他社連携機能では、メタデータを利用して、連携情報を交換することができます。
メタデータは文字コード名にUTF-8が指定されたXMLである必要があります。
メタデータの詳細については、OASISで公開されている「Security Assertion Markup Language (SAML) V2.0」を参照してください。
ルート要素の利用の可否を以下に示します。
要素名 | 利用の可否 |
|---|---|
EntitiesDescriptor | × |
EntityDescriptor | ○ |
○：利用可能
×：利用不可
ロール記述子要素の利用の可否を以下に示します。
要素名 | 利用の可否 |
|---|---|
IDPSSODescriptor | ○(注1) |
SPSSODescriptor | ○(注2) |
AuthnAuthorityDescriptor | × |
PDPDescriptor | × |
AttributeAuthorityDescriptor | × |
○：利用可能
×：利用不可
注1）ssoimpmetaコマンドを利用して移入します。
注2）ssoexpmetaコマンドを利用して移出します。
IDPSSODescriptor要素には、IdPの情報が定義されています。本要素は、相手シングル・サインオンシステムの情報として、ssoimpmetaコマンドを利用して移入します。
ssoimpmetaコマンドの詳細については、“リファレンスマニュアル(コマンド編)”の“シングル・サインオン運用コマンド”－“ssoimpmeta”を参照してください。
IDPSSODescriptor要素内の要素と属性について、移入の可否を以下に示します。
要素名 | 移入の可否 |
|---|---|
Signature | × |
Extensions | × |
KeyDescriptor | ○（注1）（注2） |
Organization | × |
ContactPerson | × |
ArtifactResolutionService | ○（注3） |
SingleLogoutService | ○（注4） |
ManageNameIDService | × |
NameIDFormat | ○（注5） |
SingleSignOnService | ○（注6） |
NameIDMappingService | × |
AssertionIDRequestService | × |
AttributeProfile | × |
Attribute | × |
anyAttribute | × |
属性名 | 移入の可否 |
|---|---|
ID | × |
validUntil | × |
cacheDuration | × |
protocolSupportEnumeration | ○（注7） |
errorURL | × |
WantAuthnRequestsSigned | ○ |
○：移入可能
×：移入不可(存在していた場合は無視)
注1）use属性が“signing”、または指定なしのものを対象とします。ただし、要素内のKeyInfo要素中にX509Certificate要素が複数指定されている場合は、移入できません。
注2）ssoimpmetaコマンドで、-aオプションを指定する場合は、省略できません。
注3）ssoimpmetaコマンドで、-bオプションを指定する場合は、binding属性の値が以下のものである要素が必要です。
urn:oasis:names:tc:SAML:2.0:bindings:SOAP
注4）binding属性が以下の値の要素を対象とします。
urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect
注5）以下の値のものを対象とします。以下の値が設定された要素が存在しない場合は、“urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified”とみなします。
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:2.0:nameid-format:persistent
注6）binding属性が以下の値の要素が必要です。
urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect
注7）本属性を省略することはできません。また、以下の値が含まれている必要があります。
urn:oasis:names:tc:SAML:2.0:protocol
SPSSODescriptor要素には、SPの情報が定義されています。ssoexpmetaコマンドは自シングル・サインオンシステムの情報を本要素へ移出します。
ssoexpmetaコマンドの詳細については、“リファレンスマニュアル(コマンド編)”の“シングル・サインオン運用コマンド”－“ssoexpmeta”を参照してください。
移出の対象となるSPSSODescriptor要素内の要素と属性を以下に示します。
要素名 | 移出の対象 |
|---|---|
Signature | × |
Extensions | × |
KeyDescriptor | ○ |
Organization | × |
ContactPerson | × |
ArtifactResolutionService | × |
SingleLogoutService | ○ |
ManageNameIDService | × |
NameIDFormat | × |
AssertionConsumerService | ○ |
AttributeConsumingService | × |
anyAttribute | × |
属性名 | 移出の対象 |
|---|---|
ID | × |
validUntil | × |
cacheDuration | × |
protocolSupportEnumeration | ○ |
errorURL | × |
AuthnRequestsSigned | ○ |
WantAssertionsSigned | ○ |
○：移出する
×：移出しない
