【IDM】Active Directory の「直属の部下」属性からマネージャーかどうかを判断する 1/2
前回、以下の記事を投稿しました。
【IDM】Active Directory の「直属の部下」属性 - フィールドSEあがりの安納です - Site Home - TechNet Blogs
今回は、AD FS 2.0 のカスタムルールで「直属の部下」属性を取り出してみます。
① 規則テンプレートの選択画面で、「カスタム規則を使用して要求を送信」を選択します
② 規則の構成画面で、要求規則名とカスタム規則を入力します
カスタム規則になんて書いてあるかというと、以下の通りです。
c:[Type == https://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname, Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("https://schemas.tf.com/Identity/Claims/directReports"), query = ";directReports;{0}", param = c.Value);
作業としては上記の通りです。
簡単に上記のクレーム規則を解説しておきます。
■ c
後ろに続くクレームが格納される変数です。意味が解りませんよね...。あとでわかります。
■ Type == https://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname
クレームパイプラインから、windowsaccountname というクレームが渡されたかどうかを判断しています。windowsaccountname に値が入っていない場合にはクレームは渡されませんので、このクレームが存在するということは、事実上「Active Directory」で認証されたことの証拠となります。
ちなみに、windowsaccountname に入っている値はユーザーの msDS-PrincipalName であり、<ドメイン名>\<ユーザー名> の形式です。
■ Issuer == "AD AUTHORITY"
Issuer という綴りから、なんとなく想像つきますよね。そうです。windowsaccountname というクレームを発行したのが「AD AUTHORITY」であることを示しています。
つまり、「c:[Type == https://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname,
Issuer == "AD AUTHORITY"] 」の部分全体で、「Active Directory に認証されたユーザーならば」
というクレーム発行の条件を表現しています。
■ issue
クレームを発行するためのコマンドです。これ以降に続く文字列が、どんなクレームを発行するかを表現しています。
■ store = "Active Directory"
クレームが格納されている場所が「Active Directory」という名前の場所であることを示しています。勘違いしないでいただきたいのは、これが Active Directory Domain Service を示しているわけではありません。
AD FS 2.0 をインストールすると、規定で「Active Directory」という識別名の要求プロバイダーが登録されるのですが、このことを示しています。とはいえ、実際には Active Directory Domain Service なので、ひとまずあまり気にする必要はありません。
■ types = (“https://schemas.tf.com/Identity/Claims/directReports”)
発行するクレームタイプ（クレームの識別名）です。
■ query = ";directReports;{0}"
「Active Directory」ストアに対してクエリーを投げて結果をもらうのですが、その条件式です。見たとおり、directReports という属性を引っ張ってくるうことを示しています。では、誰の directReports 属性を引っ張ってくるのでしょう？
その条件を表現しているのが 「{0}」です。{0}は、msDS-PrincipalName に渡す引数を表しています。でも{0}がそのまま入るわけではありません。これは「0番目のパラメタ」という意味で、実際には下の「param」で指定された文字列が入ります。
■ param = c.Value
param に指定された文字列で Active Directory の msDS-PrincipalName を検索するのですが、その値として c.Value が指定されています。
勘の良い方ならばおわかりですよね。この解説の冒頭に書いた「c」のことです。
ということで、このクレームルールを実行してみると、以下の通り、部下の一覧を取得することができます。
さて、ここでハタと気づきます....
「いやいや、部下の一覧をアプリケーションに渡したってアプリ側が面倒になるだけじゃん。
そうじゃなくて、部下がいたら「Manager」というクレームを渡したいのだよ」
はい、おっしゃるとおりです。
次回（以下）は、そんなカスタムクレームを書いてみます。
【IDM】Active Directory の「直属の部下」属性からマネージャーかどうかを判断する 2/2 - フィールドSEあがりの安納です - Site Home - TechNet Blogs