RHTN - 5分でわかるAnsible TowerのSSO

Transcript

1. 2019.11.15 SAMLを理解してシングルサインオンを活用しよう 5分でわかる Ansible Tower の SSO 八木澤 健人 (@

   hiyoko_taisa) Technical Support Engineer 1

2. 2019.11.15 Red Hat Tech Night Ansible Towerのユーザーの種類 2 内部ユーザー ▸

   Local 外部ユーザー ▸ LDAP/LDAPS ▸ SAML ▸ OAuth … AD DS / IPA Server … Onelogin / AD FS … Azure AD / Google / GitHub

3. 2019.11.15 Red Hat Tech Night Ansible Towerのユーザーの種類 3 内部ユーザー ▸

   Local 外部ユーザー ▸ LDAP/LDAPS ▸ SAML ▸ OAuth … AD DS / IPA Server … Onelogin / AD FS … Azure AD / Google / GitHub

4. 2019.11.15 Red Hat Tech Night 4 ▸ 異なるインターネットドメイン間でユーザーの認証情報をやりとりするた めの規格 ▸

   標準化団体「OASIS」により標準化 ▸ Ansible Tower では、AD FSやOneloginといったサービス(IdP)を利用し てSSOを実現するために利用 SAMLとは？

5. 2019.11.15 Red Hat Tech Night 5 ▸ 個別にユーザーを作成する必要がない ▸ LDAPと異なり、ドメインに属さないユーザーでも利用できる

   ▸ ユーザーの所属するチームや定義されている要素に応じて、Tower内の TeamやOrganizationにシームレスに所属させることができる = SAML Attribute Mapping Ansible Tower でSSOを利用するメリット

6. 2019.11.15 Red Hat Tech Night 6 Attribute Mappingとは <saml:AttributeStatement> (中略)

   FriendlyName="eduPersonAffiliation"> <saml:AttributeValue xsi:type="xs:string">member</saml:AttributeValue> <saml:AttributeValue xsi:type="xs:string">staff</saml:AttributeValue> </saml:Attribute> </saml:AttributeStatement> { "saml_attr": "eduPersonAffiliation", "remove": true, "team_org_map": [ { "team": "member", "organization": "Default1" }, { "team": "staff", "organization": "Default2" } ] } IdP側から送られてくるAttribute Tower側のAttribute Mapping

7. 2019.11.15 Red Hat Tech Night 7 TowerにおけるSSOの動き ユーザー ADFS /

   Onelogin Identity Provider (IdP) 1. SPにログイン要求 Service Provider (SP) 2. IdPに認証要求メッセージを 付与しリダイレクト 3. リダイレクトされたIdPで認証 4. 認証したユーザーの属性情報など の情報(Assertion)を付与し SPにリダイレクト 5. IdPで付与された 認証応答メッセージを SPに送信 <saml2p:AuthnRequest> <saml2p:Response> ※ SP-Initiated

8. 2019.11.15 Red Hat Tech Night 8 認証要求メッセージ (AuthnRequest) の中身 <samlp:AuthnRequest

   xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" ID="ONELOGIN_f3bfff4946bab4d44ffcc92981f70ded63a7d88c" Version="2.0" ProviderName="Example" IssueInstant="2019-11-14T17:56:47Z" Destination="https://example.onelogin.com/trust/saml2/http-post/sso/123456" ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" AssertionConsumerServiceURL="https://xx.xxx.xx.xxx/sso/complete/saml/"> <saml:Issuer>https://hiyoko-test.ap-northeast-1.compute.amazonaws.com/</saml:Issuer> <samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" AllowCreate="true" /> <samlp:RequestedAuthnContext Comparison="exact"> <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml:AuthnCon textClassRef> </samlp:RequestedAuthnContext> </samlp:AuthnRequest>

9. 2019.11.15 Red Hat Tech Night 9 => SAML Attribute Mapping

   Ansible Tower でのSAML設定

10. 2019.11.15 Red Hat Tech Night 10 Ansible Tower でのSAML設定

11. 2019.11.15 linkedin.com/company/red-hat youtube.com/user/RedHatVideos facebook.com/redhatinc twitter.com/RedHat Red Hat is the world’s

    leading provider of enterprise open source software solutions. Award-winning support, training, and consulting services make Red Hat a trusted adviser to the Fortune 500. Thank you 11