Active Directory の構成

前提条件

ロールマッピングを設定する前に、以下の前提条件を確認してください：

• 前のセクションで説明したとおりに、 SAML の基本設定を完了してください。

  マッピングしたい Instana のロールを作成します。 詳細については、 manage-users.html をご覧ください。

• Active Directory のどのグループを、 Instana のどのロールに割り当てるべきかを特定してください。
• ユーザーが適切なADグループのメンバーであることを確認してください。

手順 1: グループのメンバーシップ情報を送信するように ADFS を設定する

ADFSを設定し、 SAML アサーションに Active Directory グループのメンバーシップをクレームとして含める必要があります。 これを行うには、ADFSの「依存先パーティの信頼」にクレームルールを追加します。

ADFSの設定には、以下の手順が含まれます：

• グループのメンバーシップ情報を送信するためのクレームルールを追加します。
• SAML アサーションにおけるグループ情報の表示方法を設定します。
• 送信するADグループを指定するか、すべてのグループのメンバーシップを送信します。
• 請求値に一貫性があり、マッピングしやすいことを確認してください。

グループ・クレームを送信するようにADFSを設定する方法の詳細については、Microsoftの公式ドキュメントにある以下のリファレンスを参照してください：

• ADグループのメンバーシップを SAML クレームとして送信するための手順ガイド： グループメンバーシップをクレームとして送信するルールを作成する
• 属性マッピングの要件が複雑なシナリオに対する別のアプローチ： LDAP の属性をクレームとして送信するルールを作成する

ADFSの設定にあたっては、以下の重要な点を考慮してください：

• グループクレームには、一貫性のある属性名を使用してください（例：「Group」、「Role」、またはカスタム名など）
• グループ識別子には、シンプルで小文字の値を使用してください（例：「CN= Instana -Admins,OU=Groups,DC=example,DC=com」ではなく「instana-admins」）
• すべてのグループメンバーシップを送信する前に、まずいくつかのグループでテストを行ってください
• 多数のグループを送信すると、 SAML のアサーションが大量に発生する可能性があることに注意してください

ステップ 2： SAML のアサーションにグループ情報が含まれていることを確認する

Instana を構成する前に、以下の手順を実行して、ADFS が「 SAML 」アサーションでグループ情報を送信していることを確認してください

1. SAML の認証情報を使用して、 Instana にログインしてください。
2. ブラウザの開発者ツール（ F12 ）を使用して、ネットワークトラフィックを確認してください。
3. SAML というレスポンスを探してください（通常は、コールバック先である URL への POST となります）。
4. SAML のアサーションをデコードし（ base64 でエンコードされています）、グループ属性を確認してください。

グループ情報を含む SAML のアサーションの例：

<saml:Attribute Name="Group">
  <saml:AttributeValue>instana-admins</saml:AttributeValue>
</saml:Attribute>
<saml:Attribute Name="Group">
  <saml:AttributeValue>instana-developers</saml:AttributeValue>
</saml:Attribute>
 

ステップ 3: 「 Instana 」でマッピングルールを設定する

ADFSでグループ情報の送信設定を行った後、 Instana でマッピングルールを作成し、 SAML の属性を Instana のロールにマッピングします。その手順は以下の通りです：

1. Instana のUIで、 [設定 ] > [ セキュリティとアクセス ] > [IDプロバイダー ] > [ロールマッピング] の順に選択します。
2. 「マッピングルールを作成」 をクリックします。
3. 各マッピングルールを設定します：
   • キー： SAML 属性名（例：「Group」、「Role」、またはADFSで設定した任意の名前）
   • 値：ADFSが特定のグループ（例：「instana-admins」）に対して送信する正確な値
   • 役割：ユーザーを割り当てる Instana の役割を選択します（例：「管理者」）
   • チーム（任意）：ユーザーを特定のチームに割り当てる
4. **「保存」**をクリックします。
5. マッピングしたい各広告グループについて、この手順を繰り返します。

ステップ4：ロールのマッピングを確認する

ロールマッピングが正しく機能していることを確認するには、以下の手順を実行してください：

1. マッピングされたADグループのメンバーであるテストユーザーとして、 Instana から完全にログアウトしてみてください。
2. テストユーザーとして、 SAML を使用して Instana に再度ログインしてみてください。
3. Instana のGUIで、 「設定 」＞「 セキュリティとアクセス 」＞「 ユーザー」 の順に選択します。
4. テストユーザーを特定し、そのユーザーが Instana の適切なロールに割り当てられていることを確認してください。
5. ユーザーが所属するロールに基づいて、期待される権限を持っていることを確認してください。

重要な考慮事項

• 属性ベースのマッピング：このマッピングは、Active Directory（AD）と Instana の役割を直接関連付けるのではなく、 SAML のアサーション属性に基づいています。
• 動的な更新：役割の割り当ては、ログインのたびに、その時点の SAML アサーションに基づいて更新されます。
• 複数の役割：ユーザーは複数のADグループのメンバーになることができ、対応するすべての Instana の役割が割り当てられます。
• 大文字と小文字の区別： SAML の属性名と値は、大文字と小文字が区別されます。
• 完全一致：マッピング規則の値は、ADFSから送信される内容と完全に一致している必要があります。
• 「アクセスを拒否」オプション： Instana を設定し、マッピングルールに一致しないユーザーのアクセスを拒否することができます。 詳細については、 「 IdP のロールマッピング」 を参照してください。

ロールマッピングのトラブルシューティング

ロールのマッピングが期待通りに機能しない場合は、以下のトラブルシューティング手順を試してください：

• 「 SAML 」のアサーションを確認する：ブラウザの開発者ツールまたは SAML のトレーサー拡張機能を使用して、ADFSがグループ情報を送信していることを確認します。
• 2. 属性名の確認： Instana のマッピングルール内の「Key」が、 SAML の属性名と完全に一致していることを確認してください（大文字と小文字が区別されます）。
• 3. 属性値の確認：マッピングルール内の「Value」が、 SAML の属性値と完全に一致していることを確認してください（大文字と小文字が区別されます）。
• 4. ADFSのクレーム規則を確認する：ADFSのクレーム規則が正しく構成されており、 Instana の依存先トラストに適用されていることを確認します。
• 5. 新しいログインでテストする：ユーザーに完全にログアウトしてから再度ログインしてもらい、最新の SAML アサーションが確実に処理されることを確認します。
• 6. 入力ミスの確認：わずかな違い（スペースや大文字小文字の区別など）でも、照合に失敗する原因となります。
• 7. ` Instana ` のログを確認する：` Instana ` のログを確認し、 SAML またはロールマッピングに関連するエラーがないか確認します。