外部ポータルのセットアップ - Automate_Evolve - Automate_Studio_Manager - 20.3

Azure コンポーネント

外部ポータルは、展開に次の Microsoft Azure コンポーネントを使用します。

Azure AD B2C

これは、外部ユーザーの ID プロバイダーとして機能します。ユーザー アカウントのサインアップ、サインイン、プロファイルの編集、およびパスワードのリセットを管理します。これらはすべて、特定の機能を満たすように開発されたアプリケーションの外部から実行されます。Azure AD B2C には、ルック アンド フィールをカスタマイズできる独自のログイン ポータル管理があります。

Azure 関数

Azure 関数は、ポータル サービスをホストするために使用されます。これは Azure リレー サービスと通信して、資格情報を生成します。ポータル サービスは、ID プロバイダーによって保護された公開サービスです。ID プロバイダーの有効な認証済みユーザーのみがポータル サービスと通信できます。ポータル UI は、ポータル サービスと安全に通信して、リクエストを中継するために必要な接続情報を取得します。次に、ポータル UI は、リクエストを内部ネットワークに安全に中継するためのリクエストを生成します。

Azure App Service

Azure App Service は、Web アプリケーション、サービス、および RESTful API を構築するためのフル マネージド Web ホスティング サービスです。Microsoft Azure AppService はホスティング プロバイダーとして使用されます。

Azure ストレージ

Azure ストレージは、Angular ベースのユーザー インターフェイス (UI) をホストするためのファイル ストレージを提供するために使用されます。このストレージは、ポータル UI の静的 Web サイトを作成するために使用されます。

Azure CDN

Azure CDN は、カスタム ポータル ドメインにマップされた、セキュリティで保護された公開 UI コンポーネントを提供します。ロード時間を短縮し、帯域幅を節約するのに役立ちます。

Azure Relay サービス

Azure Relay サービスは、企業のエンタープライズ ネットワーク内に存在するサービスをパブリック クラウドに安全に公開できるようにすることで、ハイブリッド アプリケーションを容易にします。これは、ファイアウォール接続を開く必要がなく、企業ネットワーク インフラストラクチャーに煩わしい変更を加える必要もありません。

Azure ハイブリッド接続

クラウド内のリレー サービスと内部ネットワークにインストールされているリレー ワーカーの 間で通信します。

必要条件

1. 外部ポータルを作成するための有効なライセンスが必要です。

2. Microsoft Azure サブスクリプションが必要です。

3. Azure CDN エンド ポイントの名前を定義します。これは展開スクリプトによって作成されますが、次のステップで必要になります。例: aryabhataendpoint。

4. ドメイン プロバイダーからドメインを取得し、Azure エンド ポイントの CNAME ドメイン マッピングを実行します。これは、ドメイン プロバイダーの Web サイト (godaddy など) で行われます。たとえば、wsevolve.com ドメインを購入し、https://fuse.wsevole.com をポータルの URL として使用したい場合、「aryabhataendpoint.azureedge.net」を使用して「fuse」のCNAMEマッピングを実行します。ここで、aryabhataendpoint は、前のステップで定義した Azure CDN エンドポイントの名前です。

5. Azure AD B2C を構成する必要があります。これを実現するために実行する必要がある手順は次のとおりです。

   • 以下のリンクを使用して、Azure AD B2C テナントを作成します。

     https://docs.microsoft.com/en-us/azure/active-directory-b2c/tutorial-create-tenant

   • 以下の手順を使用して、Azure AD B2C テナントでアプリケーションを作成します。

   • 新しく作成した Azure AD B2C ディレクトリ (上のステップで作成) に切り替えます。

   • B2C テナント ディレクトリ (上のステップで作成) で Azure AD B2C を開き、[アプリの登録] → [新規登録] をクリックします。

   • [アプリの登録] ウィンドウで、このアプリケーションの [表示名] でアプリの有効な名前 (AppForPortal など) を指定し、[サポートされているアカウントの種類] で、(ユーザー フローでユーザーを認証するため) の ID プロバイダーまたは組織ディレクトリの [アカウント] を選択します。

   • [アプリケーションの登録] ウィンドウで、[リダイレクト URI] で [SPA] を選択し、[URL] でポータル URL を指定します。この URL は、ステップ 4 で定義したものと同じです。例: https://fuse.wsevole.com.

