外部認証プロバイダー

基地構成

以下のコードはすべてのプロバイダーの基本構成を示しています。

{ "authentication_mode": "Passive", "email_claim_type": "", "external_user_creation_url": "https://www.registerme.com", "is_enabled": true, "messages": { "signIn": "translationKey", "signInDescription": "translationKey", "signInTitle": "translationKey" }, "provider_name": "", "username_claim_type": "", "user_linking": { "user_profile_property_name": "Email", "claim_type": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress" } }

財産

概要

authentication_mode

ActiveまたはPassive場合があります。プロバイダーがActiveに設定されている場合、認証されていないユーザーは自動的にそのプロバイダーのログインページにリダイレクトされます。一度に1つのプロバイダーだけがActiveに設定されていることを確実にしてください。ユーザーは認証設定を変更しなくても、ローカルアカウントページから https://localhost/en-us/account?forcePassive=true へナビゲートしてログインできます。

email_claim_type

このプロバイダーのglobal_email_claim_typeプロパティを上書きします。認証設定でクレームタイプを設定すれば、カスタムメールクレームをメールアドレスとして設定できます(例:"email_claim_type": "http://schemas.auth0.com/CustomEmailClaim")。

external_user_creation_url

AutoCreateUsersプロパティを上書きし、指定されたURLにリダイレクトします。

is_enabled

プロバイダーを有効にする。有効化されたプロバイダーのみが表示され、認証パイプラインに登録できます。

messages

デフォルトのサインインボタン表示を修正します。

• signIn - ボタンメッセージ。

• signInTitle - マウスをボタンに合わせるとヘルプテキストが表示されます。

• signInDescription - ボタンの横に説明が表示されます。

値は既存の 平行移動キーでなければなりません。

provider_name

外部プロバイダーの名前。この名前:

• 必須です
• 唯一無二でなければならない。
• 英語数字でなければならない。
• 大文字に区別されません。
• 50文字以上であってはいけません。

username_claim_type

このプロバイダーのglobal_username_claim_typeプロパティを上書きします。

user_linking

異なるアイデンティティプロバイダーアカウントを同じContent Hubユーザーアカウントにリンクできます。すべての外部認証プロバイダーに対してグローバルに user_linking 設定することも、各外部認証プロバイダーをオーバーライドすることもできます。デフォルトでは、同じメールアドレスを持つユーザーは同士でリンクされます。

• user_profile_property_nameM.UserProfileエンティティ定義において、文化に非依存(多言語ではない)、スカラー(多値ではない)、そして一意な文字列特性を指ささなければなりません。ただし、Email特性だけが一意である必要はありません。

• claim_type 提供者が返す一意な主張を指ささなければなりません。請求の価値はスカラーの性質でなければなりません。

> [!警告]
> ログイン手続きは以下の場合に失敗します:
>

• 複数の請求が指定された請求タイプに一致します。

• 指定された請求タイプに一致する請求はありません。

• 指定された請求タイプの値は空白または空欄です。

• 複数のユーザープロファイルが指定された請求タイプから読み取った数値に一致します。

> 指定されたクレームタイプに一致するユーザープロファイルがなければ、システムはこのユーザーを新しいユーザーとして扱います。

!注認証設定にクレームを渡すプロパティ、例えばemail_claim_typeやuser_claim_typeは、カスタムのメールクレームをメールアドレスとして使用できます(例: "email_claim_type": "http://schemas.auth0.com/CustomEmailClaim"。

!重要プロバイダー名は、同じタイプの複数の外部認証プロバイダーをサポートするための一意REST APIコールバックを設定するために使われます。通常、このコールバックは外部認証プロバイダー自身で設定する必要があります。プロバイダー名を変更するには外部認証プロバイダーの変更も必要です。デフォルトでは、コールバックURLのフォーマットは以下の通りです: /signin-{provider-name}。

提供者固有の特性

以下の表は、各外部プロバイダーに特有の特性を説明します。

!注IDP側で証明書が更新される場合、Content Hub内で手動操作は不要です。SAML統合の場合、設定時にメタデータが交換されると証明書の更新が自動的に処理されます。Content Hubはこのメタデータを使ってIDPの現在の証明書と同期しています。

Azure ADおよびOpenID Connectの完全な構成例が利用可能です。

提供者

財産

概要

必須

グーグル

client_id

OAuthクライアントID。

はい

client_secret

OAuthクライアントの秘密。

はい

Microsoft

client_id

OAuthクライアントID。

はい

client_secret

OAuthクライアントの秘密。

はい

authorization_endpoint

認証エンドポイントを上書きします。

いいえ

token_endpoint

トークンエンドポイントを上書きします。

いいえ

user_information_endpoint

ユーザー情報エンドポイントを上書きします。

いいえ

OpenID Connect

authentication_mode

認証モードは Active または Passiveに設定できますが、同時にアクティブなプロバイダーは1つだけです。 Active モードでは、認証されていないユーザーは自動的にプロバイダーのログインページにリダイレクトされます。 Passive モードでは、ログインページのプロバイダーのボタンを手動でクリックする必要があります。

