3.6.2.2 テンプレート文字列での割り当て

アイデンティティプロバイダーマッピング画面ではIdPのユーザー情報とOps Iのユーザー情報のマッピング規則を設定します。テンプレート文字列で割り当てると、条件の値、Claim（OIDCの場合）、および属性（SAMLの場合）と、Ops Iのグループ、ロール、および属性が完全に一致しない場合もマッピング対象として指定できます。その結果、マッピングを複数登録しなくても、さまざまな条件を満たす対象を一度に設定できます。

ここでは次の項目について説明します。

• 記載ルール、例
• アイデンティティプロバイダー設定時のエラー
• よくある間違い

（1）記載ルール、例

テンプレート文字列での割り当てには、ディレクティブ、出力式、条件式、演算子、文字列向け関数、シーケンス向け関数が使用できます。
ここで、varは任意の変数、strは任意の文字列、listは任意のシーケンスを意味します。

【ディレクティブ】

使用できるディレクティブは次の通りです。

（表）使用できるディレクティブ

【出力式】

使用できる出力式は次の通りです。

（表）使用できる出力式

【条件式】

使用できる条件式は次の通りです。

（表）使用できる条件式

【演算子】

使用できる演算子は次の通りです。

（表）使用できる演算子

【文字列向け関数】

使用できる文字列向け関数は次の通りです。

（表）使用できる文字列向け関数

【シーケンス（配列、リスト）向け関数】

使用できるシーケンス向け関数は次の通りです。

（表）使用できるシーケンス向け関数

【authn_info】

IdPのユーザー情報を参照する場合に使用します。
SAMLとOIDCではauthn_infoで使用できるユーザー情報と使用方法が異なります。それぞれのauthn_infoの特徴は次の通りです。

①SAMLの場合：

• Attributeに含まれる情報を使用できる。
  テンプレートによるマッピングでは、AttributeのNameをキーとして、対応する値を配列としてauthn_infoに格納する。単一の値の場合も配列として扱う。
  
  例：IdPの情報「preferred_username」が「test_user」に等しい場合
  <#if authn_info["preferred_username"][0]=="test_user">
• 配列のどの要素の値を実際に利用するかを指定したい場合にのみ、インデックス（例：[0]）で参照する。
  例：${authn_info["email"][0]}
  複数要素を持つ場合には[0]以外に[1]なども指定できる。以下の場合はインデックスの指定は不要。
  • 存在確認（??）や空判定（?has_content）などの条件式：
    配列の要素ではなく式全体に対して記述しているため
  • 配列向け（シーケンス向け）の関数：
    配列としてauthn_infoに格納されるため
    例：authn_info["groups"]?seq_contains("admin")

②OIDCの場合：

• IDトークンまたはUserInfoエンドポイントから取得できるユーザー情報に含まれるプロパティを使用できる

【例文】

ディレクティブ、出力式、条件式、演算子、文字列向け関数、シーケンス向け関数を使用した例は以下の通りです。

<#-- コメント -->

「改行付きでロールを出力」というコメントを記載

<#if>...<#elseif>...<#else>...</#if>

IdPの「id」が「1」の場合は「adminGroup1」を、「2」の場合は「adminGroup2」を、それ以外の場合は「customerGroup」のロールを割り当てる

<#assign var = "A">

IdPの「department」が「abc」という文字列でない場合、「portal_subscriber」ロールを割り当てる

<#list items as item>...</#list>

リスト型で格納されているIdPの「role」情報をそれぞれ確認し、文字列の一部に「admin」という文字列が含まれている場合、「user_admin」と「customer_admin」を割り当てる

${}

IdP側の「email」情報が空でない場合、「email」情報をそのまま割り当てる

var??

IdP連携をしている場合、「idp_user」グループを割り当てる

var?has_content

IdP側の「email」情報が空でない場合、「email」情報をそのまま割り当てる

==

IdPの「groups」以下の「customer.group」が「portal」という文字列である場合、「portal_subscriber」ロールを割り当てる

!

