管理者向けシングルサインオン
Netskopeプラットフォームは、ローカルおよび SAML SP (サービス プロバイダー) ワークフローをサポートして、認証と認可を提供します。 これにより、IdP でサポートされている 2 要素認証が可能になり、 Netskope UI で管理者用のローカル アカウントを作成する必要がなくなります。ただし、シングル サイン オン (SSO) が利用できない場合は、テナント管理者は例外です。
Netskope UIでSSOを設定するには、 Settings > Administration > SSOに行ってください。
SSO設定
SSO設定構成には2つのセットがあります。
- Netskopeの設定はIdP（SSOベンダー）に入力されました。
注記
SSOベンダーを無効化または移行する場合は、SSOベンダーのダッシュボードからSSO構成とNetskopeアプリケーションを削除してください。
- Netskope管理UIに入力されたIdP関連の設定
IdP（SSOベンダー）におけるNetskopeの設定
パラメータは2つあります。
- ACS（Assertion Consumer Service）URL：これは、IdPがユーザー認証後にアサーションを送信するURLです。
- entityId: お客様固有のNetskopeテナントID。
これらの設定パラメータは、テナントUIからSetting > Administration > SSOにアクセスすることで取得できます。
Netskope管理UIにおけるIdP関連の設定
これらはSSOベンダーから入手してください。
- IDプロバイダーのシングルサインオンURL
- IdPエンティティID
- X.509証明書（IdP公開鍵）
- IdPシングルログアウト（SLO）URL
Netskope UI の SSO ページで、 Edit Settingsをクリックし、IdP 情報を入力します。編集ダイアログボックスにSLO情報を入力し、SLOを有効にします。
「SSOを有効にする」オプションを有効にすると、認証を強制できます。このオプションのチェックを外すと、ユーザーはアプリケーションにログインする必要があります。
 |
必要に応じて、[SSO認証要求に署名する]チェックボックスを選択します。 SSOを使用して認証要求に署名します。 NetskopeのSAML証明書をダウンロードし、それをIdPにアップロードして、Netskopeが署名したSSO認証要求を検証してください。
別の選択肢として、強制認証を無効にする方法もあります。このチェックボックスをオンにすると、Netskope は SAML リクエストに ForceAuthn リクエストを送信しなくなります。
IdP主導型ロールマッピング
IdP主導のロールマッピングはオプションです。IdP/SSOベンダーから、 admin-roleという値が得られます。 認証情報用です。 このフィールドには、以下の値を設定できます。
- テナント管理者
- 委任された管理者
- 事前定義された役割と、カスタム（作成済み）の役割。
ヒント
一部のサードパーティ製IDプロバイダーシステムは、役割属性値に空白文字を受け付けません。この問題を回避するには、Netskopeで事前に定義された役割を複製し、新しい名前からスペースを削除して名前を変更します。
| 管理者ロール（IdPから送信） | ローカルデータベースと照合する | 結果 |
|---|---|---|
| 何も送信されません | ユーザーが UI でプロビジョニングされたユーザーである場合、ユーザーに設定されている管理者アカウントの種類は 権限を識別するため | ロールが見つからない場合はエラーを返します。 |
| テナント管理者 | いいえ | TenantAdminロールでログイン |
| 委任された管理者 | いいえ | 委任管理者ロールでログインしてください |
| 読む専用の役割 | テナントUIで設定されたロールに対してチェックしました | 役割名が見つかった場合、 その役割。 見つからない場合は、エラーを返します。 |
ヒント
SSOを回避する必要がある場合は、使う URL https://<tenant-URL>/localloginのテナントに直接ログインしてください。
シングルログアウト
Netskopeはシングルログアウトをサポートしています。SSOが設定されている場合、ユーザーは特定のログアウトページにリダイレクトされます。
タイムアウト
現在、管理者が15分間操作を行わない場合、自動的にログアウトされ、ログインページにリダイレクトされます。SLOが有効になっている場合は、SLO設定で設定されているログアウトページにユーザーを誘導する必要があります。
Netskope UIのSSOを確認する
-
テナントログインURL（
https://<tenant-URL>）をブラウザウィンドウに入力してください。 -
次の2つのうちどちらかが起こる：
-
このテナントに対してSAMLが設定されていない場合、通常どおりユーザー名/パスワード入力ページが表示されます。ローカル認証が必要です。
-
このテナントに対してSAMLが設定されている場合、NetskopeはIdPにSAML認証リクエストを送信します。IdP はユーザーを認証した後、管理者の認証 (電子メール アドレス - NameID) と承認 (管理者の役割) クレデンシャルを使用して SAML アサーションをNetskopeに送り返します。
-
アサーションを受信すると、 Netskope認証クレデンシャルをチェックします。 認可クレデンシャルが通れば使える。 そうでない場合は、 Netskopeを試して、ローカル テーブルから認証属性を取得します。 ローカル認証値が見つからない場合、 Netskopeエラーを返します。