WordPressやWebをSAML認証で運用(CloudGate UNO 編）

自社で運用のWebをSAML/シングルサインオンによる認証機能付きで構築＆運用する場合の構成です。公開用のWebサイトはもちろん、LAN側に設置の社内ローカルなWebサイトもIDaaSサービスの「CloudGate UNO」を利用してSAML2.0認証で運用するすることが出来ます。

一般的なWebページやWordPressで作成のWebページをSAML2.0/SSOでアクセスさせます。またSP/Webの2重化による負荷分散での運用も可能です。

今回はIDaaSサービスを提供のISR社の「CloudGate UNO」をidPとして、利用する場合の構成例です。SSO対応の自社Webを任意の場所で運用が出来ます。

 

SAML2.0認証

シングルサインオンのSAML認証の場合には、ユーザーアカウント管理の機能を持つ　idP（アイデンティティ・プロバイダ）とその情報を利用するSP（サービス・プロバイダ）で構成されます。

 

ユーザーアカウント不要

SPとなるWebサーバーには個別ユーザーのアカウントを作成することなく、SAML認証でWebへアクセスさせることが出来ます。また部門や社員、会員ごとにWebへのアクセスコントロールの設定・運用にも対応。Webサーバー側にユーザーアカウントがないため、SP側からアカウント漏洩の心配はありません。

 

SP(サービス・プロバイダ）

今回はSPとして、SAML2.0に対応したSSOのWebサーバー機能を持つ　「Powered BLUE Web for SSO/IDaaS」を利用します。

https://www.mubit.co.jp/sub/products/blue/img2/pb-vm-2.png

SPの機能としては

  • SAML2.0対応のWebサーバー機能
  • Webサーバー/SP側にユーザーアカウントを作成することなく、SAML認証&グループアクセスのコントロールでの運用に対応
  • インターネットサーバー機能（Mail/Web/DNS/ftp）
  • WordPress /  Let’s Encrypt 対応 / php 7.x 対応
  • ひとり情シス対応

のオールインワンで運用出来るアプライアンスサーバーです。

CentOSやRedHat 上で動作し、AWS/Azure/Fujitsu Cloud Service for OSS(4OSS) / Enterprise Cloud などのクラウド環境や、VMware/Hyper-Vなどの仮想環境で運用することが出来ます。

またCentOS/RedHatで動作するアプリやサードパーティのソフトを組込んでの運用も可能です。

 

idP（アイデンティティ・プロバイダ）

idPとしてはSAMLに対応の CloudGate UNO の他に G Suite、Azure ADやTrustLogin、HENNGE ONE(旧HDE ONE)、OneLogin、Okta等のIDaaSと連携が出来ます。また自社で運用のidP （OpenAM / KeyCloak）などとの連携も可能です。

 

ネットワーク構成例

SAMLは仕様上、idPとSPの直接の通信を行わない構成が可能です（SP-initiated SAML)

ユーザーのブラウザを経由してidPとSP間の通信を行うので、ネットワークやセキュリティ面で制約がある場合でも運用が出来ます

SP（サービスプロバイダ）は任意の場所に設置＆運用が出来ます（LAN内の設置でもWAN側のidP/CloudGate UNOでの認証が可能）

SPとIdPの通信手順

1)ユーザーがブラウザでSP(Web)へアクセス
2)SPで認証要求メッセージを作成
3)ブラウザは認証要求メッセージをidPへ転送
4)idPは認証要求メッセージを受信
5)idPは認証応答メッセージを作成
6)ブラウザはidPからの応答メッセージをSPへ転送
7)SPが認証応答メッセージを受信＆検証
8)ユーザーはSP上のWebサイトへログイン

 

LAN内に設置のWebサイト/spとidPの例

LAN側に設置のWeb・SP（サービスプロバイダ）へのアクセス認証をWAN側のidPやIDaaSで行う

https://www.mubit.co.jp/sub/products/blue/img2/saml-4.png

 

こんな使い方が出来ます

１）LANでの運用例　SP/社内専用のWebサーバーをLAN内に設置

  • 社内用のWebサーバーをLAN内に設置
  • 総務部・技術部・営業部など部門ごとにWebサイトへのアクセス制限を設定
  • Webサーバー上には、ユーザーアカウントは不要

 

２）WANでの運用例　SP/公開用のWebサーバーをWAN側に設置

  • Webサイトを作成
  • トップページはワールドワイドに公開
  • 特定のディレクトリは、社員・会員・代理店のみにアクセスを許可
  • Webサーバー上には、ユーザーアカウントは不要

 

