【IBM Security Verify】IBM Security Verify Privilege Vault と SAML連携する

# はじめに
IBM Security Verify Privilege Vaultと、IBM Security VerifyをSAML連携してみました。

[SAML シングル サインオンの構成](https://ibm.docs.thycotic.com/isvp-vault/11.2.0/authentication/configuring-saml-sso)

![qiita (22).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/986c78b4-89b5-9697-0ba7-ed9a3ea4bbd5.png)


# IBM Security Verify Privilege Vaultについて
[IBM Security Verify Privilege Vault](https://www.ibm.com/jp-ja/products/verify-privilege-vault) は、特権アカウント管理ソシューションです。
30日間の無料トライアルも提供されています。申し込みは[こちら](https://www.ibm.com/account/reg/us-en/signup?formid=urx-39495)からできます。

# 1.IBM Security Verify Privilege VaultのSAML設定

1．[管理] > [構成]  > [ SAML ] タブをクリックします。
![qiita (1).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/c90ce7f7-bd07-8e06-edf7-a6d159b29abd.png)

2．[ SAML 一般設定]セクションの [編集] ボタンをクリックし、[ SAML を有効にする]チェック ボックスをオンにします。[保存] ボタンをクリックします
![qiita (2).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/61d85bcf-9cb1-391b-c4f8-13a37e912a1c.png)

3．IISの証明書（pfx)をダウンロードします。IISのホームからIISの証明書メニューをクリックします。
![qiita (3).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/2c0c6bfd-45f5-61dd-80ba-ea42eb99b72c.png)

4．エクスポートメニューを選択します。
![qiita (4).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/79c63b57-dd93-e0e9-5414-1cd91a06cd34.png)

5．任意のファイル名、パスワードをつけて証明書を保存します。
![qiita (5).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/1a74842f-9241-2762-673b-fa564eb06411.png)

6．SAML サービス プロバイダー] セクションの [編集] ボタンをクリックし、「名前」テキスト・ボックスに、任意の名前（SecretServerServiceProviderなど) を入力します。
その後[証明書の選択]リンクをクリックし、証明書ファイルを選択/パスワードを入力します。
![qiita (8).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/1944174b-fec0-e0c3-7dac-0c2bc3c5eeb2.png)

7．保存します。
![qiita (9).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/6defd05c-9005-7889-2810-c214032d80e4.png)

8．サービス・プロバイダーのメタデータ (XML) をダウンロードして設定値を確認します。
![qiita (7).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/b3387846-ad52-2be2-f469-b440308e66e8.png)

|No  |項目 |設定値  |
|---|---|---|
|1  |entityID|SecretServerServiceProvider|
|2  |AssertionConsumerService |https://ispv01/SecretServer/SAML/AssertionConsumerService.aspx |

# 2.IBM Security Verifyの設定
アプリケーションを追加して、IBM Security Verify Privilege Vault設定を行います。

1．IBM Security Verifyの管理者画面で、アプリケーションを追加します。
カタログからIBM Security Verify Privilege Vaultを選択します。
![qiita (10).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/359ecd3a-323d-1a12-b795-93f27f9acb43.png)

2．サインオンタブを開き、赤枠箇所の設定を行います。

![qiita (12).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/d3461499-20e2-ca25-f6f1-90ef8c14ffa8.png)

|No  |項目 |設定値  |
|---|---|---|
|1  |プロバイダー ID|IBM Security Verify Privilege Vault;10.5 以降のバージョンの場合、サービス・プロバイダーのメタデータ・ファイルの「entityID」の値を使用します|
|2  |アサーション・コンシューマー･サービス URL (HTTP-POST) | IBM Security Verify Privilege Vault;10.5 以降のバージョンの場合、サービス・プロバイダーのメタデータ・ファイルの「AssertionConsumerService」の値を使用します。 |

3．入力後、設定を保存します
![qiita (12).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/7c027f26-cfe4-3c43-5a32-2c9e188b8a32.png)

4．資格タブで、アクセスを許可するユーザー/グループを設定して保存します。
![qiita (14).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/f9902fa2-c1cc-3c3d-86ba-1de242c02c82.png)

5．サインオンタブに戻り、IBM Security VerifyのMetadataをダウンロードしておきます。
赤枠のURLをクリックすると、federation_metadata.xmlがダウンロードできます。
![qiita (13).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/75c6a979-ef5d-9b3c-dfbc-368f0f483eb5.png)


# 3.IBM Security Verify Privilege VaultのSAML設定（続き）

1．新規 ID プロバイダーの作成をクリックします。
XML メタデータから IDP をインポートを選択して、先ほどダウンロードしたfederation_metadata.xmlを選択します。
![qiita (15).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/d11bf4e9-7e2c-6252-1c49-0d2e658d7540.png)

2．インポート後に設定を確認します。
![qiita (16).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/56db860a-5ca0-d8cc-e29e-92d70ab2925f.png)

# 4.動作確認

1．IBM Security Verify Privilege Vaultへのログイン
https://[YourSecretServerInstanceName]/SecretServer にアクセスすると、自動的にIDP側にリダイレクトされます。

![qiita (18).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/483bfdac-5788-2d0b-328d-09a883ba1875.png)

(補足)自動的にIDP側にリダイレクトされるのを防ぎたい場合は、以下のURLでアクセスします。
https://[YourSecretServerInstanceName]/login.aspx?preventautologin=true
![qiita (17).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/0aef4aa9-e9d8-4949-1423-b6c24ef8dffa.png)

2．IDPのユーザーID/PWDを入力してログインします。IBM Security Verify Privilege Vaultに該当ユーザーを登録していないため、エラーとなります。
![qiita (19).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/fd0573cb-d4b6-b7a4-177f-7a5578e37ceb.png)

3．IBM Security Verify Privilege Vaultに該当ユーザーを登録してもう一度試します。

![qiita (18).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/483bfdac-5788-2d0b-328d-09a883ba1875.png)

無事にIBM Security Verify Privilege Vaultにログインできました。
![qiita (21).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/678692/cc2e7001-9ccf-441c-f491-10b01606a039.png)

# 最後に
IBM Security Verify Privilege Vaultと、IBM Security VerifyをSAML連携してみました。