SAML Login プラグイン

※ SAML Login プラグインを利用するためには PowerCMS とは別にライセンスを購入する必要がございます。

SAML Login プラグインの特長

• IdP 認証サービスにログインすると PowerCMS の管理画面および会員限定サイトへログインできる (シングルサインオン)
• PowerCMS の管理画面および会員限定サイトからログアウトすると IdP 認証サービスからもログアウトできる (シングルサインアウト)
• ログイン時に PowerCMS へユーザーを自動作成するか設定が行える
• IdP 認証サービスの情報と PowerCMS のユーザー情報の紐付け (マッピング) を定義できる

動作環境

• PowerCMS がインストールされ、正常に運用している環境

Perl モジュール

以下の Perl モジュールのインストールが必要です。

• Crypt::OpenSSL::RSA
• Crypt::OpenSSL::X509
• Crypt::OpenSSL::VerifyX509
• Crypt::OpenSSL::Random
• DateTime
• DateTime::Format::XSD
• Digest::SHA
• Digest::SHA1
• IO::Compress::RawDeflate
• IO::Uncompress::RawInflate
• MIME::Base64
• URI
• URI::QueryParam
• XML::XPath
• XML::Generator
• XML::CanonicalizeXML

SAML Login のインストール

1. SAML Login のパッケージを解凍し、サーバー上の PowerCMS のプラグインディレクトリへ設置する

   • $MT_HOME/plugins/DisableLoginAgain
   • $MT_HOME/plugins/SAMLLogin

   • $MT_HOME/plugins/UserSessionExtend

     ※ $MT_HOME は PowerCMS のインストール先を指すので環境にあわせて読み替えてください
     ※ PSGI 環境の場合は PSGI を再起動します。

2. PowerCMS 管理画面へログインし、システムレベルのプラグイン設定画面に SAML Login が表示されていることを確認する

IdP 認証サービスへの設定

SAML Login プラグインを利用するためには、IdP 認証サービスへ PowerCMS の情報を設定する必要があります。

設定画面や項目の名称は IdP 認証サービスによって異なるため注意してください。

IdP 認証サービスのサービスプロバイダのへ設定に以下を追加します。

設定後、IdP 認証サービスからメタデータ XML を取得します。

SAML Login プラグインの設定

SAML Login プラグインの設定画面から以下の項目を設定します。 設定内容についてはプラグイン設定の項を参照してください。

https://example.com/

<?xml version="1.0" encoding="UTF-8"?>...

{
  "saml:Attribute 要素の Name 属性の値":" PowerCMS ユーザー情報の属性名(*1)",
  ...
}

{
  "email": "email",
  "seciossGroup": "field.author_seciossgroup"
}

<?xml version="1.0" encoding="UTF-8"?>..

<?xml version="1.0" encoding="UTF-8"?>...

<?xml version="1.0" encoding="UTF-8"?>...

環境変数

SAMLLoginAdminScreen

SAML 認証を行うかどうかの設定を行います。初期値は 0 です。
プラグインをインストールし、必要な設定が完了したら 1 にしてください。

会員サイトでSAML 認証を行うためのテンプレート修正

会員限定サイトで SAML 認証を行うためには mt-members.cgi へ下記の表に従ってパラメータを送信することでシングルサインオン/シングルサインアウトを開始できます。

例えば下記の URL へアクセスすることでシングルサインオンを開始できます。

https://example.com/cgi-bin/mt/mt-members.cgi?__mode=saml_login&サインイン後に遷移したいURL

上記は GET リクエストでパラメータを送信していますが、POST リクエストで送信しても問題ありません。

サインイン修正箇所

• __mode パラメータへ saml_login を渡す処理を追加
• ユーザ名、パスワード、サインイン情報を記憶するを削除

下記は標準テーマのテンプレートを修正した場合の例です。 (不要な部分を MTIgnore タグで無効化していますが削除しても問題ありません)

<form class="login_form" method="post" action="<$MTVar name="script_url" trim="1" strip_linfeeds="1" escape="html"$>"><MTLoop name="query_params">
      <input type="hidden" name="<MTVar name="name" escape="html">" value="<MTVar name="value" escape="html">" /></MTLoop>
      <input type="hidden" name="return_url" value="<MTQuery key="return_url" setvar="return_url"><MTIf name"return_url"><$MTQuery key="return_url" escape="html"$><MTElse><$MTCurrentArchiveURL ></MTIf>" />
      <input type="hidden" name="blog_id" value="<MTVar name="blog_id" escape="html">" />
      <input type="hidden" name="__mode" value="saml_login" />
<MTIgnore>
      <p>
          <label for="username">ユーザー名</label>
          <span class="post_input">
             <input type="text" name="username" id="username" value="" />
          </span>
      </p>
      <p>
          <label for="password">パスワード</label>
          <span class="post_input">
              <input type="password" name="password" id="password" />
          </span>
      </p>
      <p>
          <span class="post_input_etc">
              <label><input type="checkbox" name="remember" value="1" /> サインイン情報を記憶する</label>
          </span>
      </p>
</MTIgnore>
      <p class="post_submit">
          <input type="submit" class="btn-primary btn" value="サインイン" />
      </p>
  </form>

サインアウト修正箇所

• Single logout service を利用する場合のみ設定が必要です
• __mode パラメータへ single_logout を渡す処理を追加

下記は標準テーマのテンプレートを修正した場合の例です。 (不要な部分を MTIgnore タグで無効化していますが削除しても問題ありません)

<MTIgnore>
<a class="btn btn-primary" href="<$MTVar name="member_script" trim="1" strip_linfeeds="1" escape="html"$>?__mode=logout&blog_id=<$MTBlogID escape="html"$><MTIf name="return_url">&return_url=<$MTVar name="return_url" escape="url"$></MTIf>"><i class="icon-user icon-white"></i> ログアウト</a>
</MTIgnore>
<a class="btn btn-primary" href="<$MTVar name="member_script" trim="1" strip_linfeeds="1" escape="html"$>?__mode=single_logout&blog_id=<$MTBlogID escape="html"$><MTIf name="return_url">&return_url=<$MTVar name="return_url" escape="url"$></MTIf>"><i class="icon-user icon-white"></i> ログアウト</a>

同梱されているプラグインについて

管理画面の場合、ログイン画面表示時に自動的に IdP へのリダイレクトが行われるため、hidden パラメータが引き継がれなくなります。 そのため、なるべくログイン画面を表示しないようにするプラグインを同梱しています。

DisableLoginAgain プラグイン

PowerCMS の操作で、ログイン認証を求める操作の場合に、認証を求められないようにします。 例: 管理画面のロックおよび解除、排他制御の解除、ステージ環境・公開環境への同期

UserSessionExtend プラグイン

PowerCMS のセッション維持期間について、ログイン時点からの期間ではなく、管理画面内での最終操作からの期間とします。