Ploneで統合Windows認証 (8) Plone 3.0.2 で AutoUserMakerPASPlugin を使ってみる

前回、Plone 3.0.2 ではどうやら Remote User Folder は使えないらしいことがわかって、代替策を探すこととなった。

Google で "Plone REMOTE_USER" で検索してみると、AutoUserMakerPASPlugin という Zope プロダクトを発見。

AutoUserMakerPASPlugin
http://tid.ithaka.org/software/autousermakerpasplugin

このプロダクトも、Remote User Folder と同様に、Plone 外部の認証結果でログインし、同時にユーザーアカウントの自動追加も行う、というプロダクトらしい。もともとは統合 Windows 認証の為でなく Shibboleth というシングルサインオンの仕組みの為に作られた模様。

どうやら無償で使わせていただけるようなので、早速試してみる。
ダウンロードページから AutoUserMakerPASPlugin.zip をダウンロード。
http://tid.ithaka.org/software/autousermakerpasplugin/AutoUserMakerPASPlugin.zip/view

<Ploneインストールフォルダ>Data\Products 以下に、AutoUserMakerPASPlugin.zip を解凍してでてくる AutoUserMakerPASPlugin フォルダをまるごとコピーして Plone サービスを再起動する。

次に、Apache を経由せず直接 Zope Web サーバー経由で Plone を開き(http://localhost:8080/Plone)、管理者アカウントでログインし、[サイト設定] から [アドオンプロダクト] を開く。

すると、[インストール可能なプロダクト] として [AutoUserMakerPASPlugin 0.6] チェックボックスがあるので、これをチェックONし、[インストール]ボタンを押してインストール続行。続けてZope管理ページを開く(http://localhost:8080/manage)。

Plone/acl_users フォルダをひらくと、たしかに "AutoUserMakerPASPlugin (AutoUserMakerPAS Plugin) " の項目が増えている。これをクリックして、詳細設定を確認してみると [Options] タブの画面になる。

まず "Domain Name Stripping" という設定項目があるが、ここでいう"ドメイン"とは、user-name@domain-name 形式における domain-name を指しているそうだ。
つまり、認証されたユーザー名が "user-name@domain-name" の場合、このチェックがONならば、@以降を削除して "user-name" として取り扱うということらしい。
Apache 側、mod_auth_sspi モジュールでは dmoain-name\user-name 形式、または、domain-name\ を除いた形式のユーザー名が渡されてくる(SSPIOmitDomain {On|Off} で変わる)ので、ここの設定項目は何でもよい。既定のまま放っておく。

次に、"User Setup Headers" という設定項目について、User ID が渡されてくる環境変数の名前などを設定できるようになっている。既定では、User ID は HTTP_X_REMOTE_USER 環境変数に渡されてくるもの、と設定されているようだ。
Apache 側、mod_auth_sspi モジュールでは、REMOTE_USER 環境変数で渡してくるので、ここは REMOTE_USER に変更。

以上で [Save] ボタンを押して完了とする。

ブラウザを閉じ、あらためて http://localhost:8080/Plone を開いてみる。
ちゃんと、Plone ホームページが表示されることを確認。
続けて、Plone へのログインを試してみる（統合Windows認証ではなくて、Plone 標準のログインフォームを経由した、クッキー認証）。
無事成功。

AutoUserMakerPASPlugin はあくまでも PAS のプラグインなので、認証の選択肢が増えただけであり、既存の認証方法（例えば上記のクッキー認証）や Plone のグループ管理などには影響は与えていない模様だ。
また、ちゃんと Plone が機能しているようなので、AutoUserMakerPASPlugin のインストールは成功か、ないしは、少なくとも致命的な損害を与えるようなインストールミスは犯していないようだ（統合 Windows 認証と組み合わせていないので、インストールや設定が正しいかどうかはこの時点では判断できない）。

では残るは、Apache 側の設定とテスト。
結論を書いてしまうと、AutoUserMakerPASPlugin を使うことで、Apache + mod_auth_sspi 経由での Plone 3.0.2 への統合 Windows 認証によるシングルサインオンは成功した。
残る Apache 側の設定について詳細は後程。

つづく