Sitecore認証動作の変更について

デフォルトでは、SitecoreはSIサーバー プロバイダーをSitecoreクライアント サイトの認証 ( shellやadminなど) のみに処理するように設定します。これは、SIサーバーを介してshell認証する場合、websiteそのユーザーを受け入れず、Webサイトでは匿名であることを意味します。また、GetSignInUrlInfoPipelineパイプラインを使用してWebサイトにサインイン リンクを生成する場合、SIサーバーでサインインするためのログイン リンクが予期せずそこに表示されないことも意味します。

認証スコープを設定するには:

Sitecoreには、事前定義されたサイト リストを持ついくつかのmapEntryノードが付属しています。すべてのノードには、意味のある値を持つname属性があります。

デフォルトでは、SIサーバー・プロバイダーはsites with the core and unspecified database mapEntry ノードに配置されます。

SIより前は、/sitecore/login URLと /sitecore/admin/login.aspx URLを使用して、それぞれshellサイトとadminサイトにログインしていました。これらのURLはSitecore Identityでは使用されません。

Sitecoreへのアクセスには/sitecore URLまたはURL /sitecore/adminを使用し、Logoutボタンを使用してサインアウトまたは別のユーザーに変更することをお勧めします。

Sitecoreフェデレーション認証は、Sitecoreがユーザーを外部IDプロバイダーのログイン ページ (Sitecoreにログイン ページを表示せずに) にリダイレクトし、ユーザーが対応するボタンをクリックするまで待機できるようにする新しいログイン ページ エンドポイントを提供します。

この新しいログインエンドポイントのURLの形式は、$(loginPath)/{site_name}/{identity_provider}/{inner_identity_provider}です。

SIサーバー プロバイダーはSitecoreのSitecoreIdentityServer名で設定され、Sitecore.Owin.Authentication.IdentityServer.configファイルには次のものが含まれます。

<sites>
  <site name="shell" set:loginPage="$(loginPath)shell/SitecoreIdentityServer"/>
  <site name="admin" set:loginPage="$(loginPath)admin/SitecoreIdentityServer"/>
</sites>

Sitecore 9.0では、以前に設定した外部IDプロバイダーのログイン ボタンを元に戻すことができます。

Sitecore.Owin.Authentication.IdentityServer.config設定ファイルは、shellサイトとadminサイトのloginPage属性を、Sitecoreが処理する新しい特別なエンドポイントにパッチします。

SIが有効になっているときに /sitecore/loginページにアクセスしようとすると、shellサイトで指定されたログイン ページにリダイレクトされます (同じページでない限り)。

SIサーバーに到達できず、Sitecoreが初期メタデータを取得できない場合、ユーザーは /sitecore/login?fbc=1ページに移動します。

フェデレーション認証を使用してshellでユーザーをサインインするように外部IDプロバイダーを既に構成している場合でも、SIサーバーのログイン ページにはこれらの追加のログイン ボタンが表示されないため、/sitecore/loginページを使用する必要があります。

Sitecoreがユーザーをsitecore/loginページからリダイレクトしないようにするには、次の手順に従います。

これらのアクションのいずれかにより、Sitecoreはユーザーを /sitecore/loginページからリダイレクトできなくなります。SIサーバーはSitecoreで通常の外部IDプロバイダーとして設定されているため、/sitecore/loginページにサインイン ボタンが表示されます。キャプションはGo to loginです。

SitecoreインスタンスはSIクライアントですが、9.1より前のバージョンと同様に、SIサーバーなしでSitecoreが動作するようにSIを無効にすることができます。

デフォルトでは、Sitecoreインスタンスが起動後の最初のサインイン時にSIサーバーに到達できない場合、/sitecore/loginページをログイン ページのフォールバックとして使用します。

SIサーバーをまったく使用しないには:

OWIN認証とフェデレーション認証を無効にするには:

