Mattermost のTeam Edition(無償版)でSSOする / 代理認証のリバースプロキシを利用してオールインワンで運用

Slack 互換のMattermostは、オンプレ環境にも対応の高機能なチャットツールです。ただしSAMLやOIDC認証によるシングルサインオンに関しては有償版での提供となっており、無償版のTeam Edition では利用ができません。(Team Edition はGitLab経由でのSSOは可能ですが、Mattermostのみを利用の場合にはSSOが出来ません)

 

 

 

【Mattermost 各種プラン】

Mattermost プラン / 費用 Team Edition
セルフホスト / 無償
Professional / 有償 Enterprise / 有償
idP連携 / SAML認証 OIDC認証

* Team Edition セルフホストはOSSです

 

【Team Edition セルフホスト・プランの主な機能】

機能 内容
チーム数 無制限
ユーザー数 無制限
チャンネル数/ PlayBook数 無制限
HDD容量 無制限
画面共有
プラグイン
無制限のメッセージ検索と履歴
カード数&ビュー 無制限
ファイル共有
ワークフローの自動化
プロジェクトマネジメント
レポートと統計
カスタム統合機能
ID / パスワード認証
SAML認証
OIDC認証

 

Team Edition セルフホストプランでも、ユーザー数、チーム数、チャンネル数やHDD容量などに制限はありません

  • 費用を抑えて運用したい
  • 自社の環境で運用したい
  • SaaSを利用できない
  • クローズド環境で運用する必要がある
  • Slackから移行したい ( マイグレーション)

などの場合には、Team Edition セルフホストプランにメリットがあります。

 

 

 

 

 

 

リバースプロキシ

無償版のTeam Edition を改修なしでidPと認証連携する方法としては、代理認証方式のリバースプロキシ経由でシングルサインオンを実現できます。

リバースプロキシは、SAML / OIDC認証に対応のID認識型リバースプロキシ・アプライアンス

Powered BLUE ReverseProxy for SSO / IDaaS

で構築運用します。

 

 

 

 

 

アプライアンスの機能

  • リバースプロキシ機能
  • SAMLやOIDC認証
  • バックエンドのWebへユーザー情報の代理入力機能
  • SSLクライアント認証
  • GUIから設定や運用

を有しており、任意の場所で自社管理でオールインワンでの運用を行うことが出来ます。

 

代理認証

idP と連携のSAML/OIDC認証対応のID認識型のリバースプロキシからMattermostへ「ID / パスワード」を代理入力&代理認証を行います。

  1.  ユーザー操作でのMattermostへの「ID / パスワード」の入力不要
  2.  SAML / OIDC認証に未対応のMattermostをSSOのWebメンバーとして構成

* Mattermost以外の、SAML / OIDC認証に未対応の「Webシステム」のSSOにも対応

 

MattermostのTeam EditionでidP連携のSSOで運用

ID / パスワード認証のMattermost Team Edition セルフホストプランをAzure AdなどのidPやKeycloak連携で運用するには、SAML / OIDC認証に対応したID認識型のリバースプロキシを利用して、代理認証を行いMattermostへのシングルサインオンを構成します。

  • Mattermostの改修は不要
  • Mattermostの設置場所は、WAN / DMZ / LAN の任意の場所に対応

 

 

 

必要な機器構成

  1.  idP
  2.  SAML / OIDC認証機能のID認識型 リバースプロキシ( ユーザー情報の代理入力機能 )
  3.  Mattermost  Team Edition セルフホストプラン
  4.  ブラウザ(プラグイン不要)

 

 

 

idP

idPはSAMLやOIDC認証でリバースプロキシと接続します

SAML / OIDC認証をサポートの 一般的なidP に対応

  • Microsoft Entra ID(旧名称  Azure AD)
  • GMOトラストログイン
  • Keycloak

 

Mattermost のSSO利用手順

 

 

 

  1. リバースプロキシへアクセス
  2. 初回のみ  idP へアクセス
  3. idP の認証後にリバースプロキシからMattermostへ「ユーザー情報」を代理入力
  4. Mattermostへ自動ログイン

 

 

 

 

 

 

 

各種Web システムへのSSO

一度の idP認証で、複数のWebシステムへSSOでアクセスできます

 

 

 

 

 

 

 

 

 

SSLクライアント認証の併用(多要素認証 / MFA)

 

 

 

SSLクライアント認証でidPやリバースプロキシへの認証を強化

 

 

 

クローズドネットワークでの運用

 

 

 

 

 

 

  • インターネットから分離された閉域網での運用にも対応

 

仮想アプライアンスのイメージでの提供により

  • 仮想サーバーのイメージインポートやオンプレミスでの運用に対応

 

 

 

リバースプロキシ + 代理入力 + Mattermost を1台で運用

  1. SAML / OIDC認証機能のID認識型 リバースプロキシ( ユーザー情報の代理入力機能 )
  2. 代理認証
  3. Mattermost  Team Edition セルフホストプラン

の機能を1個の仮想サイトで運用できるオールインワンのモデルもあります

 Powered BLUE for Mattermost

 

 

SSO対応 Mattermost のオールインワン構成

 

 

 

 

 

 

 

 

*  オールインワン構成の場合には、リバースプロキシ経由でのアクセスに限定できるので、セキュリティ面でも、さらに安全な運用が可能になります。

 

アプライアンスの構成

  •  OS  RockyLinux 8.x  /  RedHat 8.x
  •  Reverse-Proxy
  •  Mattermost (同居 もしくは 分離)
  •  GUIでのサーバーやアプリの設定

 

 

 

 

アプライアンスの運用先

クラウド環境、仮想基盤など自社管理での運用に対応

 

 

 

 

 

  • VMware / Hyper-V
  • AWS / Azure / FUJITSU Hybrid IT Service FJcloud-O (富士通) / WebARENA / ALTUS /VPSなど

 

お問合せ

 

 

製品についての、ご質問やご相談など