   • 新しく作成されたアプリケーションを選択し、API 権限で openid 権限が存在するかどうかを確認します。この権限はデフォルトで追加されます。

   • 作成した新しいアプリを選択し、[認証] に移動して、[アクセス トークン] と [ID トークン] チェック ボックスをオンにし、[保存] をクリックします。

   • Azure AD B2C で、[ポリシー] → [ユーザー フロー] に移動し、[新しいユーザー フロー] をクリックします。

   • [ユーザー フローの作成] で [サインイン] を選択し、[バージョン] で [推奨] を選択して [作成] をクリックし、サインイン ポリシーを作成します。

   • [名前] に「サインイン」などの有効な名前を入力し、ID プロバイダーで [電子メール サイン イン] チェックボックスをオンにします。[アプリケーション クレーム] で [もっと見る] をクリックし、[メール アドレス] チェックボックスをオンにします。[OK] と [作成] をクリックします。

   • 別のユーザー フローを作成するには、[ポリシー] → [ユーザー フロー] に移動し、[新しいユーザー フロー] をクリックします。

   • [ユーザー フローの作成] で [サイン アップ] を選択し、[バージョン] で [推奨] を選択して [作成] をクリックし、サインアップ ポリシーを作成します。

   • [名前] に「signup」などの有効な名前を入力してください。[ID プロバイダー] で 、[電子メール サインアップ] チェックボックスをオンにします。[ユーザー属性とクレーム] で、[詳細を表示] をクリックし、[収集] 属性の [電子メール アドレス] チェック ボックスと [表示名] チェック ボックスをオンにします。また、[クレームを返す] の [電子メール アドレス] もオンにします。次に [OK] と [作成] をクリックします。

   • 別のユーザー フローを作成するには、[ポリシー] → [ユーザー フロー] に移動し、[新しいユーザー フロー] をクリックします。

   • [ユーザー フローの作成] で [パスワード リセット] を選択し、[バージョン] で [推奨] を選択して [作成] をクリックします。

   • [名前] に「passwordreset」などの有効な名前を入力し、[ID プロバイダー] で [電子メール アドレスを使用してパスワードをリセット] を選択します。[アプリケーション クレーム] で [もっと見る] をクリックし、[メール アドレス] チェックボックスをオンにします。[OK] と [作成] をクリックします。

   • ユーザー フローのローカリゼーション サポートを有効にする: 作成された 3 つのユーザー フローすべてのローカリゼーション サポートを有効にするには、以下を実行します。

     Azure AD B2C で、[ポリシー] → [ユーザー フロー] に移動し、ユーザー フロー名をクリックします。[カスタマイズ] で [言語] をクリックし、[言語のカスタマイズを有効にする] をクリックします。下の表から有効にする言語を選択し、[有効] ボタンを [はい] に切り替えて、[保存] をクリックします。

6. ポータル B2C の詳細: 外部ポータルをセットアップするには、Azure B2C の IDP 構成の詳細を Evolve に入力する必要があります。IDP の詳細の追加を開始する前に、以下の手順に従って情報を準備してください。

   • ドメイン: これは、作成された Azure B2C テナントのドメイン名です。Azureで、b2c テナント ディレクトリに移動し、azure b2c を選択します。[要点] の 下に、ドメイン名が表示されます。ドメイン名は「domain.onmicrosoft.com」のようになります。例: ドメイン名が EvolveWinshuttle.onmicrosoft.com の場合、ドメインとして値 EvolveWinshuttle を書き留めます。

