概要

「Azureで社内システム再現（オンプレ編）」では、
Azure の IaaS サービスを使って簡単な社内システムを再現します。

機能としては、社員番号を入力して検索ボタンを押すと、
対応する名前を表示するだけのシンプルなものです。

システム構成（今回の対象範囲）

今回は、これまでに構成してきた ADFS（IdP）と 2つの SP サイトとの連携が
正しく動作するかをテストします。

以下の 2 つの方式で、SAML ベースのシングルサインオン（SSO）が機能するかを検証します。

Shibboleth SP を組み込んだ社内 Web サイトにアクセスし、ADFS を経由してログインが開始されるかを確認します。

以下の Web サイトにアクセスします。

https://web-vm1.domain.local/employee-app/

例：

https://adfs.domain.local/adfs/ls/?SAMLRequest=...

社内Webサイト（Shibboleth SP）で一度ログインを済ませた状態で、
続けて外部のテストSPサイトにアクセスします。

外部のテスト SP サイトにアクセスすると、
認証操作は発生せず**、そのままログイン処理が完了しました。

これは、社内 Web サイトで一度 ADFS による認証を済ませていたため、認証状態がブラウザに維持され、再認証なしでSSOが成立したことを示しています。

また表示されたページに、次のような内容が含まれていました：

Hello user02

これは、ADFS 側で設定したクレームルール（SAM-Account-Name → 名前 ID）によって、user02 という情報が SAML アサーションを通じて正しくSPに渡されたことを確認できました。

以下に、あなたの流れに沿った IDP Initiated SSO（IdP 起点）テストの手順 をマークダウン形式でまとめました：

ADFS（IdP）のログインポータルから SPサイト へ遷移し、SSOが成功するかどうかを確認します。

まず以下のURLにアクセスします：

https://adfs.domain.local/adfs/ls/IdpInitiatedSignOn.aspx

しかし、以下のようなエラーが表示されました。

これは、デフォルトでIdP Initiatedのログインページが無効化されているためです。

PowerShellで以下のコマンドを実行し、IdPInitiatedSignonPageをTrue に変更します：

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

設定後、再度 Get-AdfsProperties で確認すると True に変わっていることが確認できます。

設定が完了すると、ログインページにアクセスできるようになり、
登録済みの証明書利用者信頼（SP）がリストで表示されます。

今回は Test-SP を選択します。

SPへのリダイレクト後、クレーム情報が渡され、
ログイン済みの状態で SP の保護されたページが表示されます。

このようにして、IdPを起点としたSSOも正常に動作していることが確認できました。