フェデレーション認証はSitecore 9.1で拡張されました。ユーザーがSitecoreからサインアウトするときに、外部IDプロバイダーからのサインアウトを実装する方が簡単です。

ユーザーが外部IDプロバイダーからサインアウトすると、Sitecore IdentityはユーザーをこのIDプロバイダーのログアウト ページにリダイレクトし、その後Sitecoreに戻します。Sitecoreと基になるIDプロバイダーの両方からの完全なサインアウトは、通常、1つのリクエストでは発生しません。ただし、Sitecore Identityは、AuthenticationManager.Logout() メソッドを使用するとすべてを自動的に処理します。

この機能は、SIサーバー プロバイダー (構成のSitecoreIdentityServer) onlyデフォルトでオンになっています (sitecore/federatedAuthentication/identityProviders/identityProviderid=SitecoreIdentityServer/triggerExternalSignOutはデフォルトでtrueです)。

ユーザー アカウントのロックアウトは、ブルート フォース攻撃と呼ばれるパスワード推測攻撃を回避するのに役立ちます。ブルートフォース攻撃とは、文字、数字、記号の可能なすべての組み合わせを体系的に試して、機能する正しい組み合わせが見つかるまでパスワードを発見する試みです。

ユーザーアカウントのロックアウトを設定するには:

Cookieには次の2つのタイプがあります。

最新のブラウザーは、適切なブラウザー オプションがオンになっている場合、ブラウザー セッション間でセッションCookieを保持する傾向があります。多くの場合、セッションCookieは永続的なCookieのように動作します。OWIN認証を使用すると、Cookieの有効期間の値をCookie値自体に格納できます。これは、Cookieの有効期限が切れている場合、WebアプリケーションによってCookieが期限切れとして扱われますが、ブラウザはまだCookieをサーバーに送信します。

認証Cookieの有効期間を指定するには:

Webアプリケーションは、ユーザーがRemember meオプションを選択すると、永続的な認証Cookieを作成します。フェデレーション認証による認証では、非永続的なCookieのみが生成されます。

たとえば、外部IDプロバイダーでRemember meオプションを選択せずにサインインした場合、ブラウザー セッションの有効期限が切れた後に再度サインインする必要があります。

外部IDプロバイダーを通じてサインインし、そのプロバイダーでRemember meオプションを選択した場合、ブラウザー セッションの有効期限が切れると、Sitecore認証Cookieは失われます。 ただし、IDプロバイダーにすばやく自動リダイレクトして戻すと、自動的にSitecoreに再度サインインします。

特定のIDプロバイダーのCookie ExpireTimeSpan設定を上書きするには:

この値は、認証Cookieをブラウザによる処理に受け入れてはならない時間またはそれ以降に示します。

Sitecoreは、この目的のためにSitecore Identityサーバー プロバイダーのexpクレーム値を使用します - Config.Authentication.IdentityServer.Owin.Authentication.IdentityServer.configファイルを参照してください。

<sitecore>
  <federatedAuthentication>
    <identityProviders>
      <identityProvider id="SitecoreIdentityServer"  ...>
        <transformations ...>
            <!-- owin.cookieAuthentication.signIn pipeline uses http://www.sitecore.net/identity/claims/cookieExp claim to override authentication cookie expiration.
                 'exp' claim value can be configured on Sitecore Identity server on the client configuration by IdentityTokenLifetimeInSeconds setting.
                 Note: Claim value is Unix time expressed as the number of seconds that have elapsed since 1970-01-01T00:00:00Z -->
            <transformation name="use exp claim for authentication cookie expiration" type="Sitecore.Owin.Authentication.Services.DefaultTransformation, Sitecore.Owin.Authentication">
              <sources hint="raw:AddSource">
                <claim name="exp"/>
              </sources>
              <targets hint="raw:AddTarget">
                <claim name="http://www.sitecore.net/identity/claims/cookieExp"/>
              </targets>
              <keepSource>true</keepSource>
            </transformation>