10.13.5. KeycloakとのSAML認証の設定¶

10.13.5.2.1. Keycloakに Accel-Mart Quick の情報を登録する¶

1. 「Master」をクリックし、「Create Realm」をクリックします。

   

   図：「Master realm」

2. 「Realm Name」に任意の値を入力し、「Create」をクリックします。

   

   図：「Create realm」

3. 「Users」の「Create new user」をクリックします。

   

   図：「Users」

4. 「Username」に任意の値を入力し、「Create」をクリックします。

   

   図：「Create user」

5. 「Credentials」タブを開きます。

6. 「Set password」をクリックします。

   

   図：「Credentials」

7. パスワードを入力し「Save」をクリックします。

   

   図：パスワードの設定

8. 「Client」-「Clients list」の「Create client」をクリックします。

   

   図：「Clients」

9. 下記の項目を設定し、「Save」をクリックします。

   クライアントの設定例

   Client Type	SAML
   Client ID	https://ホスト名.accel-mart.com/imart

   

   図：「Create client」

10. 「Setting」タブで下記を参考にクライアントの詳細設定を入力します。

    Access settings

    Valid redirect URIs	https://ホスト名.accel-mart.com/imart/saml/profile/sso_response/post
    IDP-Initiated SSO URL name	https://ホスト名.accel-mart.com/imart/saml/profile/sso_response/post
    Master SAML Processing URL	https://ホスト名.accel-mart.com/imart/saml/profile/sso_response/post

    

    図：「Setting - Access settings」

    Signature and Encryption

    Sign assertions

    On

    

    図：「Setting - Signature and Encryption」

11. 「Save」をクリックします。

12. 「Key」タブを表示します。

13. 「Signing keys config」-「Client signature required」を「Off」にします。

    

    図：「Key - Signing keys config」

10.13.5.2.2. IdPメタデータを取得¶

1. 「Realm settings」の「General」-「Endpoints」-「SAML 2.0 Identity Provider Metadata」をクリックします。

   

   図：「Realm settings」

2. 表示されたメタデータをコピーします。

3. メタデータ内の「IDPSSODescriptor」要素の「WantAuthnRequestsSigned」属性の値を false に変更してメモなどに保存します。

10.13.5.2.3. Accel-Mart Quick にKeycloakの情報を設定する¶

1. 「 Accel-Mart Quick システム管理者 」ロールを持つユーザでログインし、「管理」-「外部システム連携設定」-「SAML認証設定」-「IdP一覧」をクリックします。

2. 「新規登録」ボタンをクリックします。

3. 下記を参考に必要な項目を入力します。

   IdP 新規登録時の設定例

   状態	有効
   IdP名	任意の値
   IdPメタデータ	Keycloakから取得したメタデータの内容

   

   図：「IdP新規作成」

   コラム

   「ログインボタン設定」や「高度な設定」の設定を行う場合は「Accel-Mart QuickにIdPの情報を設定する 」を参考に各項目の設定を行ってください。

4. 「新規登録」ボタンをクリックします。

10.13.5.2.4. Accel-Mart Quick ユーザとOktaユーザをマッピング¶

1. 「 Accel-Mart Quick システム管理者 」ロールを持つユーザでログインし、「管理」-「外部システム連携設定」-「SAML認証設定」-「SAMLユーザマッピング」をクリックします。

2. 「新規作成」ボタンをクリックし、以下のように設定し登録します。

   新規登録時の設定例

   IdPユーザ	Keycloakでアプリケーションに割り当てたユーザ
   ユーザ	Accel-Mart Quick で連携させたいユーザのユーザコード

   

   図：「SAMLユーザマッピング登録」

10.13.5.4.1. Accel-Mart Quick でシングルログアウトの設定¶

1. 「 Accel-Mart Quick システム管理者 」ロールを持つユーザでログインし、「管理」-「外部システム連携設定」-「SAML認証設定」-「IdP一覧」をクリックし、「Accel-Mart Quick にKeycloakの情報を設定する」で登録した IdP の編集画面に遷移します。

2. 「高度な設定」のシングルログアウトのラジオボタンを「有効」に設定します。

   

   図： 「IdP更新 - 高度な設定」

3. シングルサインオンの「署名処理」を「署名する」に設定します。

   

   図： 「IdP更新 - 高度な設定」

4. 更新ボタンをクリックします。

5. 作成したSPメタデータと証明書をダウンロードします。

   

   図：「IdP一覧」

10.13.5.4.2. Keycloakでシングルログアウトの設定¶

1. 「Client」-「Clients list」から「Keycloakに Accel-Mart Quick の情報を登録する」で作成したClientをクリックします。

