[Dynamics CRM 2011]IFD展開を構成するその4 証明書利用者信頼の設定

概要:[Dynamics CRM 2011]IFD展開を構成するその3 クレームベース認証の構成でCRMサーバー側のクレームベース認証の構成をしました。今回は、ADFS2.0サーバー側で証明書利用者信頼を追加します。
投稿者：handcraft 公開日：1/8/2012 閲覧数:8584 評価者数：1

[Dynamics CRM 2011]IFD展開を構成するその3 クレームベース認証の構成で、CRMサーバー側でクレームベース認証の設定を行いました。今回は ADFS 2.0サーバー側で、証明書利用者信頼の設定を行います。

1.証明書利用者の追加

ADFS2.0 サーバーで、 AD FS 2.0管理画面を表示します。管理画面中央の、必須：信頼できる証明書利用者を追加する (もしくは操作ペインの証明書利用者信頼の追加) をクリックします。

証明書利用者信頼の追加ウィザードが起動します。開始ボタンをクリックします。

データソースの選択画面が表示されます。オンラインまたはローカルネットワークで公開されている証明書利用者についてデータをインポートするを選択します。フェデレーションメタデータのアドレスを入力します。本記事では、 https://auth.dcrm.local/FederationMetadata/2007-06/FederationMetadata.xml と入力します。auth は CRMサーバーの名前です([Dynamics CRM 2011]IFD展開を構成するその1 HTTPSバインディングとDNSの設定のDNS設定で登録した名前です)。LAN内でテストをするだけなら、実際のサーバー名を指定しても問題ないと思います。サーバー名以降のパスはそのまま /FederationMetadata/2007-06/FederationMetadata.xml を入力します。次へボタンをクリックします。

表示名は任意の表示名を入力します。既定ではサーバー名が入力されています。次へボタンをクリックします。

発行承認規則の選択画面が表示されます。すべてのユーザーに対してこの証明書利用者へのアクセスを許可するを選択し、次へボタンをクリックします。

信頼の追加の準備完了画面が表示されます。次へボタンをクリックします。

完了画面が表示されます。ウィザードの終了時にこの証明書利用者信頼の [要求規則の編集] ダイアログを開くがチェックされた状態で、閉じるボタンをクリックします。

画面が閉じると、要求規則の編集画面が表示されます。

2. 要求規則の編集

証明書利用者信頼の要求規則の編集を行います。ここで行う作業は、次のURLのドキュメント Microsoft Dynamincs CRM 2011 and Claims-based Authentication.doc での記載内容に従って行っています。

Microsoft Dynamics CRM 2011 Implementation GuideのMicrosoft Dynamics CRM 2011 and Claims-based Authentication.doc
http://www.microsoft.com/download/en/details.aspx?id=3621

証明書利用者追加ウィザード完了時に要求規則の編集ダイアログを開くようにしなかった場合は、AD FS 2.0 管理スナップインから信頼関係→証明書利用者信頼を選択し、証明書利用者信頼一覧から対象の証明書利用者信頼(Relying Party Trust)を選択し、右クリック→要求規則の編集をクリックします。

要求規則の編集ダイアログが表示されたら、発行変換規則を3つ追加します。発行変換規則タブを選択し、規則の追加ボタンをクリックします。

変換要求規則の追加ウィザードが開始されます。要求規則テンプレートに、入力方向の要求をパススルーまたはフィルター処理を選択します。次へボタンをクリックします。

要求規則名に適当な名前(下図では Pass Through UPN) を入力します。入力方向の要求の種類で UPN を選択します。完了ボタンをクリックします。

要求規則の編集ダイアログで、再び規則の追加ボタンをクリックします。要求規則の追加ウィザードが開始されます。要求規則テンプレートに、入力方向の要求をパススルーまたはフィルター処理を選択し、次へボタンをクリックします。

要求規則名に適当な名前(下図では Pass Through Primary SID)を入力します。入力方向の要求の種類にプライマリ SID を選択します。完了ボタンをクリックします。

要求規則の編集ダイアログで、再び規則の追加ボタンをクリックします。要求規則の追加ウィザードが開始されます。要求規則テンプレートで、入力方向の要求を変換を選択します。次へボタンをクリックします。

要求規則名に適当な名前(下図では Transform Window Account Name to Name)を入力します。入力方向の要求の種類に Windows アカウント名を選択します。出力方向の要求の種類に名前を選択します。完了ボタンをクリックします。

3つの規則追加後、要求規則の編集画面は、次のようになります。OKボタンをクリックして画面を閉じます。

続いて、要求プロバイダー信頼側の要求規則の編集を行います。信頼関係の要求プロバイダー信頼を選択します。要求プロバイダー信頼から Active Directory を選択し、右クリック→要求規則の編集をクリックします。

要求規則の編集画面が表示されます。受付変換規則を1つ追加します。規則の追加ボタンをクリックします。

規則テンプレートの選択画面が表示されます。要求規則テンプレートで LDAP 属性を要求として送信を選択します。次へボタンをクリックします。

要求規則名に適当な名前(下図では UPN Claim Rule) を入力します。属性ストアに Active Directory を選択します。 LDAP 属性の出力方向の要求の種類への関連付けに、下図のように、LDAP属性に User-Principal-Name, 出力方向の要求の種類に UPN を選択します。完了ボタンをクリックします。