Sitecore 認証動作の変更について

既定では、Sitecore は、shell や admin などの Sitecore クライアント サイトのみの認証を処理するために SI サーバー プロバイダーを設定します。これは、SI サーバーを介して shell で認証する場合、website はそのユーザーを受け入れず、ユーザーは Web サイトで匿名であることを意味します。また、ユーザーの Web サイトでサインイン リンクを作成するために GetSignInUrlInfoPipeline パイプラインを使用すると、SI サーバーにサインインするログイン リンクが予期せず表示されないことも意味します。

認証範囲を設定するには、次の手順に従います。

Sitecore には、定義済みのサイトのリストを持つ複数の mapEntry ノードがあります。すべてのノードには、次のように意味のある値を持つ name 属性があります。

既定では、SI サーバー プロバイダーは core データベースと未指定のデータベースの mapEntry ノードがあるサイトに配置されます。

SI より前は、/sitecore/login および /sitecore/admin/login.aspx URL を使って shell および admin サイトにそれぞれログインしていました。これらの URL は Sitecore Identity では使用されません。

/sitecore または /sitecore/admin URL を使って Sitecore にアクセスすること、および [ログアウト] ボタンを使用してサイン アウトまたは別のユーザーに変更することをお勧めします。

Sitecore フェデレーション認証は、Sitecore がユーザーを外部 ID プロバイダーのログイン ページに直接リダイレクトし (Sitecore にログイン ページを表示せずに)、ユーザーが対応するボタンをクリックするまで待機できる新しいログイン ページ エンドポイントを提供します。

この新しいログイン エンドポイントの URL の形式は次のとおりです。$(loginPath)/{site_name}/{identity_provider}[/{inner_identity_provider}]、ここで、

SI サーバー プロバイダーは、Sitecore で SitecoreIdentityServer 名で設定され、Sitecore.Owin.Authentication.IdentityServer.config ファイルは次を含んでいます。

<sites>
  <site name="shell" set:loginPage="$(loginPath)shell/SitecoreIdentityServer"/>
  <site name="admin" set:loginPage="$(loginPath)admin/SitecoreIdentityServer"/>
</sites>

Sitecore 9.0 で以前設定した外部 ID プロバイダー用のログイン ボタンを戻すことができます。

Sitecore.Owin.Authentication.IdentityServer.config 設定ファイルは、shell および admin サイトの loginPage 属性を、Sitecore で処理される新しい特別なエンドポイントに適用します。

SI が有効になっている場合に /sitecore/login ページにアクセスしようとすると、ログイン ページが同一でない限り、shell 用に指定されたログイン ページにリダイレクトされます。

SI サーバーに到達できず、Sitecore が初期メタデータを取得できない場合、ユーザーに /sitecore/login?fbc=1 ページが表示されます。

ユーザーが shell でフェデレーション認証を使用してサインインするように外部 ID プロバイダーを既に設定している場合でも、SI サーバーのログイン ページにはこれらの追加のログイン ボタンが表示されないため、/sitecore/login ページを使用する必要があります。

Sitecore によりユーザーが sitecore/login ページからリダイレクトされないようにするには、次の手順に従います。

これらのアクションのいずれかにより、Sitecore はユーザーを /sitecore/login ページからリダイレクトしなくなります。SI サーバーは Sitecore で通常の外部 ID プロバイダーとして設定されます。つまり、サインイン ボタンが /sitecore/login ページに表示されます。キャプションは [ログインに移動] です。

Sitecore インスタンスは SI クライアントですが、9.1 より前のバージョンの場合と同様に、SI を無効にして、Sitecore が SI サーバーなしで機能するようにすることができます。

既定では、Sitecore が起動した後の最初のサインイン中に Sitecore インスタンスが SI サーバーに到達できない場合、Sitecore インスタンスはログイン ページのフォールバックとして /sitecore/login ページを使用します。

SI サーバーをまったく使用しないようにするには、次の手順に従います。

OWIN およびフェデレーション認証を無効にするには、次の手順に従います。

フェデレーション認証は Sitecore 9.1 で拡張されました。ユーザーが Sitecore からサインアウトするときに、外部 ID プロバイダーからのサインアウトを実装する方が簡単です。

