AD FSSSO

このガイドでは、Microsoft Active Directory Federation Services(AD FS)を使用してSAML SSOを設定する手順を説明します。

SAML SSOの制限

SAML SSOは、一部のプランでのみ利用できます。SAML SSOが Workspaceのプランで利用可能かどうかは、サポートまでお問い合わせください。

SAML SSO機能は上記のプランに紐づいているため、無料プランにダウングレードすると、この機能は利用できなくなります。Workspaceのすべてのメンバーにダウングレードに関するメールが送信されます。SAML SSOをWorkspaceで再び使用したい場合は、2週間以内に再アップグレードしてください。

SAML SSOをWorkspaceに接続する前に:

• SAML SSOの設定作業中は、AD FSの管理者がすぐに対応できるようにしてください。
• Workspace のオーナーのみが、Bitrise Workspace に SAML SSO を設定できる点にご注意ください。
• Bitrise のアカウントに、有料プランのいずれかの Workspace があります。

このチュートリアルではBitriseとAD FSを行き来するため、この作業中は両方のツールを使用できる状態にしておくことをお勧めします。

AD FSを使ってSAML SSOを設定するには、以下の作業が必要です。

1. BitriseでAD FSからIdentity provider sign-on URLを追加する
2. AD FSで生成された証明書をエクスポートし、Bitriseに追加する
3. BitriseをAD FSにrelying party trustとして追加する
4. クレームルールを設定する

Identity provider sign-on URLの追加

1. BitriseにLog inし、左側のナビゲーションバーにカーソルを合わせます。

2. Workspaceメニューで、正しいworkspaceが選択されていることを確認します。

3. Settingsを選択します。

4. Single Sign-onタブに移動します。

5. SSO URLフィールドに、AD FSのIdentity provider sign-on URLを追加します。

   有効な値の例としてhttps://<AD FS URL>.com/adfs/lsが挙げられます。

AD FS証明書のエクスポート

1. BitriseのSingle Sign-OnページにあるSAML SSO provider certificateフィールドにAD FSで生成された証明書を追加するには、You have。AD FSですでに証明書を作成している場合は、AD FSサーバーからPEM形式でエクスポートできます。まだ作成していない場合は、AD FS用のTSおよびTD証明書の取得と設定の手順に従ってください。

2. Server ManagerでToolsをクリックし、AD FS Managementを選択します。

3. 左側のメニューペインでCertificatesフォルダを選択します。

4. Token-signingの下にある証明書をクリックします。Certificatesウィンドウが表示されます。

   

5. CertificateページでDetailsタブをクリックします。

   

6. Certificate Export WizardウィンドウでNextをクリックします。

   

7. エクスポートファイル形式としてBase-64 encoded X.509 (.CER)を選択します。Nextをクリックします。

   

8. File nameフィールドに名前を入力し、Saveをクリックします。

   

9. 証明書の設定内容を最終確認します。変更が必要な場合は、Certificate Export Wizardの横にある戻る矢印をクリックしてください。問題なければFinishをクリックします。この後すぐに必要になるため、AD FSウィンドウは開いたままにしておいてください。

   

10. エクスポートした証明書をテキストエディタで開き、その内容をSAML SSO provider certificateフィールドにコピー&ペーストするか、ローカルコンピューターからファイル自体をアップロードします。

11. BitriseでConfigure SSOをクリックして設定を保存します。

    

    続いて、AD FSでBitriseを追加し、SAML SSOの設定を続けましょう。

BitriseをAD FSにrelying party trustとして追加

証明書のエクスポートが完了したら、次はrelying party trustをAD FSにBitriseとして追加します。Add Relying Party Trust Wizardが手順を案内してくれます。

1. AD FSで、左側のメニューバーのRelying Party Trustをクリックし、続いてRelying Party Trustをクリックします。

2. Actionsの下にあるAdd Relying Party Trustを選択します。

   

