リポジトリサーバを1台で構成する場合と、リポジトリサーバを複数台で構成する場合のリポジトリサーバ(更新系)の構築方法を説明します。
リポジトリサーバを構築するマシンのInterstage管理コンソールを使用して、以下の手順で行います。Interstage管理コンソールで定義する項目の詳細については、Interstage管理コンソールのヘルプを参照してください。
リポジトリサーバを構築するには、事前にSSOリポジトリを作成しておく必要があります。SSOリポジトリの作成方法については、“2.3.1 SSOリポジトリの作成”を参照してください。
リポジトリサーバを作成するWebサーバ(Interstage HTTP Server)を選定します。
リポジトリサーバを作成するWebサーバがない場合は、新規にInterstage シングル・サインオン専用のWebサーバを作成します。
リポジトリサーバでSSL通信を行う場合は、手順1.で選定、または作成したWebサーバに、運用に合わせてSSLの設定を行ってください。SSL定義の作成については“D.1 リポジトリサーバのSSL通信環境の構築”を参照してください。
[システム] > [セキュリティ] > [シングル・サインオン] > [認証基盤] > [認証基盤の構築]タブを選択してください。
[リポジトリサーバ、認証サーバを別々のマシンに構築する。]を選択して、[次へ]ボタンをクリックしてください。
作成するサーバの選択画面が表示されます。
[リポジトリサーバの作成]の[リポジトリサーバ(更新系)]を選択して、[次へ]ボタンをクリックしてください。
ユーザ情報の登録先に使用するディレクトリサービスの選択画面が表示されます。
ユーザ情報を登録するディレクトリサービスを選択し、[次へ]ボタンをクリックしてください。
Active Directoryを使用する場合は、[シングル・サインオンの拡張スキーマを使用する]を運用に応じてチェックしてください。
[簡易設定]が表示されます。
[認証基盤のURL]、および[リポジトリサーバ(更新系)のURL]を入力します。[使用するWebサーバ]には手順1.で選定、または作成したWebサーバ名を、[リポジトリ名]には使用するSSOリポジトリを選択してください。
リポジトリサーバ(更新系)を増設して負荷分散する場合は、[リポジトリサーバ(更新系)のURL]に、リポジトリサーバの前に配置するロードバランサのURLを設定してください。
ユーザ情報の登録先ディレクトリサービスにActive Directoryを選択した場合は、[Active Directoryの設定]、および[ユーザ情報の登録先エントリ]を入力します。
[作成]ボタンをクリックしてください。
リポジトリサーバの作成が行われます。作成されたサーバの一覧が表示されますので、サーバが使用するWebサーバ名、およびポート番号を確認することができます。
リポジトリサーバの作成後、リポジトリサーバを起動してください。
リポジトリサーバの起動方法については、“4.1.1 リポジトリサーバの起動”を参照してください。
認証サーバやリポジトリサーバ(参照系)を構築する際に必要な認証基盤構築ファイルをダウンロードしてください。
認証基盤構築ファイルのダウンロードは、リポジトリサーバ(更新系)を作成したマシンのInterstage管理コンソールから行ってください。
Interstage管理コンソールの[システム] > [セキュリティ] > [シングル・サインオン] > [認証基盤] > [認証基盤構築ファイル]タブをクリックし、[パスワード]を設定し、[ダウンロード]ボタンをクリックして、Webブラウザを起動しているマシンに認証基盤構築ファイルをダウンロードしてください。
認証基盤構築ファイルは、セキュリティ上重要なファイルであり、パスワードによって暗号化されています。パスワードは、第三者に漏洩しないように管理してください。なお、認証サーバやリポジトリサーバ(参照系)の構築後は、必ず削除してください。
リポジトリサーバを構築するマシンにおいて、以下を組み合わせた構成とすることはできません。
運用セキュリティにて、ディレクトリサービスとの接続にSSLを使用します。
リポジトリサーバにて、Active Directoryとの接続にSSLを使用します。
上記を組み合わせた構成とする場合は、以下の方法で代替してください。
運用セキュリティにて、ディレクトリサービスとの接続にSSLを使用しない方法
運用セキュリティが接続するディレクトリサービスを、リポジトリサーバを構築するマシンに配置してください。SSOリポジトリと共有することも可能です。
これにより、運用セキュリティがディレクトリサービスとの接続にSSLを使用しなくても、セキュリティを確保することができます。
リポジトリサーバにて、Active Directoryとの接続にSSLを使用しない方法
IPCOMのIPSec-VPN機能などを使用して、リポジトリサーバとActive Directoryとの通信経路のセキュリティを確保してください。
これにより、リポジトリサーバがActive Directoryとの接続にSSLを使用しなくても、セキュリティを確保することができます。