ユーザーが外部 ID プロバイダーからサインアウトすると、Sitecore Identity はユーザーをこの ID プロバイダーのログアウト ページにリダイレクトしてから、Sitecore に戻ります。Sitecore と基盤の ID プロバイダーの両方からの完全なサインアウトは、通常、単一の要求では発生しません。ただし、AuthenticationManager.Logout() メソッドを使用すると、Sitecore Identity はすべてを自動的に処理します。

この機能は、SI サーバー プロバイダーの場合のみ既定でオンになっています (設定の SitecoreIdentityServer)。sitecore/federatedAuthentication/identityProviders/identityProvider[id=SitecoreIdentityServer]/triggerExternalSignOut は既定で true です。

ユーザー アカウントのロックアウトは、ブルート フォース攻撃と呼ばれるパスワードを推測する攻撃を回避するのに役立ちます。ブルート フォース攻撃とは、文字、数字、記号の可能なすべての組み合わせを体系的に試行して、機能する 1 つの正しい組み合わせを見つけることで、パスワードを見つけようとする試みです。

ユーザー アカウントのロックアウトを設定するには、次の手順に従います。

以下の 2 種類の Cookie があります。

最近のブラウザーは、適切なブラウザー オプションがオンになっている場合、ブラウザー セッション間でセッション Cookie を格納する傾向があります。これにより、セッション Cookie が永続的な Cookie のように動作することがよくあります。OWIN 認証を使用すると、Cookie の有効期間の値を Cookie の値自体に格納できます。つまり、Cookie の有効期限が切れている場合、Web アプリケーションは Cookie の有効期限が切れているものとして扱いますが、ブラウザーはそれをサーバーに送信します。

認証 Cookie の有効期間を指定するには、次の手順に従います。

ユーザーが [ユーザー名の保存] オプションを選択すると、Web アプリケーションは永続的な認証 Cookie を作成します。フェデレーション認証による認証では、非永続的な Cookie のみが生成されます。

たとえば、プロバイダー上で [ユーザー名を保存] を選択せずに外部 ID プロバイダーを介してサインインした場合は、ブラウザー セッションの有効期限が切れた後にもう一度サインインする必要があります。

外部 ID プロバイダーを介してログインし、そのプロバイダー上で [ユーザー名の保存] オプションを選択してから、ブラウザー セッションの有効期限が切れると、Sitecore 認証 Cookie が失われます。ただし、ID プロバイダーにすばやく自動リダイレクトされた後は、自動的に Sitecore にもう一度サインインします。

特定の ID プロバイダー の Cookie ExpireTimeSpan 設定を上書きするには、次の手順に従います。

この値は、ブラウザーによる処理のために認証 Cookie を受け入れてはならない時間を示します。

Sitecore は、この目的のために Sitecore Identity Server プロバイダーに exp クレーム値を使用します。Config.Authentication.IdentityServer.Owin.Authentication.IdentityServer.config ファイルを参照してください。

<sitecore>
  <federatedAuthentication>
    <identityProviders>
      <identityProvider id="SitecoreIdentityServer"  ...>
        <transformations ...>
            <!-- owin.cookieAuthentication.signIn pipeline uses http://www.sitecore.net/identity/claims/cookieExp claim to override authentication cookie expiration.
                 'exp' claim value can be configured on Sitecore Identity server on the client configuration by IdentityTokenLifetimeInSeconds setting.
                 Note: Claim value is Unix time expressed as the number of seconds that have elapsed since 1970-01-01T00:00:00Z -->
            <transformation name="use exp claim for authentication cookie expiration" type="Sitecore.Owin.Authentication.Services.DefaultTransformation, Sitecore.Owin.Authentication">
              <sources hint="raw:AddSource">
                <claim name="exp"/>
              </sources>
              <targets hint="raw:AddTarget">
                <claim name="http://www.sitecore.net/identity/claims/cookieExp"/>
              </targets>
              <keepSource>true</keepSource>
            </transformation>