Upgrade to Pro — share decks privately, control downloads, hide ads and more …

ADFSによるSSO動作の詳細一例

 ADFSによるSSO動作の詳細一例

ADFSサーバが他サイト認証をSAMLで行う際、各コンポーネントは何をしているのか?と言うのを簡単に調べてみた。

localYouser

June 13, 2020
Tweet

More Decks by localYouser

Other Decks in Technology

Transcript

  1. 趣味でITインフラを触っている者だ

    View full-size slide

  2. 趣味でITインフラを触っている者だ




    View full-size slide

  3. 趣味でITインフラを触っている者だ

    View full-size slide

  4. 趣味でITインフラを触っている者だ




    View full-size slide

  5. 趣味でITインフラを触っている者だ



    このユーザはあくまでAD上のユーザ
    AWSConsoleには存在しないユーザ

    View full-size slide

  6. 趣味でITインフラを触っている者だ

    View full-size slide

  7. 趣味でITインフラを触っている者だ



    View full-size slide

  8. 趣味でITインフラを触っている者だ
    New Identifier:入力方向の要求を変換
    Windows アカウント名 -> 名前ID(形式:永続ID)
    Role:LDAP属性を要求として送信
    属性ストア:Active Directory
    Email Address -> https://aws.amazon.com/SAML/Atributes/RoleSession
    AD Group:カスタム規則を使用
    アカウント情報から所属グループを抽出する
    AWS Role:カスタム規則を使用
    所属グループからAWS上のRole定義に変換する

    View full-size slide

  9. 趣味でITインフラを触っている者だ
    ※見やすく改行しています。

    View full-size slide

  10. 趣味でITインフラを触っている者だ
    ※見やすく改行しています。

    View full-size slide

  11. 趣味でITインフラを触っている者だ
    ※見やすく改行しています。

    View full-size slide

  12. 趣味でITインフラを触っている者だ
    ※見やすく改行しています。

    View full-size slide

  13. 趣味でITインフラを触っている者だ

    View full-size slide

  14. 趣味でITインフラを触っている者だ
    Name Description URI

    View full-size slide

  15. 趣味でITインフラを触っている者だ
    Claim情報を
    変数cに格納
    変数cのTypeが
    WindowsAccountName
    Claim情報を
    破棄
    右形式に
    ステートメントを発行
    次のルールセットへ
    Claim情報を送る

    View full-size slide

  16. 趣味でITインフラを触っている者だ
    Claim情報を
    変数cに格納
    変数cのTypeが
    WindowsAccountName
    かつ
    Issuer=AD AUTHORITY
    Claim情報を
    破棄
    右形式に
    ステートメントを発行
    次のルールセットへ
    Claim情報を送る

    View full-size slide

  17. 趣味でITインフラを触っている者だ
    Claim情報を
    変数cに格納
    変数cのTypeが
    WindowsAccountName
    かつ
    Issuer=AD AUTHORITY
    Claim情報を
    破棄
    右形式に
    ステートメントを発行
    次のルールセットへ
    Claim情報を送る

    View full-size slide

  18. 趣味でITインフラを触っている者だ
    Claim情報を
    変数cに格納
    変数cのTypeが
    かつ
    Valueに「AWS-」を含む
    Claim情報を
    破棄
    右形式に
    ステートメントを発行
    SAMLアサーション
    応答としてオブジェクト
    を返す

    View full-size slide

  19. 趣味でITインフラを触っている者だ

    View full-size slide

  20. 趣味でITインフラを触っている者だ
    ※見やすく改行しています。

    View full-size slide

  21. 趣味でITインフラを触っている者だ

    View full-size slide

  22. 趣味でITインフラを触っている者だ

    View full-size slide