| Central Authentication Service に基づく SSO サービス |  |
| Infor では、Central Authentication Service (CAS) に基づいて SSO サービスを実装します。CAS は、アプリケーションがユーザを認証するための信頼できる方法を提供するために最初は Yale 大学で作成された認証システムです。この SSO サービスが ERP LN により採用されています。 SSO サービス SSO サーバは、CAS サーバとも呼ばれますが、セキュア通信に HTTPS を使用します。HTTPS は、SSO が実行している Web サーバに SSL 証明がインストールされている場合にのみ機能します。HTTPS と SSO との間の通信プロセスが円滑に機能できるようにするために、証明が使用されています。証明は、SSO サーバの ID を識別するためのパスポートのようなものです。このようにして、サーバが通信相手として有効で安全なサーバであることを確認したり、要求された URL の背後に正しいサーバがあることを確認することができます。証明は、SSO が実行している Web サーバ上に保存され、クライアントが接続するとクライアントに転送されます。 証明の取得 サーバには、信頼できる権威によって生成された証明が必要です。ERP LN では、この信頼できる権威またはシステム管理者によって生成された証明のみを受け入れます。 証明の使用 証明は、特定のシステムのために生成されるもので、ホスト名が含まれています。異なるホスト名を使用してそのシステムに接続すると、｢信頼できない｣ というマークが付けられた証明が生成されます。ホストの名前を変更する場合は、このことを念頭に置いてください。新しい証明の生成が必要です。証明を必要とする新しいサーバには、独自の証明が必要です。 証明の検証 エンドユーザが WebTop を使用してログインすると、このユーザは CAS サーバにリダイレクトされます。CAS は最初の応答として、クライアントに証明を送信します。この証明は、サーバが有効なサーバであることを確認できるようにクライアントが検証する必要があります。クライアントは、このために、すべての有効な証明のリストを持っています。それが、いわゆる、root 証明です。このリストは、自動的に更新されます。クライアントがログインし、チケットを受け取ります。 次のステップでは、実際にログインするために ERP LN サーバにチケットを送信します。ERP LN サーバが CAS サーバを使用してチケットを検証し、ログインを承認してユーザ ID (ユーザ名) を受け取ります。ERP LN サーバも、証明を検証する必要があり、root 証明の最新のリストが必要です。 SSO サービスをインストールして設定する方法については、Infor PM Dashboards Administration Guideを参照する必要があります。質問や問題がある場合は、www.infor365.com のオンラインサポート Web サイトにアクセスしてください。 パスワード期限 UNIX または Linux システムでは、SSO を介して ERP LN にログインしようとしている、パスワード期限のあるアカウントが、失効間近か、失効済、または無効である場合、それらのアカウントはブロックされません。ただし、Windows システムでは、それらのアカウントはブロックされます。 Ticket Granting Cookie SSO サービスのログオンウィンドウを使用してユーザ名およびパスワードが入力されると、アプリケーション間でチケットのみが渡されます。このチケットを渡す動作は、SSO サービスで検証する必要があります。詳細については、シングルサインオンログインプロセスを参照してください。 ERP LN での SSO たとえば、RDBMS や別のアプリケーションサーバにそれ以上ログオンするのに、SSO 証明は使用されません。いまのところ、影響は認証サービス Baan Login に限定されています。これは、rexec に似たサービスであり、現在は、ユーザを認証するためにユーザ名とパスワードを使用しています。ユーザが認証されると、Baan Login により、Enterprise Server 仮想マシン (bshell) が開始されます。 Baan Login のプロトコルには、以下の 2 つのオプションがあります。 LOGIN_USER (ユーザ名/パスワードの確認と、それに続くプロセスの起動用) VALIDATE_ONLY (ユーザ名/パスワードの確認専用) これらの 2 つのオプションに続き、次のような新しいオプションが作成されました。 SSO_LOGIN_USER （bshell を開始するための正しい BSE 環境情報を入手するため） パフォーマンス ログオンプロセスでは、複数の検証ステップが必要です。SSO サービスは中央サーバ上にあるため、これらのステップのいくつかで通信がネットワーク上でやり取りされます。したがって、この新しいアプローチでは、WebTop サーバでの CPU 消費がいくらか増大し、ネットワーク負荷もいくらか増大します。中央の Infor SSO サーバには、複数の認証要求を並列処理できる能力が必要です。ただし、ユーザの立場からすると、ログオンステップが 1 つ省かれます。エンドユーザのためのエンドツーエンドプロセスの時間が短縮されます。 |