Alfresco Community 5.0 を使ってSSOの設定を行います

1. 第26回Alfresco勉強会
Alfresco Community 5.0でSSOを設定する
2015/02/18
@_tasky

2. 自己紹介
 私は…
◦ @_tasky
 日頃は…
◦ 株式会社イージフでAlfrescoやLiferayをいじってます
◦ 2児(4歳♀, 1歳♀)の父親業やってます

3. Contents
 SSOとは
 SSOの主要な実現方式
 Alfrescoが対応するSSO
 SSOを設定してみよう
 テストしてみよう

4. SSOとは
 SSO = Single Sign-On （シングルサインオン）
◦ 一度の認証処理によって複数のシステムへのアクセスを可能にす
る認証機構
◦ ID管理と併せて、複数のシステムへ個別にログインする手間を省
き、アクセス制御や管理を容易にする
 SSO基盤に必要なこと
◦ 認証に必要なID情報を保持する（SSO製品というよりID管理製品
の役割）
◦ 認証処理時には対象システムよりも（システム的もしくはソフト
ウェア的に）前面に立つ
◦ 対象システムのログイン処理もしくは認証処理自体を肩代わりす
る

5. SSOとは
 代表的な製品
◦ OpenAM
◦ CAS (Central Authentication Service)
◦ HP IceWall
◦ RSAAccess Manager
◦ CA SiteMinder
◦ IBMTivoli Access Manager

6. SSOの主要な実現方式
1. エージェント型
エンドユーザ
システムA
システムB
システムC
ログイン
SSOシステムに
認証を委譲する
ID情報
認証の委譲
アクセス
アクセス
SSOシステム
エージェント
エージェント
エージェント
認証の委譲
認証の委譲
アクセス

7. SSOの主要な実現方式
2. リバースプロキシ型
エンドユーザ
システムA
システムB
システムC
ログイン
SSOシステムでの認証に成
功すると、リバースプロキ
シがHTTPヘッダにユーザ
情報を自動付与する
アクセス
リバースプロキシ
サーバ（SSO）
ID情報
アクセス
アクセス

8. SSOの主要な実現方式
3. 代理認証型
エンドユーザ
システムA
システムB
システムC
ログイン
各システムのID情報を
自動的に収集/同期する
ID情報
ID情報
ID情報
自動的にログイン
リバースプロキシ
サーバ（代理認証）
統合ID情報 ID情報収集/統合/同期
自動的にログイン
自動的にログイン

9. Alfrescoが対応するSSO
 NTLMv1 認証 (passthru)
◦ Windowsドメインサーバ（Active Directory）を介した認証
◦ ドメインログインとのSSO
 Kerberos認証 (kerberos)
◦ Kerberosレルムを介した認証（主にActive Directory）
◦ ドメインログインとのSSO
 外部認証(external)
◦ HTTPヘッダもしくはクッキーに付加された認証済みユーザ情報
を使った認証
◦ CAS, OpenAM, その他多数
※ 詳しくは https://wiki.alfresco.com/wiki/Alfresco_Authentication_Subsystems を参照
※ passthruのSSO設定については http://aegif-labo.blogspot.jp/2014/12/alfresco-50active-
directoryntlm-sso.html を参照
※ その他、比較的簡単なカスタマイズで多様なSSO基盤に対応可能

10. SSOを設定してみよう
 以下のような外部認証に対応するようにAlfrescoを設定して
みます
◦ エージェント型もしくはリバースプロキシ型のSSO基盤
◦ 認証済みユーザIDはHTTPリクエストヘッダにパラメータ名 X-
Test-Remote-User で付与する
※ リバースプロキシ型、エージェント型に対応したSSO製品であれば大概このようなSSO
仕様に対応可能
エンドユーザ Alfresco
ログイン アクセス
リバースプロキシ
サーバ（SSO）
HTTPリクエストヘッダに
X-Test-Remote-User=<UserID>
が付与される

