11.3. 統合Windows認証¶

11.3.1. 概要¶

統合Windows認証機能は、ドメインコントローラ上の認証済みユーザと同じユーザコードをもつユーザで intra-mart Accel Platform アクセス時に、統合Windows認証済みユーザ情報を取得して自動ログインを行うことができる機能です。

これにより、シングルサインオンを実現できます。

注意

統合Windows認証は、 Internet Information Services（IIS） が必須です。

注意

ログイン画面からのログインはサポートしません。詳しくは以下の制限を参照してください。

SSO（SingleSignOn）環境での注意点があります。

11.3.2. 前提条件¶

• アプリケーションサーバには Resin を使用してください。

• Resin を Windows Server 上で動作させる必要があります。

• Resin を実行する Windows Server がドメインに参加している必要があります。

• ブラウザは 「リリースノート」に記した Microsoft Edge を使用してください。

• 統合Windows認証モジュールが必要です。

  • IM-Juggling 上で「追加機能」-「認証拡張機能」-「統合Windows認証モジュール」を選択し intra-mart Accel Platform を構築する必要があります。
  • 統合Windows認証モジュールは、8.0.0-PATCH_001 以降のバージョンを使用してください。

注意

シングルサインオンを実現するためには、ドメインコントローラ上のユーザコードと intra-mart Accel Platform 上のユーザコードが一致している必要があります。

注意

統合Windows認証機能には、ドメインコントローラ、統合Windows認証に対応したブラウザが必要です。

注意

スマートフォンでの統合Windows認証機能の利用はサポートしておりません。

注意

統合Windows認証は intra-mart Accel Platform の機能として Resin 上で実行されます。そのため、IIS の Windows 認証を無効化してください。

その他認証は必要に応じて設定してください。

11.3.3. セットアップ¶

11.3.4. 統合Windows認証機能を無効化するには¶

統合Windows認証機能を無効化したい場合、以下の手順を実施するか、または単に統合Windows認証モジュールを含めずに war を作成し、再デプロイを行ってください。

IM-Juggling で次の設定を行いwarファイルを作成してください。

• 機能の無効化の設定

  1. <（プロジェクト名）/conf> 配下に出力されているim-sso-windows-config.xmlを開き<im-sso-windows-config>/<authentication>/<@enable> を false に設定します。

     <?xml version="1.0" encoding="UTF-8"?>
     <im-sso-windows-config
         xmlns="http://www.intra-mart.jp/sso-windows/config/im-sso-windows-config"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://www.intra-mart.jp/sso-windows/config/im-sso-windows-config ../schema/im-sso-windows-config.xsd">
       <authentication enable="false">
         <parameter>
           <param-name>allow-guest-login</param-name>
           <param-value>false</param-value>
         </parameter>
       </authentication>
     </im-sso-windows-config>
     

     コラム

     デフォルトではfalseが指定されています。
  2. plugin配下にフォルダを作成（例:「jp.co.intra_mart.foundation.security.certification.sso.user.provider.windows_8.0.0.disable」）し、そのフォルダ内に以下のようなplugin.xmlを配置してください。

     version 属性にはすでに差し込まれているプラグイン ID の version 属性より大きい値を設定してください。

      <?xml version="1.0" encoding="UTF-8"?>
      <plugin>
        <extension point="jp.co.intra_mart.foundation.security.certification.sso.user.providers">
          <sso-user-providers
            id="jp.co.intra_mart.foundation.security.certification.sso.user.provider.windows"
            name="Windows SSO User Provider"
            version="8.0.1"
            rank="90"
            enable="false">
            <sso-user-provider class="jp.co.intra_mart.foundation.security.certification.sso.WindowsSSOUserProvider"/>
          </sso-user-providers>
        </extension>
      </plugin>
     

  3. plugin配下にフォルダを作成（例:「jp.co.intra_mart.foundation.admin.tenant.context.tenant.resolver.windows_8.0.4.disable」）し、そのフォルダ内に以下のようなplugin.xmlを配置してください。

     version 属性にはすでに差し込まれているプラグイン ID の version 属性より大きい値を設定してください。

      <?xml version="1.0" encoding="UTF-8"?>
      <plugin>
        <extension point="jp.co.intra_mart.foundation.admin.tenant.context.tenant.resolvers">
          <tenant-id-resolvers
            id="jp.co.intra_mart.foundation.admin.tenant.context.tenant.resolver.windows"
            name="Windows Tenant Id Resolver"
            version="8.0.5"
            rank="90"
            enable="false">
     