いいえ

client_id

クライアントアプリケーション用の一意識別子で、Identity ProviderでContent Hubアプリケーションを認証するために使われます。

はい

client_secret

アプリケーションと認証サーバーだけが知る秘密で、Content Hubアプリケーションの認証に使用されます。

はい

authority

OpenID ConnectプロバイダーのURLで、プロバイダーの設定やエンドポイントを検出するために使われます。

いいえ

get_claims_from_user_info_endpoint

UserInfoエンドポイントからクレームを取得するかどうか。falseに設定されている場合、各認証に対してクレームを含むid_tokenを提供しなければなりません。

いいえ

metadata_address

OpenID ConnectプロバイダーのメタデータのURLで、エンドポイントの詳細や対応機能が含まれます。このファイルのコピーをホスティングするのは避けてください。プロバイダー証明書の変更は認証を壊す可能性があります。

いいえ

signed_out_redirect_uri

ユーザーがサインアウト後にリダイレクトされるURLです。

いいえ

redirect_uri

認証サーバーが認証後にユーザーをリダイレクトするURLです。これは認証サーバーに登録する必要があります。

いいえ

authentication_method

認証に使われる方法。以下の値はホワイトリストに掲載されています: redirect_get、 form_post。

いいえ

response_mode

認証応答の返送方法。以下の値はホワイトリストに掲載されています: query、 form_post、 fragment。

いいえ

response_type

認証サーバーから期待される応答の種類。以下の値はホワイトリストに掲載されています: code、 code id_token、 code id_token token、 code token、 id_token、 id_token token、 none、 token。

いいえ

prompt

ユーザーに再認証を促すべきかどうか。以下の値がホワイトリストに登録されています: none、 login、 consent、 select_account。

いいえ

email_claim_type

ユーザーのメールアドレスに使われるクレームタイプ。

いいえ

external_user_creation_url

外部ユーザー作成に使われるURLです。

いいえ

is_enabled

OpenID Connectが有効かどうか。これにより、アイデンティティプロバイダーの設定を解除せずに一時的に無効化できます。

いいえ

messages

サインインプロセス用のカスタムメッセージ。以下の値がホワイトリストに掲載されています: signIn、 signInTitle、 signInDescription。

いいえ

provider_name

OpenID Connectプロバイダーの名前は、IdPのリダイレクトURIとしても使われ、フォーマットは {HOST}/signin-{PROVIDER_NAME}となります。

いいえ

username_claim_type

ユーザーのユーザー名を定義するクレームタイプ。

いいえ

clear_default_scope

デフォルトのスコープをクリアするかどうか。

いいえ

scope

認証時に要求されたスコープ。以下の値がホワイトリストに載っています: openid、 profile、 email。OpenID Connect認証には openid スコープが常に必要です。

いいえ

SAML(南アフリカ大軍

certificate

アイデンティティプロバイダーがメッセージに署名するために使用する証明書へのパス。サービスプロバイダーのメタデータファイルに、 AuthnRequestsSigned が true されている場合のみ必要です。

いいえ

idp_entity_id

アイデンティティプロバイダーのエンティティID。

はい

metadata_location

アイデンティティプロバイダー(IdP)のソースメタデータエンドポイントのURLです。IdPエンドポイントが更新または変更された場合でも、その設定はすぐに適用されません。

>[!重要]
> IdPメタデータファイルをコピーしたり、Content Hub上でホストしたりしないでください。

はい

password

証明書にアクセスするために使われたパスワード。

いいえ

sp_entity_id

サービスプロバイダーのエンティティID。

はい

module_path

SAMLエンドポイントのアプリケーションルート相対パス。デフォルトは /AuthServices- に続き、小文字でプロバイダー名が続きます。これは大文字を区別し、一意でなければなりません。

いいえ

binding

識別提供者に認証要求を送信する際に使用されるバインディングタイプ。受け入れられる値は、 HttpRedirect (デフォルト)およびアーティファクト HttpPost です。

いいえ

authn_request_protocol_binding

応答時にアイデンティティ提供者が使用するように要求されるバインディングタイプ。認証要求の ProtocolBinding 属性に含まれています。受け入れられる値は以下の通りです: HttpPost アーティファクト。

いいえ

Sitecore

identity_server_url

サインイン時にユーザーがリダイレクトされる Sitecore Identityサーバー インスタンスのURLです。

はい

client_id

識別サーバーが知るOAuthクライアントID。

はい

client_secret

アイデンティティサーバーが知っているOAuthクライアントの秘密情報。

はい

Wsフェデレーション

metadata_address

URLはWsFederationサービスプロバイダーのXMLメタデータを公開します。

はい

wtrealm

リクエスト側のドメインのURLです。

はい

ヤンデックス

client_id

OAuthクライアントID。

はい

client_secret

OAuthクライアントの秘密。

はい