3. WelcomeページでClaims awareオプションを選択し、Startをクリックします。

   

4. Select Data Sourceページで、ページ下部にあるEnter data about the relying party manuallyオプションをクリックします。Nextをクリックします。

   

5. Specify Display NameページでDisplay nameを追加します(例:MyCorp)。Nextをクリックします。

   

6. Configure Certificateページでトークン暗号化証明書を指定するかどうかは任意です。Nextをクリックします。

   

7. Configure URLページで、SAML 2.0 WebSSOプロトコルのEnableサポートを選択し、BitriseのAssertion Consumer Service URL (ACS URL)をAD FSのRelying party SAML 2.0 SSO service URLフィールドにコピー&ペーストします。Nextをクリックします。

   

8. Configure Identifiersページで、Relying party trust identifierフィールドにBitriseを追加します。Addをクリックし、続いてNextをクリックします。

   

9. Choose Access Control Policyページでは、このSAML SSO接続に誰でもアクセスできるよう、デフォルトのアクセス制御ポリシーを変更しないでください。Nextをクリックします。

   

10. Ready to Add Trustページで設定内容を確認し、Nextをクリックします。

    

11. Finishページで、Bitriseのクレーム発行ポリシーを編集するチェックボックスをオンにします。Closeをクリックします。

    

12. AD FSで、左側のメニューバーのRelying Party Trustをクリックし、続いてRelying Party Trustをクリックします。

13. Actionsの下にあるAdd Relying Party Trustを選択します。

    

14. WelcomeページでClaims awareオプションを選択し、Startをクリックします。

    

15. Select Data Sourceページで、ページ下部にあるEnter data about the relying party manuallyオプションをクリックします。Nextをクリックします。

    

16. Specify Display NameページでDisplay nameを追加します(例:MyCorp)。Nextをクリックします。

    

17. Configure Certificateページでトークン暗号化証明書を指定するかどうかは任意です。Nextをクリックします。

    

18. Configure URLページで、SAML 2.0 WebSSOプロトコルのEnableサポートを選択し、BitriseのAssertion Consumer Service URL (ACS URL)をAD FSのRelying party SAML 2.0 SSO service URLフィールドにコピー&ペーストします。Nextをクリックします。

    

19. Configure Identifiersページで、Relying party trust identifierフィールドにBitriseを追加します。Addをクリックし、続いてNextをクリックします。

    

20. Choose Access Control Policyページでは、このSAML SSO接続に誰でもアクセスできるよう、デフォルトのアクセス制御ポリシーを変更しないでください。Nextをクリックします。

    

21. Ready to Add Trustページで設定内容を確認し、Nextをクリックします。

    

22. Finishページで、Bitriseのクレーム発行ポリシーを編集するチェックボックスをオンにします。Closeをクリックします。

    

クレームルールの設定

1. Edit Claim Issuance PolicyページでAdd Ruleボタンをクリックし、OKを押します。

   

2. Send LDAP Attributes as Claimsクレームルールを作成し、Nextをクリックします。

3. Configure Claim Ruleページで:

   • Claim rule nameフィールドにルール名を入力します(例:Send E-mail)。
   • Attribute Storeを選択します。多くの場合Active Directoryになります。
   • Mapping of LDAP attributes to outgoing claim typesフィールドでE-mail Addressesを選択します。

4. Finishをクリックします。

   

5. E-mailをフォーマット済みのNameIDに変換する新しいルールを追加します。そのためには、Edit Claim Issuance Policyページで再度Add ruleをクリックします。

6. Select Rule Templateで、Claim rule templateドロップダウンからTransform an Incoming Claimオプションを選択します。Nextをクリックします。

   

7. 新しいルールに名前を付けます(例:Transform E-mail)。

8. Incoming Claim TypeとしてE-Mail Addressを選択します。

9. Outgoing claim typeとしてNameIdを選択します。

10. Outgoing name ID formatとしてEmailを選択します。

11. OKを押して処理を完了します。