   • TenantID : [アプリの登録] の B2C ディレクトリで作成されたアプリを選択します。[要点] の下の、[ディレクトリ (テナント) ID] の下に TenantID があります。

   • ClientID : [アプリの登録] の B2C ディレクトリで作成されたアプリを選択します。要点を の下の、[アプリケーション (クライアント) ID] の下に ClientID があります。

   • サインイン、サインアップ、パスワード リセット ポリシー: Azure AD B2C → ポリシー → ユーザー フローに移動し、ステップ 4 で作成したサインイン、サインアップ、およびパスワード リセット ポリシーの名前を書き留めます。

上記の詳細をすべて取得したら、以下の値を使用して、Evolve for Portal の IDP 構成ページに入力できます。

発行者: https://{Domain}.b2clogin.com/{TenantId}/v2.0/

{Domain} と {TenantId} を上記の手順で取得した値で入れ替えます。

MetadataURL: https://{Domain}.b2clogin.com/{domain}.onmicrosoft.com/<policy-name>/v2.0/.well-known/openid-configuration

{Domain} を上記の手順で取得した値で入れ替えます。

スコープ: スコープ値に openid を指定します。

クライアント ID: 上記の手順で得た値を入力します。

リダイレクト URL: リダイレクト URL のポータル URL を指定します。これは、ステップ 4 で定義したものと同じ URL です。

認証エンドポイント: https://{Domain}.b2clogin.com/{Domain}.onmicrosoft.com/<policy-name>/oauth2/v2.0/authorize

{Domain} を上記の手順で取得した値で入れ替えます。

サインアップ ポリシー名: 上記の手順で取得したサインアップ ポリシーの値を提供します。

サインイン ポリシー名: 上記の手順で取得したサインイン ポリシーの値を提供します。

パスワード リセット ポリシー: 上記の手順で取得したパスワード リセット ポリシーの値を入力します。

IDP 構成フィールドの説明

上記の 9 つの構成値はすべて、追加された IDP によって外部ユーザーを認証でき、IDP によって発行された認証トークンを Evolve によって検証できるように、IDP を構成するために使用されます。

発行者の値は、IDP によって発行された認証トークンを検証するために使用されます。これは ValidIssuer のクレームと一致します。この機関によって発行されたトークンのみが有効と見なされます。

MetadataURL は、認証トークンの検証に使用されます。MetaData URL エンド ポイントは、認証トークンの署名に使用されたメタデータ (SigningKeys) をフェッチするために使用されます。

openid スコープは、認証されたユーザー情報を取得するために使用されます。これは、認証エンドポイントで行われたリクエストにパラメーターとして渡されます。

ClientID は、トークンを検証するために使用されます。トークンの ValidAudience クレームと一致します。また、ID プロバイダーで行われる認証リクエストにも追加されます。

リダイレクト URL は、認証エンドポイントに対して行われたリクエスト中に ID プロバイダーに渡され、ID プロバイダーは認証ユーザー フロー (サインイン、サインアップ、パスワード リセット) の実行後にこの URL にリダイレクトします。

認証エンドポイント は ID プロバイダーのエンド ポイントであり、すべての認証リクエストは、いくつかの追加パラメーターを使用してこのエンド ポイントにリダイレクトされます。

サインアップ ポリシー名、サインイン ポリシー名、パスワード リセット ポリシー は、ID プロバイダー側で作成されるポリシー (ユーザー フロー) です。ユーザーはポータルから IDP にリダイレクトされ、それぞれのユーザー フローが実行されます。たとえば、サインアップ アクション リクエストが IDP を使用して行われ、サインアップ ユーザー フローを実行して、ユーザーが ID プロバイダーに登録されるようにします。

