこのフォルダを指定できます。すべてのレプリケーションアイテムが新しいフォルダに含まれているかどうかが確認され、新しいアイテムのみが複製されます。これにより、帯域幅が節約されます。新しいフォルダにレプリケーションフォルダの内容を手動でコピーできます。デバイスで作成されたレプリケーションフォルダの階層は次のようになります。

\\<マシン名>\<フォルダ名>\repl2\<レプリケーションアイテム>フォルダ

デバイス名とフォルダ名はユーザーが定義します。一方、repl2 はアプライアンスによって自動的に作成されます。レプリケーションアイテムのフォルダには、パッチ、kbot、アップグレードファイル、およびアプリケーション用のフォルダが含まれます。

すべてのレプリケーションアイテムはまずレプリケーションキューに表示されます。その後、ターゲットパスに一度に1個ずつコピーされます。新しいレプリケーションアイテムは、まずレプリケーションキューに表示され、10分後にコピーされます。

レプリケーションアイテムは次の順にコピーされます。