3）利用例

  • アルバイト社員の勤怠表Webページ
  • 社員向け連絡版のWebページ
  • 代理店向けの製品資料の閲覧やダウンロードページ
  • 会員向けの特定情報Webページ

 

こんなメリットがあります

  • Webサーバーにアカウントがないのでサーバーのメンテナンスが簡単
  • Webサーバーからのユーザーアカウント漏洩の心配は不要
  • 自社のWebサイトをSAML認証でセキュアに運用

 

SAML2.0の設定例

http://wp-sam.mubit.jp/　以下の指定ディレクトリにSAML2.0の認証を設定する例です

を利用します。

idPとSPにそれぞれ、SAML認証の設定を行います。

 

Web/SP側の設定

「Powered BLUE Web for SSO/IDaaS」にSPとなるWebを運用する仮想サイトを作成します

以下のサイトを作成します

例　http://wp-sam.mubit.jp/

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/B870-saml-1.png

 

Webサーバの有効化

Webサーバーを有効にする　にチェックを入れます

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-22.png

 

仮想サイトのSSL化

SAML認証に際しては、WebサイトのSSL化が必須です。

SSLのサーバー証明書としては

  • サイトのSSL自己証明
  • パブリックなSSLサーバー証明書のインポート
  • Let’s EncryptでのSSLサーバー証明書

に対応しています。

 

自己証明の場合

SSLを有効にする　にチェックを入れます

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/B870-saml-2.png

 

パブリックなSSLサーバー証明書の場合

必要情報を記載して「署名リクエストの作成」ボタンで作成したテキストを、SSLサーバー証明書を発行する機関へ送付します。

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2015/12/csr-1.png

  • 「署名リクエストの作成」でファイルを保存
  • 作成された「署名リクエスト」　ファイル　signig-request.txt を、公的なSSLサーバー証明書の発行機関へ送付

signing-req-1

  • 公的機関で発行された、サーバー証明書を　「インポート」　します
  • 中間証明書のインポートにも対応しています

SSLサーバー証明書が発行されたら「インポート」ボタン操作でSSLサーバー証明書をインポートします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2015/12/ssl-import-1.png

 

Let’s Encryptを利用の場合

サーバーのフリープラグイン機能を利用して、Let’s Encryprt プログラムをインポートします

FreeSSLを選択

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-3.png

インストールボタンをクリック

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-4-1.png

Let’s Encryptインストール後に　有効にする　にチェックを入れます

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-5.png

 

Webサイト

作成した仮想サイトには、デフォルトでindex.htmlが自動作成されています。このindex.htmlファルを適宜変更して、Webページを作成する　もしくは　フリープラグインでWordPressをインストールしてWebページを作成する事も出来ます。

Webサーバー側にはユーザーアカウントが不要です。Webサイトの管理者はWebページの更新など、ひとり情シスでの運用に対応しています。

 

デフォルトのindex.html

https://wp-sam.mubit.jp/index.html

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-23.png

WordPressインストール

フリープラグインでWordPressを選択します。

WordPressを「インストールボタン」を押すだけで、簡単にインストール&セットアップ出来ます。

Powered BLUE 対応のWordPressのインストールパッケージは、WordPress本体のインストールやセットアップなどを簡単化しています。機能などは通常のRedHat/CentOS 対応のWordPressと同一です。

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-6-1.png

WordPressの作成

「ブログを追加する」　ボタンを押します

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-7.png

パスの指定

WordPressをインストールする https://wp-sam.mubit.jp サイトのパスを指定します

今回は　/develop-dep を指定

https://wp-sam.mubit.jp//develop-dep にWordPressがインストールされます

「ブログをインストールする」　ボタンを押します

尚、WordPressは同一サイト内に複数のインストールが出来ます

 

例　「ブログの追加する」　ボタンを押して

sales-dep

support-dep

などを指定して複数のWordPressをインストール

https://wp-sam.mubit.jp/develop-dep/

https://wp-sam.mubit.jp/support-dep/

https://wp-sam.mubit.jp/sales-dep/

のディレクトリにそれぞれ、個別のWordPressがインストールされました

 

WordPressのアップデート

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/wordpress-1.png

WordPressはインストール後に、アップデートも可能です。

WordPressへの各種プラグインや操作＆変更などは、通常のWordPressと同様の操作や運用が出来ます。

 

phpの有効化

WordPressのindex.phpが動作するように、phpにチェックを入れて有効にします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-10.png

SAML2.0設定

SAMLのエンドポイントのパス　例　/ を指定します（環境に合わせて適宜、変更してください）

idP側で作成のxmlのメタデータをインポートします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-13.png

idP側で作成のメタデータ（xml）をアップロードします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-14.png