外部ポータルの作成と Azure でセットアップされたポータル UI

このステップでは、外部ポータルを作成し、Azure にポータル UI を展開します。

1. Evolve の左側のメニューにある [ポータル] タブに移動します (適切なライセンスが利用可能な場合、これが表示されます)。

2. [追加] をクリックして新しいポータルを追加します。ポータル モードで [外部] を選択し、適切な名前、説明を入力し、デフォルト言語を選択し、アーキテクトとレビュー担当者を選択します。ポータル URL に、前提条件のステップ 4 で定義されているのと同じ URL を入力します。

3. [次へ] をクリックして、ポータル ID プロバイダーの詳細を追加します。これらはすべて、必要条件のステップ 6 で利用できます。

4. ポータルを送信します。ここで、構成ステータスが保留中であることがわかります。

5. ポータルのアクションのアイコンをクリックし、必要なウィジェットを使用してポータルを構成します。[展開] をクリックします。

   注: ポータルのデザインは、新しいウィジェットを追加/削除して [展開] をクリックすることで簡単にいつでも変更できます。

6. [すべてのポータル] に戻り、その前にあるチェックボックスをオンにして、作成したポータルを選択します。パッケージのダウンロードをクリックします。

7. ファイルを解凍すると、PortalService、UI、Prerequisites.ps1 スクリプト、Setup.Ps1 スクリプト、dsettings.json、その他の関連ファイルなどのファイルを表示できるようになります。

8. PowerShell を管理者モードで開き、Prerequisites.ps1 スクリプトを実行します。PowerShell に表示される指示に従います。これにより、展開に必要なパッケージがインストールされます。名前とバージョンが一覧表示されます。これは、すべてのパッケージがインストールされたことを示します。

9. PowerShell を閉じて、管理者モードで PowerShel lを再起動し、Setup.Ps1 スクリプトを実行して、Azure サブスクリプションを持つユーザーでログインします。

10. Azure で作成する適切なリソース グループ名を入力するか、ここに既存のリソース グループ名をここに追加できます。Enter キーを押します。リソース グループを作成する適切な場所 を入力するか、既存のリソース グループの場所を追加して、Enter キーを押します。Azure リソース グループが既に存在する場合は、Setup.ps1 スクリプトを実行する前に、既存のリソース グループ名とその場所の値を dsettings.json ファイルに入力します。

    注:

    • 日本語の文字は、Azure リソース グループ名と Azure App Service プラン名でのみ使用できます。

    • 外部ポータルで使用されているその他の Azure リソース (ストレージ アカウント、エンドポイント、FunctionApp、CDN プロファイル、およびカスタム ホスト名) については、Microsoft Azure End から日本語の文字は許可されていません。

11. Azure で作成する適切なリレー サービス名を入力します。Enter キーを押して、リレーを作成します。

12. Azure で作成する適切なアプリ サービス計画名を入力します。Enter キーを押して、アプリ サービス計画を作成します。

13. Azure で作成する適切なアプリ ストレージ名を入力します。Enter キーを押して、アプリ ストレージを作成します。

14. Azure で作成する適切な Web アプリ ストレージ名を入力します。Enter キーを押して、Web アプリ ストレージを作成します。

15. Azure で作成する適切な機能アプリ名を入力します。Enter キーを押して、機能アプリを作成します。

16. 次に、最後のステップで作成した関数アプリの PortalService.zip ファイルを Azure にアップロードすることに同意します。

17. Azure で作成する適切なプロファイル名を入力します。CDN プロファイル名です。Enter キーを押して、CDN プロファイルを作成します。

18. 作成する適切なエンドポイント名を入力します。これは、Azure 上の CDN エンドポイント (前提条件のステップ 3、例: aryabhataendpoint と同じである必要があります) です。Enter キーを押して、エンド ポイントを作成します。

