FileMaker 16 の新機能を使用して弊社在庫管理システムテンプレート『FMEasy在庫』の機能を拡張するというテーマで、前回までに WebDirect を使用した宅配便送状の印刷と、AfterShipから配送データを取得してアプリ内で荷物追跡情報を表示する方法をご紹介してまいりました。今回はその締めくくりとして、oAuth による FileMaker データベース（以下、FileMaker DB）へのログインについてご説明します。
一回目：
FileMaker と WebDirect 16 で宅配便送状を印刷し、配送状況を追跡する
二回目：
cURL と REST API を使用し、FileMaker アプリ内で配送状況を追跡
 |
| 出庫画面から運送業者の送状を発行し、配送状況を追跡するまでの流れ |
oAuth は一連のデータベース操作の窓口を担う認証機能になりますが、FileMaker DB にパスワードを記憶させないという利点があります。
オープン認証 （oAuth） をざっと説明
oAuth を簡単に説明すると、外部の Web サービスに登録されているユーザ情報を使うことによって、アプリケーションに代理ログインできるしくみです。Google アカウントや Microsoft アカウントなどを使って外部サービスにログインされた方もいらっしゃると思います。
FileMaker 16 が oAuth 対応になり、通常の FileMaker アカウントの代わりに Google、Microsoft Azure Active Directory、および Amazon アカウントを使って FileMaker データベース（以下、FileMaker DB）にログインできるようになりました。
oAuth 経由で FileMaker にログインするための事前準備
oAuth で FileMaker DB にログインするためには、以下のものをそろえる必要があります。
- FileMaker Server 16 と必要数分のアクセスライセンス
- 有効なドメインのサーバ証明書
- クライアント ID、シークレット、テナント ID (Asure の場合)
- oAuth 用ログインユーザアカウント
FileMaker で oAuth を有効にする方法
oAuth 経由で FileMaker にログインするための具体的な手順を以下に示します。
ここでは、Google アカウントを例に進めていくことにします。
作業の手順は FileMaker 公式にまとめられていますので、以下もご参照ください。
オープン認証 (OAuth) 資格情報を使用したソリューションへのアクセス
- FileMaker Server にサーバ証明書をインポートします。
FileMaker Server Admin Console にログインし、データベースサーバ→セキュリティの順にすすみ、「データベース接続に SSL を使用する」にチェックをつけて“証明書のインポート...” ボタンをクリックします。
 |
| SSL を有効にし、証明書のインポートを選択する |
証明書のインポートダイアログが表示されますので、署名入りの証明書ファイル、プライベートキーファイル、中間証明書ファイルを指定してインポートします。
 |
| カスタム証明書インポートのダイアログ |
- FileMaker Server を再起動します。
- http://console.developers.google.com/ にログインします。
- 認証情報→認証情報を作成の順にすすみ、「oAuth クライアント ID」 を選択します。
 |
| oAuth クライアント ID を登録 |
- oAuth 同意画面を選択し、メールアドレスとサービス名を入力して保存します。
 |
| oAuth 同意画面を登録 |
- アプリケーションの種類の選択ページでは、「ウェブアプリケーション」を選択し、任意の名前を指定してから、リダイレクト先を指定します。
 |
| oAuth 認証をウェブアプリケーションにし、そのリダイレクト先を指定する |
リダイレクト先は https://ドメイン名/oauth/redirect になるように指定します。
- 無事 oAuth クライアント ID が作成されると、以下のようなダイアログが表示されますので、クライアント ID とクライアントシークレットをメモしておいてください。
 |
| oAuth クライアントのクライアント ID とクライアントシークレットを取得する |
- 再び FileMaker Server Admin Console にログインします。データベースサーバ→セキュリティの順にすすみ、クライアント認証を 「FileMaker と外部サーバーアカウント」に変更して設定を保存します。
 |
| クライアント認証を「FileMakerと外部サーバーアカウント」に変更する |
- 外部サーバーアカウントとして Google の歯車アイコンをクリックすると、Google の設定ダイアログが表示されますので、手順 7. でメモしておいた Google クライアント ID と Google クライアントシークレットを入力し、“保存”ボタンをクリックします。
 |
| Google クライアント ID と Google クライアントシークレットを入力 |
- FileMaker Server を再起動し、手順 11. の Google アカウントのスライダーを有効にします。
これで FileMaker Server で oAuth が使えるようになりました。
補足事項：