SAML2.0の認証をかけたいdirを設定します

例

  • /develop-dep
  • /sales-dep
  • /support-dep

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-16.png

SAML認証のディレクトリ（アクセスURL)

https://wp-sam.mubit.jp/develop-dep/

https://wp-sam.mubit.jp/sales-dep/

https://wp-sam.mubit.jp/support-dep/

この3つのURLには、idP側のSAML認証が設定されていないとアクセスができません。なおSPとなるWebサーバー側には、ユーザーアカウントは不要です。

上記の3つのURLがSAML認証に対応の「アクセスURL」となります。

グループでのアクセスコントロールが無い場合には、SP側の設定はここまでです

 

attributeの指定

グループでのWebへのアクセスコントロールを行なう場合に、attributeを追加設定します

それぞれのパスに対して、idP側で設定の　attribute-value　もしくは　ロール　の指定が出来ます

SP側で　attribute=”groups”　  value=”mbt”　 というattribute value でのアクセスを許可の場合の設定例

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-17.png

 

SAMLの有効化

設定のサイトのSAMLを有効にします

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-15.png

 

idP側の設定

IDaaSでSAML2.0をサポートしていれば、Powered BLUE Web for SSO/IDaaSと接続が出来ます。今回はidPとして日本国内のクラウド基盤で運用されているISR社の「 CloudGate UNO 」を利用します。

利用者側では、「Powered BLUE Web for SSO/IDaaS」に作成したSP側の情報

  • アクセスURL
  • エンティティID

などのSP側のxmlファイルの情報を「CloudGate UNO」の管理画面から登録します

「SPメタデータのダウンロード」ボタンを押すことで、SP側のxmlファイルがダウンロード出来ます

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/b870-saml-13.png

グループアクセスコントロールの有無に際しては、一部の作業をISR社側に依頼する必要がございます

*「CloudGate  UNO」と「Powered BLUE Web for SSO/IDaaS」のSAML認証は確認済です

 

アクセス

SAML認証のサイトへのアクセス

　https://wp-sam.mubit.jp/develop-dep/

 

初回

シングルサインオンでは、最初は一度  idP / CloudGate UNO  へのログイン

 

ターゲットのwebページ

SAML認証を設定のターゲットのWebページが表示されます

 

SP/Webの2重化

SP側のWordPressや一般のWebページを2重化して、シングルサインオン/SAML認証でWebアクセスを負荷分散させる構成にも対応しています。

 

多要素認証

idP側の認証とは別に、「Powered BLUE Web for SSO / IDaaS」のSP上で単独で

  • SSLクライアント認証
  • ワンタイムパスワード認証

を設定して運用する事が出来ます

 

SSLクライアント認証

SP上でPrivate CAを運用　SSLクライアント証明書を発行してSSLクライアント認証によるアクセスコントロールが出来ます。

 

OTP/ワンタイムパスワード認証

 

SAML対応のリバースプロキシ

Powered BLUE SSO対応の製品には、SAML認証対応のリバースプロキシもあります。社内LAN側に設置のSSOに対応してないWebサーバーへ、SAML認証後にリバースプロキシでアクセスさせることが出来ます　https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif 「Powered BLUE Reverse Proxy SSO/IDaaS 」

CloudGate UNOとのSAML認証後のリバースプロキシ連携にも対応しており、社外から社内LAN側に設置のWebサーバーへのアクセスに有効です。

https://www.mubit.co.jp/sub/products/blue/img2/idp-sp-1.png

https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　CloudGate UNOを利用/SAML対応のリバースプロキシで社内Webへアクセス

 

代理入力＆リバースプロキシで社内Webへ自動ログイン

社内LAN側に設置のSSO/シングルサイオンに未対応のID/パスワード入力を要求するWebサーバーに、CloudGate UNOの代理入力機能を使って社外からアクセスする方法です。オンプレミスの社内WebアプリへのアクセスにIDaaS/idPのCloudGate UNOと連携が出来ます。

https://www.mubit.co.jp/sub/products/blue/img2/login-3.png

 

https://www.mubit.co.jp/pb-blog/wp-content/uploads/2019/06/reverse-02.png

https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif　CloudGate UNOの代理入力を利用してリバースプロキシ経由で社内Webへ自動ログイン

 

終わりに

デモ環境で試してみたい方や詳しい話を聞いてみたい方などは、ムービットの https://www.mubit.co.jp/sub/products/blue/img2/arrow-finger.gif お問い合わせフォーム からご連絡ください。