19. 「エンドポイントは利用できません: エンドポイント名」というメッセージが表示された場合は、次の手順に従ってください。

    適切な CDN エンドポイント名で CNAME マッピングを更新します。つまり、前提条件のステップ 3 とステップ 4 を繰り返します。

    CNAME マッピングが更新されたら、PowerShell スクリプトにそのエンドポイント名を指定します。つまり、ステップ 18 から続行します。

20. カスタム ドメインを入力します。これは、前提条件のステップ 4 で取得したドメインです。例: ポータル URL が https://fuse.wsevolve.com ならば、カスタム ドメインで「fuse.wsevolve.com」を入力します。エラーのトラブルシューティングについては、 「一般的なエラーのトラブルシューティング」を参照してください。

21. 数分で、すべてのリソースが Azure で作成/アップロードされます。

22. 展開フォルダーから、dsettings.json ファイルの内容をコピーします。

23. Azure Portal で、ステップ 11 で作成したリレーに移動します。ハイブリッド接続を選択→ evolvehybrid を選択→共有アクセス ポリシーをクリック→ポリシーで Evolve を選択します。そしてプライマリ接続文字列をコピーします。

24. Evolve サイトに移動します。ポータルを選択し、編集をクリックします。最初の画面で [次へ] をクリックすると、接続文字列と展開メタデータの 2 つの新しいセクションが表示されます。

25. ステップ 23 でコピーした 接続文字列をコピーし、dsettings.json の内容をステップ 22 でコピーした展開メタデータに貼り付けます。

26. ポータルを送信します。構成ステータスが完了に変更されることを確認します。

27. これでセットアップ手順は完了です。すべての WFE で IIS リセットを実行します。

    注:

    外部ポータルをインポートまたはエクスポートする場合は、ポータルのインポート後にポータルのセットアップ設定を確認し、移行先環境に関係のない設定は削除してください。

    2 つのセットアップで外部ポータルの同じ設定を使用すると、両方の環境で外部ポータルが機能しなくなります。

28. セットアップの確認: すべてが正しくセットアップされていることを確認するために、テスト接続機能を使用できます。

    1. Evolve サイトに移動します。ポータルを選択し、編集をクリックします。最初の画面で [次へ] をクリックすると、[接続のテスト] リンクが表示されます。このリンクをクリックすると、Azure AD B2C のログイン画面が表示されます。ユーザーはまだ B2C に追加されていないため、ログインできません。

    2. ユーザーをポータルで追加: Evolve に移動し、[ユーザー] 画面で、ユーザーの前にあるポータル カウントをクリックし、ポータルへのアクセスをユーザーに提供します。[保存] をクリックします。

    3. サインアップ リンクが記載されたメールが送信されます。サインアップ URL にアクセスし、手順に従ってユーザーとパスワードを作成します。これにより、Azure AD B2c にユーザーが追加されます。

    4. これで、接続のテスト (ステップ a) を使用すると、ログインしてポータルを参照できるようになります。これは、すべてが正しく設定されていることを示しています。

ポータル セットアップの一部として作成された Azure リソースの説明。

ポータルの追加 (複数)

別のポータルを作成するときに、ID プロバイダーとして機能する Azure AD B2C を再利用できます。追加の外部ポータルをセット アップするには、Azure AD B2C をセット アップするための前提条件のステップ 5 を除いて、最初の外部ポータルのセット アップ中に実行したすべてのステップに従います。

前提条件のステップ 5 の代わりに、以下を実行します。

1. Azure ポータルで Azure AD B2C ディレクトリに切り替え、Azure AD B2C を開きます。

2. アプリの登録に移動し、以前に作成したポータルに登録されているアプリを開きます。

3. [認証] に移動し、シングルページ アプリケーションで [リダイレクト URI] リストにポータル URL を追加して、[保存] をクリックします。このポータル URL は、前提条件のステップ 4 で定義したものと同じです。例: https://fuse.wsevole.com。