11. SSOを設定してみよう
 <tomcat_dir>/shared/classes/alfresco-global.properties
◦ 以下の設定を追加（グレーの箇所は追加しなくてもOK）
 authentication.chain :認証チェーン。外部認証を追加する（external1はデフォルトで定
義されている外部認証用の設定）
 external.authentication.proxyUserName :このプロパティを空に設定すると、
external.authentication.proxyHeader で指定したHTTPヘッダパラメータの値をユーザ名
として利用する
 external.authentication.proxyHeader :ユーザIDを指定するHTTPヘッダパラメータ名
 external.authentication.defaultAdministratorUserNames :
 external.authentication.enabled : 外部認証を有効にするか否か。デフォルトでtrue
 external.authentication.userIdPattern : HTTPヘッダパラメータからユーザIDを抽出するた
めの正規表現
※ 詳しくは http://docs.alfresco.com/4.0/concepts/auth-external-props.html を参照のこと
# for sso
authentication.chain=external1:external,alfrescoNtlm1:alfrescoNtlm
external.authentication.proxyUserName=
external.authentication.proxyHeader=X-Test-Remote-User
external.authentication.defaultAdministratorUserNames=admin
external.authentication.enabled=true
external.authentication.userIdPattern=

12. SSOを設定してみよう
 <tomcat_dir>/shared/classes/alfresco/web-extension/share-config-custom.xml
◦ 既存のremote設定をコメントアウトし、以下の内容を追加（orアンコメント）
◦ userHeader : alfresco-global.propertiesで指定したHTTPヘッダパラメータ名
◦ connector-id : alfrescoHeaderを指定
<config evaluator="string-compare" condition="Remote">
<remote>
<keystore>
<path>alfresco/web-extension/alfresco-system.p12</path>
<type>pkcs12</type>
<password>alfresco-system</password>
</keystore>
<connector>
<id>alfrescoCookie</id>
<name>Alfresco Connector</name>
<description>Connects to an Alfresco instance using cookie-based authentication</description>
<class>org.alfresco.web.site.servlet.SlingshotAlfrescoConnector</class>
</connector>
<connector>
<id>alfrescoHeader</id>
<name>Alfresco Connector</name>
<description>Connects to an Alfresco instance using header and cookie-based authentication</description>
<class>org.alfresco.web.site.servlet.SlingshotAlfrescoConnector</class>
<userHeader>X-Test-Remote-User</userHeader>
</connector>
<endpoint>
<id>alfresco</id>
<name>Alfresco - user access</name>
<description>Access to Alfresco Repository WebScripts that require user authentication</description>
<connector-id>alfrescoHeader</connector-id>
<endpoint-url>http://localhost:8080/alfresco/wcs</endpoint-url>
<identity>user</identity>
<external-auth>true</external-auth>
</endpoint>
</remote>
</config>

13. テストしてみよう
 SSO基盤がある場合
◦ エージェントをAlfrescoのTomcatにインストールし、認証済み
ユーザIDをHTTPヘッダに付加するよう設定する
◦ もしくは、プロキシサーバで認証済みユーザIDをHTTPヘッダに
付加するよう設定する
 SSO基盤がない場合
◦ ブラウザのアドオン等を利用して上記の状況を模擬する
 Chrome : ModHeader (http://goo.gl/HWQzg)
 Firefox : Modify Headers (http://goo.gl/CZjaL)
1. ユーザadminでログイン（もしくはアドオンでX-Test-Remote-
User=adminをHTTPヘッダに追加）
2. Alfresco (http://<サーバIP>:<ポート>/share) にアクセスし、ログイン
画面がスキップされてダッシュボードが表示されればOK

14. うまくいかないときは…
 ログを確認してみよう
◦ <tomcat_dir>/webapps/share/WEB-INF/classes/log4j.properties に以
下の内容を追加
log4j.logger.org.alfresco.web.site.servlet=debug
◦ Alfresco起動時、アクセス時にログが出力されるようになる
 アクセスの度にログが出力されるのでログ肥大化に注意！
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [ContainerBackgroundProcessor[StandardEngine[Catalina]]] Initializing the
SSOAuthenticationFilter.
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [ContainerBackgroundProcessor[StandardEngine[Catalina]]] Endpoint is alfresco
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [ContainerBackgroundProcessor[StandardEngine[Catalina]]] userHeader is X-Test-Remote-
User
INFO [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [ContainerBackgroundProcessor[StandardEngine[Catalina]]] SSOAuthenticationFilter initialised.
...
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [http-apr-8080-exec-4] Processing request /share/page/SID:xxxxxxxxxx
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [http-apr-8080-exec-4] Touching the repo to ensure we still have an authenticated session.
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [http-apr-8080-exec-4] Validating repository session for test1
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [http-apr-8080-exec-4] Accept-Language header present: ja,en-US;q=0.8,en;q=0.6
DEBUG [org.alfresco.web.site.servlet.SSOAuthenticationFilter] [http-apr-8080-exec-4] Authentication not required, chaining ...

15. まとめ
 SSOとは
 SSOの主要な実現方式
 Alfrescoが対応するSSO
 AlfrescoのSSO設定