            <!-- ドメインをテナントIDとするリゾルバー
                 参加しているドメインをテナントIDとして解決します。 -->
            <!--tenant-id-resolver class="jp.co.intra_mart.foundation.admin.tenant.context.DomainBasedWindowsTenantIdResolver"/-->
     
            <!-- 設定された固定値をテナントIDとするリゾルバー
                 tenant_idパラメータに設定した値をテナントIDとして解決します。 -->
            <!--tenant-id-resolver class="jp.co.intra_mart.foundation.admin.tenant.context.FixedConfigBasedWindowsTenantIdResolver">
              <init-param>
                <param-name>tenant_id</param-name>
                <param-value>default</param-value>
              </init-param>
            </tenant-id-resolver-->
     
            <!-- 設定された固定値をテナントIDとするリゾルバー
                 tenant_idパラメータに設定した値をテナントIDとして解決します。
                 FixedConfigBasedWindowsTenantIdResolver と違い、どのようなリクエストに対しても必ず設定値を返却します。 -->
            <!--tenant-id-resolver class="jp.co.intra_mart.foundation.admin.tenant.context.ConstantConfigBasedWindowsTenantIdResolver">
              <init-param>
                <param-name>tenant_id</param-name>
                <param-value>default</param-value>
              </init-param>
            </tenant-id-resolver-->
          </tenant-id-resolvers>
        </extension>
      </plugin>
     

  4. plugin配下にフォルダを作成（例:「jp.co.intra_mart.foundation.admin.tenant.context.tenant.validator.windows_8.0.1.disable」）し、そのフォルダ内に以下のようなplugin.xmlを配置してください。

     version 属性にはすでに差し込まれているプラグイン ID の version 属性より大きい値を設定してください。

      <?xml version="1.0" encoding="UTF-8"?>
      <plugin>
        <extension point="jp.co.intra_mart.foundation.admin.tenant.context.tenant.validators">
          <tenant-id-validators
            id="jp.co.intra_mart.foundation.admin.tenant.context.tenant.validator.windows"
            name="Windows TenantIdValidator"
            version="8.0.2"
            rank="100"
            enable="false">
            <tenant-id-validator class="jp.co.intra_mart.system.sso_windows.context.WindowsSSOTenantIdValidator">
              <!-- テナントID解決必須チェック -->
              <init-param>
                <param-name>required_tenant_id</param-name>
                <param-value>true</param-value>
              </init-param>
              <!-- テナントID存在チェック -->
              <init-param>
                <param-name>valid_tenant_id</param-name>
                <param-value>true</param-value>
              </init-param>
            </tenant-id-validator>
          </tenant-id-validators>
        </extension>
      </plugin>
     

  コラム

  プラグイン配下に作成するフォルダ名は任意です。

  他のフォルダ名と重複することの無いようユニークな名称を設定してください。

11.3.5. 統合Windows認証機能をリクエストに応じて無効化するには¶

intra-mart Accel Platform 2014 Summer(Honoka) 以降では、以下のリクエストヘッダを設定することで、統合Windows認証機能、テナントバリデーション機能を無効化できます。

リクエストヘッダ	値	動作
x-jp-co-intra-mart-sso-windows-disable-authentication	true	該当のリクエストにおいて統合Windows認証を行いません。
x-jp-co-intra-mart-sso-windows-disable-tenant-validation	true	該当のリクエストにおいてテナントバリデーションを行いません。

注意

値には “true” を指定してください。その他の値を指定した場合の動作は保証しません。

11.3.6. 統合Windows認証機能の認証失敗時に通常のログイン機能を利用するには¶

intra-mart Accel Platform 2014 Winter(Iceberg) 以降では、<（プロジェクト名）/conf> 配下に出力されている im-sso-windows-config.xml の allow-fallback-login パラメータに true を設定することで、統合Windows認証機能による認証に失敗したユーザは通常のログイン機能を使用できます。

