管理者のためのSSO - Netskope技術文書

管理者向けシングルサインオン

Netskopeプラットフォームは、ローカルおよび SAML SP (サービスプロバイダー) ワークフローをサポートして、認証と認可を提供します。これにより、IdP でサポートされている 2 要素認証が可能になり、 Netskope UI で管理者用のローカルアカウントを作成する必要がなくなります。ただし、シングルサインオン (SSO) が利用できない場合は、テナント管理者は例外です。

Netskope UIでSSOを設定するには、 Settings > Administration > SSOに行ってください。

SSO設定

SSO設定構成には2つのセットがあります。

Netskopeの設定はIdP（SSOベンダー）に入力されました。
注記
SSOベンダーを無効化または移行する場合は、SSOベンダーのダッシュボードからSSO構成とNetskopeアプリケーションを削除してください。
Netskope管理UIに入力されたIdP関連の設定

IdP（SSOベンダー）におけるNetskopeの設定

パラメータは2つあります。

ACS（Assertion Consumer Service）URL：これは、IdPがユーザー認証後にアサーションを送信するURLです。
entityId: お客様固有のNetskopeテナントID。

これらの設定パラメータは、テナントUIからSetting > Administration > SSOにアクセスすることで取得できます。

Netskope管理UIにおけるIdP関連の設定

これらはSSOベンダーから入手してください。

IDプロバイダーのシングルサインオンURL
IdPエンティティID
X.509証明書（IdP公開鍵）
IdPシングルログアウト（SLO）URL

Netskope UI の SSO ページで、 Edit Settingsをクリックし、IdP 情報を入力します。編集ダイアログボックスにSLO情報を入力し、SLOを有効にします。

「SSOを有効にする」オプションを有効にすると、認証を強制できます。このオプションのチェックを外すと、ユーザーはアプリケーションにログインする必要があります。

必要に応じて、[SSO認証要求に署名する]チェックボックスを選択します。 SSOを使用して認証要求に署名します。 NetskopeのSAML証明書をダウンロードし、それをIdPにアップロードして、Netskopeが署名したSSO認証要求を検証してください。

別の選択肢として、強制認証を無効にする方法もあります。このチェックボックスをオンにすると、Netskope は SAML リクエストに ForceAuthn リクエストを送信しなくなります。

IdP主導型ロールマッピング

IdP主導のロールマッピングはオプションです。IdP/SSOベンダーから、 admin-roleという値が得られます。認証情報用です。このフィールドには、以下の値を設定できます。

テナント管理者
委任された管理者
事前定義された役割と、カスタム（作成済み）の役割。

ヒント

一部のサードパーティ製IDプロバイダーシステムは、役割属性値に空白文字を受け付けません。この問題を回避するには、Netskopeで事前に定義された役割を複製し、新しい名前からスペースを削除して名前を変更します。

管理者ロール（IdPから送信）	ローカルデータベースと照合する	結果
何も送信されません	ユーザーが UI でプロビジョニングされたユーザーである場合、ユーザーに設定されている管理者アカウントの種類は権限を識別するため	ロールが見つからない場合はエラーを返します。
テナント管理者	いいえ	TenantAdminロールでログイン
委任された管理者	いいえ	委任管理者ロールでログインしてください
読む専用の役割	テナントUIで設定されたロールに対してチェックしました	役割名が見つかった場合、その役割。見つからない場合は、エラーを返します。

ヒント

SSOを回避する必要がある場合は、使う URL https://<tenant-URL>/localloginのテナントに直接ログインしてください。

シングルログアウト

Netskopeはシングルログアウトをサポートしています。SSOが設定されている場合、ユーザーは特定のログアウトページにリダイレクトされます。

タイムアウト

現在、管理者が15分間操作を行わない場合、自動的にログアウトされ、ログインページにリダイレクトされます。SLOが有効になっている場合は、SLO設定で設定されているログアウトページにユーザーを誘導する必要があります。

Netskope UIのSSOを確認する

テナントログインURL（ https://<tenant-URL> ）をブラウザウィンドウに入力してください。
次の2つのうちどちらかが起こる：

このテナントに対してSAMLが設定されていない場合、通常どおりユーザー名/パスワード入力ページが表示されます。ローカル認証が必要です。
このテナントに対してSAMLが設定されている場合、NetskopeはIdPにSAML認証リクエストを送信します。IdP はユーザーを認証した後、管理者の認証 (電子メールアドレス - NameID) と承認 (管理者の役割) クレデンシャルを使用して SAML アサーションをNetskopeに送り返します。

アサーションを受信すると、 Netskope認証クレデンシャルをチェックします。認可クレデンシャルが通れば使える。そうでない場合は、 Netskopeを試して、ローカルテーブルから認証属性を取得します。ローカル認証値が見つからない場合、 Netskopeエラーを返します。