- サーバ証明書をインポートした直後は、FileMaker Server を再起動しても FileMaker Server が証明書を認識しない場合があります。その場合は、いったんサーバ機を再起動すると認識されることがあります。
- サーバ証明書のインポートに失敗した場合は、FileMaker Server のディレクトリでコンソールウィンドウを開き、fmsadmin certificate delete コマンドを実行すると、カスタム証明書を削除することができます。削除後はいったん FileMaker Server を再起動してから、証明書のインポートをやりなおしてみてください。
FileMaker データベースファイルへのユーザアカウントの登録
FileMaker Server 側の oAuth 認証受付の準備が終わったら、データベースファイルにログインユーザアカウントを登録します。
- FileMaker Pro から管理者権限でデータベースファイルを開き、FileMaker のメニューより「管理」→「セキュリティ」の順に進みます。
- アカウントの一覧が表示されますので、認証方法を「Google」にし、そして「ユーザ名」にはGoogleにログインするためのメールアドレスをフルで指定します。
 |
| アカウント管理画面に oAuth ログイン用のユーザアカウントを登録する |
- 同じ要領で、クライアント数分のアカウントを登録します。
補足事項：
- 分離モデルを採用している FileMaker データベースシステムの場合は、関連するすべてのファイルに oAuth 用のアカウントを登録する必要があります。
oAuth による FileMaker データベースのログイン
oAuth による FileMaker ログインの設定が終わったら、実際にログインして動作を確認します。
FileMaker Pro16 によるログイン
FileMaker Server 16 で公開されているデータベースファイルに FileMaker Pro 16 クライアントからアクセスすると、以下のようなダイアログが表示されます。
 |
| oAuth 対応のFileMaker Pro 16 ログイン画面 |
ここで、Google ボタンをクリックすると、以下のようなアカウント選択ページが表示されますので、適切なアカウントを選択し、パスワードを入力してログインします。
 |
| ログインする Google アカウントを選択 |
上図は、Web ブラウザに Google アカウントが記録されている場合のページですが、Web ブラウザにアカウントが記録されていなければ Google ログイン用のメールアドレスを入力するよう促されますので、正しいメールアドレスを入力します。
Google アカウントのログインに成功すると、以下のようなダイアログが表示されますので、“許可”をクリックします。
 |
| プログラムの実行許可 |
すると FileMakerアプリの画面に戻ります。後の操作は FileMaker のユーザ権限にしたがって通常通りに行えます。
 |
| oAuth によるFileMaker ログイン直後の FMEasy在庫 Main Menu 画面 |
WebDirect によるログイン
WebDirect 用の公開リンクにアクセスし、開きたいデータベースファイルをクリックすると、以下のようなログインページが表示されます。
 |
| WebDirect 用の oAuth 対応サインインページ |
ここで、Google ボタンをクリックすると、以下のようなアカウント選択ページが表示されますので、適切なアカウントを選択し、パスワードを入力してログインします。
 |
| ログインする Google アカウントを選択 |
Google アカウントのログインに成功すると、WebDirect で FileMaker DBが開きます。
 |
| oAuth による WebDirect ログイン直後の FMEasy在庫 Main Menu 画面 |
懸案事項
oAuth は事前設定さえ済ませてしまえば、あとはログインを許可するアカウントを FileMaker DBに登録するだけで使えるようになりますが、運用にあたっては以下のような問題が発生する可能性がありますので、ご留意ください。
- ログインに成功すると、FileMaker を終了しても、oAuth で管理される外部 Web サービスのセッションが残る
これは他の Web サービスのセッション管理機能に依存しますが、Google の場合 FileMaker を終了させても、二回目以降に FileMaker DB にログインしようとすると、パスワードの入力を求めてこず、そのままログインできてしまいます。
- Web ブラウザにログインパスワードが保存されていると、第三者に勝手にログインされる恐れがある
個人の専用パソコンからのアクセスなら、パスワード入力の手間が省けて便利ですが、複数のユーザで一つのパソコンを共有利用している場合は、勝手にログインされてしまう可能性があります。
各自パスワード管理をしっかりやってね、で解決すればよいのですが、手軽さゆえ思わぬトラブルにつながりそうな機能なので、oAuth ログインを許可するアカウントのユーザ権限は入力・照会レベルにとどめるような工夫は最低限必要かと思います。
oAuth の危険性を指摘する記事もネットで見つかりますので、日ごろから目を通しておくとよいですね。
参考記事：
第147回 便利と危険は裏返し 〜 知っておきたい、OAuthの仕組み 〜 （TDK Techno Magazine）
土屋企画では FileMaker システムの受託開発およびコンサルティングを請けたまわっております。お問い合わせは
こちらよりお願い致します。
その他の在庫関連記事を読む
（亀）
