請求地マッピング

出典の主張

ソースクレームとは、アイデンティティプロバイダーからSitecore IDトークンとSitecoreアクセストークンにマッピングしたいクレームのことです。

!注アイデンティティプロバイダーでは、Sitecore IDトークンとアクセストークンにマッピングするために使いたいクレームを特定し、追加Sitecoreなければなりません。IdPから返されるクレーム値は文字列または文字列の配列でなければなりません。そうでなければログイン時に警告メッセージが表示され、クレームマッピングが失敗します。

OpenID Connectを使用する場合、必要なスコープをScopesフィールドに追加 し、設定済みのクレームがIDPから返されるようにする必要があるかもしれません。

ソースクレームをクレームマッピングに追加するには:

• 名前欄に、マッピングしたい外部のIdPのクレーム名を入力してください。

• Valueフィールドでは、IdPクレームの返される値に一致する正則表現パターン(ECMAScript構文)を入力するか、フィールドを空にしておきます。

  返された値がパターンと一致すれば、ターゲットクレームはSitecore IDトークンとSitecoreアクセストークンに追加されます。 Valueフィールドを空にすると、その値に関係なく、ソースクレームを持つすべてのユーザーに対してターゲットクレームが追加されます。

  !注正則表現の文字通りの表記はサポートされていません。

  大文字に非対抗的な正則表現が必要な場合は、i修飾子を使いましょう。

ユーザーが組織にログインし、外部のIdPのアクセストークンにソースクレームの名前と値に一致するクレームが含まれている場合、対応するターゲットクレームはユーザーのSitecore IDトークンとSitecoreアクセストークンに追加されます。

複数のソースクレームをマッピングに追加すると、ターゲットクレームはSitecore IDトークンに加えられ、IdPのIDトークンまたはSAML応答に一致するソースクレームがあればアクセストークンSitecore追加されます。クレームマッピングにソースクレームが含まれていない場合、ターゲットクレームは常にSitecore IDトークンに加わり、すべてのユーザーに対してアクセストークンSitecoreされます。

クレームマッピングごとに最大20件のソースクレームを持てます。

ターゲットクレーム

ターゲットクレームとは、一致するソースクレームが存在する場合に、Sitecore IDトークンおよびSitecoreアクセストークンに追加されるクレームのことです。

ターゲットクレームをクレームマッピングに追加するには:

• Sitecore IDトークンに追加したいクレームの名前を入力し、IdPのIDトークンまたはSAMLレスポンスに一致するソースクレームがある場合はアクセストークンSitecore。

  !注ターゲットクレームの名前は好きなように設定できます。ターゲットクレーム名は 、トークンクレームをSitecoreAIロールにマッピングする際にSitecore ID使われます。

• 請求に割り当てたい値を指定してください。

  複数のターゲットクレームをマッピングに追加すると、それらすべてが1つのクレームとしてSitecore IDトークンとSitecoreアクセストークンに追加されます。

マッピングされたクレームがSitecore IDトークンに追加され、アクセストークンSitecoreされると、自動的にSSO接続のIDが接頭辞で付けられます。例えば、ターゲットクレーム名がxmc_roleで、SSO接続IDがcon_Veryg0od1D123456されている場合、Sitecore IDトークン内のクレーム名とアクセストークンSitecore con_Veryg0od1D123456.xmc_roleとなります。

ユーザーはトークン交換ごとに1つのクレームしかマッピングできませんが、ターゲットクレーム名が同じであれば異なるマッピングから複数のターゲットクレーム値を持つことができます(以下のクレームマッピング例のごUser Eを参照)。複数のクレームがマッピングされている場合、ログイン時に警告メッセージが表示され、クレームマッピングは失敗します(以下のクレームマッピング例のUser D参照)。

1つのマッピングで最大20の値を設定できます。

請求マッピングの例

以下のスクリーンショットは、IDP IDトークンやSAML応答に一致するソースクレームがある場合、SSOユーザーにターゲットクレームを追加するクレームマッピングを示しています。

この例では、外部IdP IDトークンに異なる設定のクレームを持つ6人のユーザーがいます: User A、User B、User C、User D、User E、User F。このセクションの残りの部分では、各ユーザーの外部IdP IDトークン内のクレームについて説明し、組織にログインしようとしたときに何が起こるかを説明します。

User Apermission請求項はdeveloperを含む値を持ち(大文字に区別なし)、devGroup請求項は任意の値を持つ。

• 彼らのSitecore IDトークンおよびSitecoreアクセストークンには以下のクレームが追加されます。 "yourSSOConnectionId.xmc_role": "sitecore\Developer", "sitecore\Custom Role"

User Bgroup請求項の値はdeveloperである:

• 彼らのSitecore IDトークンおよびSitecoreアクセストークンには以下のクレームが追加されます。 "yourSSOConnectionId.xmc_role": "sitecore\Developer", "sitecore\Secret Role"

User Cgroup請求項の価値はDesigner(大文字区別)を含みます。

• 彼らのSitecore IDトークンおよびSitecoreアクセストークンには以下のクレームが追加されます。 "yourSSOConnectionId.default_role": "sitecore\Designer"

User D任意の値を持つdevGroup請求と、Designerを含む値を持つgroup請求(大文字区分):

• Sitecore IDトークンとアクセストークンSitecoreに1つのターゲットクレームしか追加できないため、クレームマッピングはユーザーに機能せず、ログイン時に警告メッセージが表示されます。この仕組みでは、Sitecore IDトークンとSitecoreアクセストークンに2つのクレーム(xmc_role と default_role)が追加されます。

User EdevGroup請求項は任意の価値を持ち、group請求項はdeveloperである。

• 彼らのSitecore IDトークンおよびSitecoreアクセストークンには以下のクレームが追加されます。 "yourSSOConnectionId.xmc_role": "sitecore\Developer", "sitecore\Custom Role","sitecore\Secret Role"

  これは、Sitecore IDトークンとアクセストークンに1つのクレームだけが追加されるため、Sitecore機能します。

User Fgroup請求項の値は"developer", "administrator", "puppyPetter"である:

• 彼らのSitecore IDトークンおよびSitecoreアクセストークンには以下のクレームが追加されます。 "yourSSOConnectionId.xmc_role": "sitecore\Developer", "sitecore\Secret Role"

  外部IdPが請求値として文字列配列を返すと、正則表現パターンに一致する文字列があればターゲットクレームが追加されます。したがって、User Fの請求はgroup請求と一致し、値developerとなります。しかし、group請求値がadministratorまたはpuppyPetterの場合、一致するソース請求はありません。

User G値は "^Internal-(?a-zA-Z0-9+)$" を持つgroup請求を持ち、例えば "Internal-Role1", "Internal-Role2" :

• Sitecore IDトークンおよびSitecoreアクセストークンには、例のように "sitecore\\{RoleName}"、 "yourSSOConnectionId.xmc_role": "sitecore\\Role1", "sitecore\\Role2"