9.6. SAML v2.0 アイデンティティープロバイダー

Service Provider Entity ID

リモートアイデンティティープロバイダーがこのサービスプロバイダーからのリクエストを識別するために使用する SAML エンティティー ID。デフォルトでは、この設定はレルムベース URL <root>/realms/{realm-name} に設定されます。

Identity Provider Entity ID

受信した SAML アサーションの発行者を検証するために使用されるエンティティー ID。空の場合、発行者の検証は実行されません。

Single Sign-On Service URL

認証プロセスを開始する SAML エンドポイント。SAML IDP が IDP エンティティー記述子を公開する場合、このフィールドの値はそこで指定されます。

アーティファクトサービス URL

SAML アーティファクト解決エンドポイント。SAML IDP が IDP エンティティー記述子を公開する場合、このフィールドの値はそこで指定されます。

Single Logout Service URL

SAML ログアウトエンドポイント。SAML IDP が IDP エンティティー記述子を公開する場合、このフィールドの値はそこで指定されます。

Backchannel Logout

SAML IDP がバックチャネルのログアウトに対応している場合は、このスイッチを ON に切り替えます。

NameID Policy Format

名前識別子の形式に対応する URI 参照。Red Hat build of Keycloak は、デフォルトでこれを urn:oasis:names:tc:SAML:2.0:nameid-format:persistent に設定します。

Principal Type

外部ユーザー ID の特定および追跡に使用される SAML アサーションの一部を指定します。Subject NameID または SAML 属性のいずれかを指定できます (名前または分かりやすい名前のいずれか)。Subject NameID の値は、'urn:oasis:names:tc:SAML:2.0:nameid-format:transient' NameID Policy Format の値と共に設定することはできません。

Principal Attribute

Principal type が空欄でない場合は、このフィールドで識別する属性の名前 ("Attribute [Name]") または分かりやすい名前 ("Attribute [Friendly Name]") を指定します。

Allow create

外部アイデンティティープロバイダーがプリンシパルを表す新しい識別子を作成するのを許可します。

HTTP-POST Binding Response

外部 IDP によって送信される SAML リクエストに応答する SAML バインディングを制御します。OFF の場合、Red Hat build of Keycloak は Redirect Binding を使用します。

ARTIFACT Binding Response

外部 IDP によって送信される SAML リクエストに応答する SAML バインディングを制御します。OFF の場合、Red Hat build of Keycloak は HTTP-POST Binding Response 設定を評価します。

HTTP-POST Binding for AuthnRequest

外部 IDP からの認証を要求するときに SAML バインディングを制御します。OFF の場合、Red Hat build of Keycloak は Redirect Binding を使用します。

Want AuthnRequests Signed

ON の場合、Red Hat build of Keycloak はレルムのキーペアを使用して、外部 SAML IDP に送信される要求トに署名します。

Want Assertions Signed

このサービスプロバイダーが署名付きアサーションを期待しているかどうかを示します。

Want Assertions Encrypted

このサービスプロバイダーが暗号化されたアサーションを期待しているかどうかを示します。

Signature Algorithm

Want AuthnRequests Signed が ON の場合に、使用する署名アルゴリズム。SHA1 ベースのアルゴリズムは非推奨となっており、将来のリリースでは削除される可能性があることに注意してください。*_SHA1 の代わりに、よりセキュアなアルゴリズムを使用することを推奨します。また、*_SHA1 アルゴリズムでは、SAML ID プロバイダー (Red Hat build of Keycloak の別のインスタンスなど) が Java 17 以降で実行されている場合、署名の検証が機能しません。

Encryption Algorithm

SAML ドキュメント、アサーション、または ID の暗号化のために SAML IDP によって使用される暗号化アルゴリズム。SAML ドキュメント部分の復号化に対応する復号化キーは、この設定されたアルゴリズムに基づいて選択され、暗号化 (ENC) の使用にレルムキーで使用できる必要があります。アルゴリズムが設定されていない場合は、サポートされているアルゴリズムが許可され、SAML ドキュメント自体で指定されているアルゴリズムに基づいて復号キーが選択されます。

SAML Signature Key Name

POST バインディングを使用して送信された署名付き SAML ドキュメントには、KeyName 要素に署名キーの識別が含まれており、デフォルトでは Red Hat build of Keycloak キー ID が含まれています。外部 SAML IDP には異なるキー名が必要です。このスイッチは、KeyName に次のものが含まれるかどうかを制御します。* KEY_ID - キー ID* CERT_SUBJECT - レルムキーに対応する証明書からのサブジェクト。Microsoft Active Directory Federation Services には CERT_SUBJECT が必要です。* NONE - Red Hat build of Keycloak では、SAML メッセージからキー名のヒントが省略されます。

Force Authentication

ユーザーがすでにログインしている場合でも、ユーザーは外部の IDP に認証情報を入力する必要があります。

Validate Signature

ON の場合、レルムには SAML リクエストおよびデジタル署名する外部 IDP からの応答が必要です。

Metadata descriptor URL

アイデンティティープロバイダーが IDPSSODescriptor メタデータを公開する外部 URL。この URL は、Reload keys または Import keys アクションをクリックしたときに、アイデンティティープロバイダーの証明書をダウンロードするために使用されます。

Use metadata descriptor URL

ON の場合、署名を検証するための証明書が Metadata descriptor URL から自動的にダウンロードされ、Red Hat build of Keycloak にキャッシュされます。SAML プロバイダーは、2 つの異なる方法で署名を検証できます。特定の証明書が (通常は POST バインディングで) 要求されたときに、それがキャッシュ内に存在しない場合、証明書はこの URL から自動的に更新されます。すべての証明書の署名検証が要求された場合 (REDIRECT バインディング)、最大キャッシュ時間の経過後にのみ更新が実行されます (キャッシュの動作の詳細は、すべてのプロバイダー設定ガイドの public-key-storage spi を参照してください)。アイデンティティープロバイダーページの Reload Keys アクションを使用して、キャッシュを手動で更新することもできます。

このオプションが OFF の場合、Validating X509 Certificates の証明書が署名の検証に使用されます。

Validating X509 Certificates

Use metadata descriptor URL が OFF の場合に、Red Hat build of Keycloak が外部 IDP からの SAML 要求および応答の署名を検証するために使用する公開証明書。複数の証明書をコンマ (,) で区切って入力できます。アイデンティティープロバイダーページの Import Keys アクションをクリックすると、Metadata descriptor URL から証明書を再インポートできます。このアクションは、メタデータエンドポイント内の現在の証明書をダウンロードし、このオプションの設定に割り当てます。再インポートした証明書を確実に保存するには、Save をクリックする必要があります。

Sign Service Provider Metadata

ON の場合、Red Hat build of Keycloak はレルムのキーペアを使用して SAML Service Provider Metadata descriptor に署名します。

Pass subject

Red Hat build of Keycloak が、login_hint クエリーパラメーターを IDP に転送するかどうかを制御します。Red Hat build of Keycloak は、このフィールドの値を AuthnRequest の Subject の login_hint パラメーターに追加し、宛先プロバイダーがログインフォームを事前に入力できるようにします。

属性消費サービスインデックス

リモート IDP に要求する属性セットを識別します。Red Hat build of Keycloak は、ID プロバイダー設定でマップされた属性を自動生成された SP メタデータドキュメントに自動的に追加します。

サービス名を使用している属性

自動生成される SP メタデータドキュメントでアドバタイズされる属性セットの説明的な名前。