4. 前提条件のステップ 6 から続行します。

Evolve サーバーがアップグレードされたら、ポータル UI をアップグレードします

Evolve サーバーを新しいバージョンにアップグレードすると、Azure に展開されているポータル UI もアップグレードする必要があるため、外部ポータルは機能しなくなります。ポータルを閲覧すると、以下のメッセージが表示されます。 「アップグレードが必要です。ポータル UI のバージョンが、Evolve サーバーのバージョンとは異なります。Evolve グローバル管理者に連絡してポータル UI をアップグレードし、再試行してください。」

ポータル UI をアップグレードするには、以下の手順に従います。

1. Evolve の左側のメニューにある [ポータル] タブに移動し、特定のポータルを選択して、[パッケージのダウンロード] をクリックします。

2. ダウンロードしたファイルを解凍すると、PortalService、UI、Prerequisites.ps1 スクリプト、Setup.Ps1 スクリプト、dsettings.json、その他の関連ファイルなどのファイルを表示できるようになります。

   注: ステップ 3 は任意です。これは、Azure コマンド パッケージをマシンにインストールする場合にのみ必要です。現在のマシンを使用してセットアップを既に完了している場合は、Prerequisites.ps1 スクリプトを実行する必要はありません。

3. PowerShell を管理者モードで開き、Prerequisites.ps1 スクリプトを実行します。PowerShell に表示される指示に従います。これにより、展開に必要なパッケージがインストールされます。名前とバージョンが一覧表示されます。これは、すべてのパッケージがインストールされたことを示します。PowerShell ウィンドウを閉じます。

4. PowerShell を管理者モードで開き、Setup.ps1 スクリプトを実行します。PowerShell に表示される指示に従います。

5. アップグレード中に、リソース グループ、機能アプリなど、初期セットアップ中に入力した詳細を入力する必要はありません。そのスクリプトだけで、ユーザーに別のブラウザ ウィンドウにログインするように求めることができます。

スクリプトを実行すると、ポータル UI が Azure で更新され、外部ポータルを実行できるようになります。「アップグレードが必要です。」と表示されないはずです。

外部ポータルのアップグレード (20.2 GA から 20.2.2 GA)

20.2.2 GA のデプロイ スクリプトに実装されているDocumentRedirectRule は、外部ポータルのアップグレード時に追加されません。このためには、Azure EndPoint リソースに次のルールを手動で追加する必要があります。

以下の手順に従って、ルールを手動で追加します。

1. 外部ポータルに使用される Azure リソース グループを開きます。

2. EndPoint を開きます。

3. [ルール エンジン] をクリックします。

4. 新しいルールを追加します。

   URL パス値 - /svr/api/v1/wf/form/Documents/Get

   ホスト名の値 - 関数アプリのホスト名

5. このルールを保存し、このルールの順序を 1 に変更します。

外部ユーザーのセットアップ

セットアップが完了すると、外部ユーザーをセットアップする準備が整います。ポータルで使用するために外部ユーザーを構成するには、以下の手順に従います。

1. Evolve に移動します。左側のメニューから [ユーザー] を選択し、[新しいユーザーの追加] をクリックします。

2. システム IDP を無効にし、ユーザーの詳細を手動で追加します。

3. [次へ] をクリックします。外部ユーザーにライセンスを割り当てる必要はありません。

4. [次へ] をクリックして、必要なアプリの外部ユーザーへのアクセスを提供します。

5. [送信] をクリックします。

6. [ユーザー] 画面で、ユーザーの前にあるポータル カウントをクリックし、ポータルへのアクセスを外部ユーザーに提供します。[保存] をクリックします。

7. サインアップ リンクが記載されたメールがユーザーに送信されます。

8. サインアップ URL にアクセスし、手順に従ってユーザーとパスワードを作成します。

9. ユーザーが作成されると、ポータル URL にアクセスしてポータル サイトにアクセスできます。

トラブルシューティングの詳細については、 「一般的なエラーのトラブルシューティング」を参照してください。