このドキュメントでは、 NPAブラウザベースの複数 IdP アクセス機能の使用ケースを設定およびテストする方法について説明します。
この機能を有効にすると、プライベートアプリタイプの複数のリバースプロキシSAMLアカウントを設定できます。複数のリバースプロキシSAMLアカウント（IdP）を設定でき、IdPごとに基準マッチングを行うために、SAMLアカウント設定ごとに複数のドメインを設定できます。
Use CaseACME Corp は既存のエンタープライズIdP1を所有しています。ACME Corpには、ベンダーA（ IdP a ）およびベンダーB（ IdP b ）の外部ユーザーもおり、これらのユーザーは自社のアプリケーションへのアクセスを必要としています。 このような場合、ブラウザベースのアクセスにおける複数IDプロバイダーのサポート機能を有効にすることができます。
前提条件
- NPAブラウザベースのアクセス複数 IdP の機能フラグを有効にします (コンタクト サポートまたは営業担当者)。
- お客様のNPAブラウザベースアクセスアプリケーション、それぞれのポリシー、およびプライベートアプリタイプのSAMLリバースプロキシアカウントは既に設定済みです。
設定の詳細については、こちらをご覧ください。 - 外部ユーザー（追加のIDプロバイダーからのユーザー）は、SCIMまたはディレクトリインポーターを介してNetskopeテナントにインポートされます。
詳細については、以下の記事を参照してください。
Netskope SCIM 設定
ディレクトリ インポーターの設定
UIの変更点
SAMLアカウントページ
テナントに対してBrowser-based Access Multiple IdP機能フラグが有効になっている場合、UI にUser Authentication Domainというラベルの追加設定が表示されます。
注記
Netskopeは、プライベートアプリケーション向けに最大10個のSAMLアカウントをサポートしています。
ランディングページ
プライベートアプリ用に複数のSAMLアカウントが設定されている場合、エンドユーザーがブラウザベースのアプリケーションに初めてアクセスした際に、新しいランディングページ（下記参照）が表示されます。このページで、ユーザーは電子メール アドレスを入力し、 Continueをクリックします。 設定されたドメイン一致基準に基づいて、関連するIdPがユーザーに提示されます。
注記
- 複数のIDプロバイダー（IdP）機能が有効になっており、テナント内で複数のIdPが設定されている場合、設定されているすべてのブラウザベースのアクセスアプリと、それらのアプリにアクセスするすべてのユーザーに対してランディングページが表示されます。
- これは、アプリケーションに初めてアクセスしたとき、およびこれらのアプリケーションへのアクセスを必要とするすべてのユーザーに対して表示されます。
- ユーザーは、ブラウザベースのアクセス Cookie の有効期限が切れた後 (デフォルトは 24 時間)、またはブラウザのキャッシュがクリアされた場合にのみ、ランディングページで を再入力する必要があります。
- 上記のスクリーンショットでは、 ACME Corporationがアカウント名を表しています。
Configuration
Example Configuration
この例では、ACME Corpとその関連ベンダーは ユーザー認証に異なるIDプロバイダーを使用しています。
ACME Corp: Uses IdP 1 with email domains @acme.com and @eu.acme.com.
Vendor A: Uses IdP a with email domains @vendora.com and @vendora2.com.
Vendor B: Uses IdP b with the email domain @vendorb.com.
ベンダーAとBは、 それぞれIdP aとIdP bであり、ACME Corpのブラウザベースのアクセスアプリケーションへのアクセスを必要とする外部ユーザーです。
IdP 1は既に設定済みであると想定します。ブラウザアクセス複数IdP機能フラグが有効になると、 IdP 1がプライベートアプリのデフォルトIdPとして指定されます。
デフォルトのIdPは、プライベートアプリ用の他のSAMLアカウントで明示的に定義されたドメインを持つユーザーを除き、すべてのユーザーを認証します。 デフォルトの IdP に対して明示的な電子メール ドメインを構成する必要はないことに注意してください。
注記
- デフォルトのIdP（ IdP 1 ）は、必要に応じて「特定のドメイン」を含めるように変更することもできます。
- デフォルトアカウントを持つことはnot必須です。
Configure IdP a
使用する SAML アカウントをまだお持ちでない場合は、新しい SAML アカウントを作成します。
- Settings > Security Cloud Platformに移動して、 SAML (リバースプロキシの下) をクリックします。
- Add Account .
をクリックしてください
- [新しいアカウント] ウィンドウで、アカウントの名前を入力します。
- アプリケーションのドロップダウンリストからPrivate Apps Select 。
- 以下のパラメータを入力してください。
- IdP SSO URL: IdP SSO URLを入力してください。
- IdP証明書：IdP証明書を入力してください。
- User Authentication DomainSelect Specific Domainsしてドメインを入力します。複数のドメインがある場合は、それぞれを別々の行に追加してください。
- Save and View Netskope Settingsをクリックすると、このアカウントのURLが表示されます。ブラウザベースアクセス（ACS）のURLとオーディエンスURLを、 のIdPアカウントにコピーしてください。 先に進む前に、これらのURLを使用してIdPアカウントを更新してください。
Configure IdP b
IdP aと同様に、上記の手順を繰り返して新しい SAML アカウントを作成します。さらに、以下のスクリーンショットに示すように、 User Authentication Domainを定義します。
ランディングページのシナリオ
これらのシナリオは、設定されているすべてのブラウザベースのアクセスアプリと、それらのアプリにアクセスするユーザーに対してランディングページを表示するかどうかを決定します。
| ブラウザアクセス複数IDプロバイダー機能フラグ | デフォルトのSAMLアカウント | 特定ドメインSAMLアカウント | ランディングページ |
|---|---|---|---|
| Disabled | 適用できない | 適用できない | いいえ |
| Enabled | はい | なし | いいえ |
| Enabled | はい | No domain specified | いいえ |
| Enabled | なし | 1つのアカウント | はい |
| Enabled | なし | 多くのアカウント | はい |
| Enabled | はい | 1つのアカウント | はい |
| Enabled | はい | 多くのアカウント | はい |
Validation
- NPAブラウザベースのアクセスアプリにアクセスすると、エンドユーザーにはランディングページが表示されるはずです。
- 上記の構成例に基づくと、次のようになります。
ランディングページ内に入力された電子メール 想定されるIdP testa@vendora.com IdP testb@vendorb.com IdP b testc@acme.com IdP 1 testd@blah.com IdP 1
トラブルシューティング
問題が見つかった場合は、画面録画とトラフィックフローのHARキャプチャを取得し、Netskopeサポートチームと共有して、さらなるトラブルシューティングを依頼してください。