Windows™ シングルサインオン (複数の Active Directory ドメインをまたがる Web クライアント用の)

Windows™ 管理者は、Active Directory ドメインと信頼スナップインユーティリティを使用して、ドメイン間のフォレストの信頼関係を設定する必要があります。外部の信頼関係は Kerberos 認証をサポートしていないため、使用することはできません。信頼関係の設定の詳細については、Microsoft™ の文書を参照してください。

親子関係にあるドメインの場合、親ドメインは子ドメインを暗黙的に信頼するため、両者間で信頼を設定する必要はありません。子ドメインとは、DNS 階層内の他のドメインよりも 1 レベル下位に位置するドメインを指します。たとえば、sales.east.renovations.com は east.renovations.com の子になります。

サポートされるフォレストの信頼の種類は次のとおりです。

• 双方向の Windows™ フォレストの信頼。たとえば、フォレスト A とフォレスト B の間に双方向の信頼がある場合、フォレスト A とフォレスト B のユーザーは両フォレストのサーバーにアクセスすることができます。
• 別のフォレストに対する一方向の受信信頼。たとえば、フォレスト A がフォレスト B に対する受信信頼を持つ場合、フォレスト A のユーザーはフォレスト B のサーバーにアクセスできます。フォレスト B のユーザーは、フォレスト B がフォレスト A に対して同様の受信信頼を持たない限り、フォレスト A にアクセスすることはできません。
• 別のフォレストに対する一方向の送信信頼。たとえば、フォレスト A がフォレスト B に対する送信信頼を持つ場合、フォレスト B のユーザーはフォレスト A のサーバーにアクセスできます。フォレスト A のユーザーは、フォレスト B がフォレスト A に対して同様の送信信頼を持たない限り、フォレスト B のサーバーにアクセスすることはできません。
• 過渡的な信頼。フォレスト A のユーザーが信頼関係によってフォレスト B のサーバーにアクセスできる場合、フォレスト A の子ドメインのユーザーは、フォレスト A と B の間で過渡的な信頼として信頼関係が設定されていれば、フォレスト B のサーバーにアクセスすることができます。

Active Directory ドメイン間に信頼関係が確立されているかどうかを確認するには、次の手順を実行します。

ドメイン内とドメイン間のサーバー同士のクロックは、可能な限り同期を維持する必要があります。これは、Kerberos (Web クライアントの Windows™ シングルサインオンでベースとなるセキュリティメカニズム) がクロックスキューの影響を受けやすいためです。クロックスキューが発生した場合は、可能な限り修正してください。Windows™ 管理者は、必要に応じて次の手順を実行して、クロックスキューの許容値を増やすことができます。

あるユーザーに対して Windows™ シングルサインオンが設定されると、Domino® サーバーは LTPA トークンをこのユーザーに返します。複数の Domino® サーバーが同一の SSO 設定を共有する場合を考慮して、SSO のデプロイメントは慎重に計画する必要があります。

たとえば、「east.renovations.com」というドメインのサーバーに SSO を設定し、「west.renovations.com」ドメインのサーバーと同じ SSO キーを共有するように設定した場合、west サーバーで作成された LTPA トークンを east サーバーで受信できるようになります。この場合、SSO 設定文書で「renovations.com」などの一般 DNS ドメインを使用することができます。

ただし、east と west のそれぞれのサーバーで同じ SSO キーを共有しない場合、「renovations.com」などの一般 DNS ドメインを使用しても SSO の効率は悪くなります。代わりに、操作する Windows™ DNS ドメインに合わせて SSO ドメインを調整する必要があります。