IdPの「department」が「abc」という文字列でない場合、「portal_subscriber」ロールを割り当てる

!=

IdPの「customer」が「123」という文字列でない場合、「customer_group」グループを割り当てる

||

IdPの「groups」がリストの中に「group 1」を持つか、「role」がリストの中に「author」を持つ場合、「portal_author」ロールを割り当てる

&&

IdPの「groups」がリストの中に「group 2」を持ち、かつ「email」が「abc.com」である場合、「portal_site_admin」ロールを割り当てる

lt

IdPの文字列型だが数値である「customer（顧客コード）」を数値型に変換し、それが2000より小さい場合、「customer_group」グループを割り当てる

lte

IdPの文字列型だが数値である「customer（顧客コード）」を数値型に変換し、それが2000以下の場合、「customer_group」グループを割り当てる

gt

IdPの文字列型だが数値である「customer（顧客コード）」を数値型に変換し、それが2000より大きい場合、「customer_group」グループを割り当てる

gte

IdPの文字列型だが数値である「customer（顧客コード）」を数値型に変換し、それが2000以上の場合、「customer_group」グループを割り当てる

str?c_lower_case

IdPの「username」を小文字に変換し、それが「hitachi_taro」と等しい場合、「customer_admin」ロールを割り当てる

str?c_upper_case

IdPの「username」を大文字に変換し、それが「HITACHI_TARO」と等しい場合、「customer_admin」ロールを割り当てる

str?replace("A", "B")

IdPの「groups」以下の「customer.group」が「hitachi」という文字列を含んでいる場合、その名前の「hitachi」部分を「test」に置き換えた名前のロールを割り当てる

str?split("A")

IdPに「name」情報があり、かつその値が空でなく、「" "」で区切られている場合、それで区切った初めの値を姓として扱う

str?date("yyyy-MM-dd")

IdPの生年月日情報（yyyy-MM-ddの形で格納されている）が2000年1月1日より前である場合、「century_group」グループを割り当てる

str?number

IdPの文字列型だが数値である「customer（顧客コード）」を数値型に変換し、それが2000より大きい場合、「customer_group」グループを割り当てる

str?trim

IdPの顧客情報が空でない情報を持っており、値が2000と等しい場合、「idp_user」グループを割り当てる

str?contains("A")

IdPの「email」が「hitachi」という文字列を含む場合、「hitachi_group」グループを割り当てる

str?starts_with("A")

IdPの「username」が「admin」という文字列で始まっている場合、「itsm_admin」ロールを割り当てる

str?ends_with("A")

IdPの「email」が「.com」という文字列で終わっている場合、IdPの「email」をOps Iの「email」として用いる

str?matches("A")

IdPの「customer（顧客コード）」が数字で構成されている場合、その顧客コードを割り当てる

list?seq_contains("A")

IdPで複数ロールを持つうちの1つに「admin」ロールを持っている場合、「itsm_admin」ロールを割り当てる

list?join("A")

IdPに「role」情報がある場合、その同名ロールをOps Iで割り当てる

（2）アイデンティティプロバイダー設定時のエラー

アイデンティティプロバイダーの設定やテンプレートの記載に不備がある場合、以下のタイミングでエラーが出力されます。

【アイデンティティプロバイダーの保存時】

文法上の誤りがある場合、アイデンティティプロバイダーの保存時にエラーメッセージが表示されます。
エラーメッセージに記載された「[詳細]」を確認することで、問題のある行を特定できます。

＜例＞
構文エラーがある場合
KNBA00300-E

【ユーザーがログインするとき】

（3）よくある間違い

テンプレートの記載でよくある間違いと正しい記載の例を以下に示します。

• 顧客を指定する場合、顧客名ではなく顧客IDで指定してください。
  ＜誤＞
  <#if authn_info["customer"] == "customer1">
      customer1
  </#if>
  ＜正＞
  <#if authn_info["customer"] == "customer1">
      1001
  </#if>


• グループを割り当てる場合、改行で指定してください。
  ＜誤＞
  <#if authn_info["group"]??>
      ${authn_info["group"]}
  </#if>
  ＜正＞
  <#if authn_info["group"]??>
      ${authn_info["group"]?join("\n")}
  </#if>


• ロールを割り当てる場合、改行で指定してください。
  ＜誤＞
  <#if authn_info["id"] == "1">
      System Security Administrator, user_admin
  </#if>
  ＜正＞
  <#if authn_info["id"] == "1">
      System Security Administrator
      user_admin
  </#if>


• SAMLの場合、配列の中のどの要素を参照するか、インデックスで指定してください。
  
  • テンプレートで属性（顧客）を割り当てる場合
    ＜誤＞
    <#if authn_info["customer"] == "customer1">
        1001
    </#if>
    ＜正＞
    <#if authn_info["customer"][0] == "customer1">
        1001
    </#if>
  • テンプレートでロールを割り当てる場合
    ＜誤＞
    <#if authn_info["username"]?c_upper_case == "HITACHI_TARO">
        customer_admin
    </#if>
    ＜正＞
    <#if authn_info["username"][0]?c_upper_case == "HITACHI_TARO">
        customer_admin
    </#if>
  インデックスの指定が不要な場合もあります。「authn_info」を参照してください。