<?xml version="1.0" encoding="UTF-8"?>
<im-sso-windows-config
    xmlns="http://www.intra-mart.jp/sso-windows/config/im-sso-windows-config"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.intra-mart.jp/sso-windows/config/im-sso-windows-config ../schema/im-sso-windows-config.xsd">
  <authentication enable="true">
    <parameter>
      <param-name>allow-guest-login</param-name>
      <param-value>false</param-value>
    </parameter>
    <parameter>
      <param-name>allow-fallback-login</param-name>
      <param-value>true</param-value>
    </parameter>
  </authentication>
</im-sso-windows-config>

注意

本機能における、 統合Windows認証 機能の認証失敗の条件は以下のような場合です。

• ユーザ認証に使用されるユーザ名、パスワードがドメインコントローラー上のものと一致しない場合。
• 認証ダイアログによる認証要求をキャンセルした場合。
• ゲストログインが無効の場合に、ドメインコントローラー上のゲストユーザで認証をした場合。

注意

本機能有効時に 統合Windows認証 に失敗したユーザに対しては、以降セッションが破棄されるまで 統合Windows認証は行われません。

11.3.7. ケルベロス認証を無効化しNTLM認証を強制するには¶

NTLM認証を強制するには、以下の設定が必要です。

IM-Juggling で次の設定を行いwarファイルを作成してください。

• NTLM認証強制化の設定

  1. 「設定ファイル」タブの統合Windows認証モジュールを選択しim-sso-windows-config.xmlを出力します。
  2. <（プロジェクト名）/conf配下に出力されたim-sso-windows-config.xmlを開き以下のようにコメントを外して、設定を有効化します。

     <parameter>
       <param-name>waffle.servlet.spi.NegotiateSecurityFilterProvider/protocols</param-name>
       <param-value>NTLM</param-value>
     </parameter>
     

  注意

  本設定は以下のバージョンでのみ利用可能です。

  • 統合Windows認証モジュールバージョン 8.0.1-PATCH_001 以降
  • 統合Windows認証モジュールバージョン 8.0.2-PATCH_001 以降
  • 統合Windows認証モジュールバージョン 8.0.3-PATCH_001 以降
  • 統合Windows認証モジュールバージョン 8.0.4 以降

11.3.8. 統合Windows認証機能の認証失敗時にリダイレクトさせるには¶

intra-mart Accel Platform 2015 Winter(Lydia) 以降では、<（プロジェクト名）/conf> 配下に出力されている im-sso-windows-config.xml の redirect-on-authentication-failure パラメータに URL を設定することで、統合Windows認証機能による認証に失敗したユーザに指定した URL にリダイレクトさせることができます。

<?xml version="1.0" encoding="UTF-8"?>
<im-sso-windows-config
    xmlns="http://www.intra-mart.jp/sso-windows/config/im-sso-windows-config"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.intra-mart.jp/sso-windows/config/im-sso-windows-config ../schema/im-sso-windows-config.xsd">
  <authentication enable="true">
    <parameter>
      <param-name>allow-guest-login</param-name>
      <param-value>false</param-value>
    </parameter>
    <parameter>
      <param-name>allow-fallback-login</param-name>
      <param-value>false</param-value>
    </parameter>
    <!--parameter>
      <param-name>waffle.servlet.spi.NegotiateSecurityFilterProvider/protocols</param-name>
      <param-value>NTLM</param-value>
    </parameter-->
    <parameter>
      <param-name>redirect-on-authentication-failure</param-name>
      <param-value></param-value>
    </parameter>
  </authentication>
</im-sso-windows-config>

注意

本機能における、統合Windows認証機能の認証失敗の条件は以下のような場合です。

• ユーザ認証に使用されるユーザ名、パスワードがドメインコントローラー上のものと一致しない場合。
• ゲストログインが無効の場合に、ドメインコントローラー上のゲストユーザで認証をした場合。

注意

本機能を利用して intra-mart Accel Platform へリダイレクトを行う場合、リダイレクト先の URL に対し統合Windows認証が行われます。

これを避けたい場合、以下の機能等を用いて、リダイレクト先 URL に対する統合Windows認証を無効化してください。

• 統合Windows認証機能をリクエストに応じて無効化するには
• 統合Windows認証機能の認証失敗時に通常のログイン機能を利用するには
• 統合Windows認証パス設定