2. 「Advanced」-「Fine Grain SAML Endpoint Configuration」-「Logout Service POST Binding URL」に、ダウンロードしたSPメタデータ内の「Binding=”urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST”」属性をもつ「SingleLogoutService」要素の「Location」属性のURL を設定してください。

   

   図： 「Advanced - Fine Grain SAML Endpoint Configuration」

3. 「Save」をクリックします。

4. 「Accel-Mart Quick でシングルログアウトの設定」で取得した証明書を用いて「有効にした署名をKeycloak側で検証させる設定」を行います。

10.13.5.6.1. SAML Requestに署名を設定する¶

1. 「 Accel-Mart Quick システム管理者 」ロールを持つユーザでログインし、「管理」-「外部システム連携設定」-「SAML認証設定」-「IdP一覧」をクリックし、「Accel-Mart Quick にKeycloakの情報を設定する」で登録した IdP の編集画面に遷移します。

2. 「高度な設定」のシングルサインオンの「署名処理」を「署名する」に設定します。

   

   図： 「IdP更新 - 高度な設定」

3. 「更新」をクリックします。

4. 署名用の証明書が作成され、「IdP一覧」画面に「証明書ダウンロード」列が表示されます。

   「証明書ダウンロード」のアイコンをクリックし、証明書をダウンロードしてください。

   

   図：「IdP一覧」

5. 取得した証明書を用いて「有効にした署名をKeycloak側で検証させる設定」を行います。

10.13.5.6.2. SAML Assertionを暗号化する¶

1. 「 Accel-Mart Quick システム管理者 」ロールを持つユーザでログインし、「管理」-「外部システム連携設定」-「SAML認証設定」-「IdP一覧」をクリックし、「Accel-Mart Quick にKeycloakの情報を設定する」で登録した IdP の編集画面に遷移します。

2. 「高度な設定」のシングルサインオンの「SAMLアサーション暗号化処理」を「暗号化する」に設定します。

   

   図： 「IdP更新 - 高度な設定」

3. 「更新」をクリックします。

4. 「IdP一覧」画面から証明書をダウンロードします。

   

   図：「IdP一覧」

5. 次に、Keytoolを用いて Accel-Mart Quick で取得した証明書を元にJKSファイルを作成します。

   コラム

   コマンドプロンプトで下記のKeytoolコマンドを実行します。

   keytool -import -alias <ホスト名>.accel-mart.com/imart -keystore truststore.jks -file certificate.crt

   JKSファイルの作成

   -alias	<ホスト名>.accel-mart.com/imart
   -keystore	作成するJKSファイル名
   -file	Accel-Mart Quick 取得した証明書のファイル名

   キーストアのパスワードを要求されるので設定します。

6. Keycloakにログインし「Keycloakに Accel-Mart Quick の情報を登録する」で作成したRealmの「Client」-「Clients list」から作成したClientをクリックします。

7. 「Key」タブを表示します。

8. 「Encryption keys config」-「Encrypt assertions」のボタンをクリックします。

   

   図：「Key - Encryption keys config」

9. 「Select method」の「Import」を選択し「Browse」から作成したJKSファイルを選択します。

   

   図：証明書を登録

10. 下記を参考に必要な項目を入力してください。

    設定例

    Key alias	JKSファイル作成時にKeytoolコマンド内で設定した -alias の値
    Store password	JKSファイル作成時に設定したキーストアのパスワード

    

    図：証明書を登録

11. 「Confirm」をクリックします。

10.13.5.6.3. 有効にした署名をKeycloak側で検証させる設定¶

• 「シングルログアウト」
• 「SAML Requestに署名を設定する」

1. Keytoolを用いて Accel-Mart Quick で取得した証明書を元にJKSファイルを作成します。

   コラム

   コマンドプロンプトで下記のKeytoolコマンドを実行します。

   keytool -import -alias <ホスト名>.accel-mart.com/imart -keystore truststore.jks -file certificate.crt

   JKSファイルの作成

   -alias	<ホスト名>.accel-mart.com/imart
   -keystore	作成するJKSファイル名
   -file	Accel-Mart Quick で取得した証明書のファイル名

   キーストアのパスワードを要求されるので設定します。

2. 「Client」-「Clients list」から「Keycloakに Accel-Mart Quick の情報を登録する」で作成したClientをクリックします。

3. 「Key」タブを表示します。

4. 「Signing keys config」-「Client signature required」のボタンをクリックします。

   

   図：「Key - Signing keys config」

5. 「Select method」の「Import」を選択し「Browse」から作成したJKSファイルを選択します。

   

   図：証明書を登録

6. 下記を参考に必要な項目を入力してください。

   設定例

   Key alias	JKSファイル作成時にKeytoolコマンド内で設定した -alias の値
   Store password	JKSファイル作成時に設定したキーストアのパスワード

   

   図：証明書を登録

7. 「Confirm」をクリックします。