AD FSを使ってSAPのSSO環境を構築してみた

たまには、本業のSAP関連の技術を少し絡めた内容を書いてみます。

Active Directory フェデレーションサービス (AD FS) を使って、
SAMLを使ったSAP環境のSSOができないかと思い、調べながら構築してみました。

オープンソースのOpenAMとSAPのSSOをやってみた記事はこちらです。

Azure ADとの連携はこちら。

AD FSって何？SAMLって何という方はこちらの安納さんのブログが凄く参考になります。
今回、本当にお世話になりました。
【セミナー資料】AD FS 2.0 を使用して Windows Azure との SSO を実現しよう

MSC2013でのプレゼンも凄くわかりやすく参考になります。MSC2013 SC-015 - YouTube

最新Active DirectoryによるIDMaaSとハイブリッド認証基盤の実現 from Junichi Anno

今回作った環境はこのようなイメージです。

全く関係の無い3つのドメインを跨いで認証かかっているのがわかると思います。
今回はDomain Aに登録したADユーザの認証でDomain Bという別ドメインにいる、
SAP環境にログオンする構成にしました。

実際にSSOしてみたイメージです。

まずはAD FS経由の認証をします。
AD FSの入っているサーバに認証画面のテンプレートのようなものがあるので、それを使ってみます。
デフォルトでは以下のURLでアクセスできます。
https://ADFS HOSTNAME/adfs/ls/idpinitiatedsignon

まずは認証をかけます。
ここで入力するユーザーとパスワードは、
Domain AのADのユーザーとパスワードになります。
SAPのものでは無いところがポイントです。

この認証の形でSSO可能なシステムを一覧できます。
今回はSAPシステムだけを並べていますが、
もちろん他のシステムもこの仕組みでSSO可能です。

実際にSAP Portalに上記のページ経由でログオンしてみました。
ADユーザとSAPユーザをマッピングしてあるので、
自分のSAPユーザでSAPシステムにログオンすることができます。

逆にSAP側にログインする時に、
SAPユーザではなく、ADユーザでのログオンをしてもらうように設定することもできます。
その場合はSAP側のログオン画面を以下のように変更することも可能です。

この場合はIDプロバイダーとしてADFSを指定することができます。

AD側で認証を行う形になるので、
使用するのはSAPでなくADのユーザとパスワードになります。

もちろん、ドメイン配下のWindowsクライアントからは、
Windowsにログインすれば、再度ユーザやパスワードを求められることなく、
SAPシステムにログオンできます。

SAPのSSOに関しては、会社の方のブログにも纏めて書いてます。

YOMON8.NET