SAMLプロキシは、以下の手順に従って、アサーションコンシューマーサービス（ACS）URL、アイデンティティプロバイダー（IdP）URL、およびIdP証明書を使用して構成する必要があります。
Netskope UIでSAMLリバースプロキシを設定するには：
- Settings > Security Cloud Platform > Reverse Proxy > SAMLへ移動してください。
- Add Accountをクリックしてください。
- アカウント追加ダイアログで、設定の下にある以下のパラメータを設定します。
- アプリ：ドロップダウンリストからアプリSelect 。 これは、SAMLプロキシを設定したいアプリです。
- 名前：アカウントを識別する名前を入力してください。
- ACS (Assertion Consumer Service) URL: SaaSアプリケーションのサービス プロバイダー (SP) ベンダーに問い合わせて SAML ACS URL を取得し、このフィールドに入力してください。
- IdP (アイデンティティ プロバイダー) URL: サードパーティの SSO IdP に接続し、アプリごとに一意のアイデンティティ プロバイダーのログイン URL をこのフィールドに追加します。
- IdP（アイデンティティプロバイダー）証明書：サードパーティSSO IdPのPEM形式の証明書をコピーして貼り付けます（これはNetskopeがSAMLアサーションの署名を検証するために必要です）。
- 代替ユーザーID：Netskopeは、SAMLアサーションのNameIDフィールドを参照してユーザーIDを取得します。ご希望の場合は ユーザー識別用の別のフィールドを追加したい場合は、このフィールドにSAML属性の名前を入力してください。
- Netskopeへの認証リダイレクト（オプション）：Netskope認証プロキシがユーザーログインを監視し、多要素認証のステップアップポリシーを適用できるようにする場合は、これを有効にします。
- これらの設定を構成するには、「オプション」タブをクリックしてください。
- 緊急バイパス（オプション）：このオプションを有効にすると、Netskopeの認証後、選択したアプリ（上記）をバイパスできます。バイパスを選択すると、メインページのこのアプリの「バイパス」列に「はい」が表示されます。
注記
緊急バイパスオプションを有効にした場合、SaaSアプリケーション上で信頼できないネットワークからのユーザーをブロックする条件付きアクセス ポリシーが設定されていると、ユーザーはSaaSアプリケーションにアクセスできなくなる可能性があります。
- モバイルの認証チェックをバイパスする (オプション): すべてのモバイル デバイスの認証チェックをバイパスします。
- SAMLアサーションキー値ペアのマッチング（オプション） SAML/AuthProxyが元のIdPから受け取ったアサーションに対して、キー/値のパターンマッチングを実行します。 特定のブロック/バイパス処理は、一致する認証フローに対して直接実行され、その他のすべての認証フローは、デフォルトのリダイレクトポリシーに従って処理され続けます。
- SAMLアサーションのキーと値のペアのマッチングを有効にする：最大3つのペアを指定します。SAML/AuthProxyは、元のIdPから受信したアサーションに対してキーと値のパターンマッチングを実行します。指定されたアクションは、一致する認証フローに対して直接実行されますが、その他のすべての認証フローは、デフォルトのリダイレクトポリシーに従って処理されます。パスワード、証明書、またはトークン認証方法に基づいて照合する場合は、SAML認証方法の完全な値を指定してください。
- IPアドレスアクセス（オプション）： アクセス用のIPアドレスを指定するには、アドレス、範囲、またはCIDRネットマスクを入力します。
- クライアント証明書チェック（オプション）：証明書 クライアント証明書を発行するための証明書は、 証明書チェックオプションの前にアップロードする必要があります。 アップロードする前に、まず中間CAをコピー＆ペーストし、次にルートCAをコピー＆ペーストして1つのファイルにまとめてください。
クライアント証明書チェックについては、以下のいずれかのオプションを選択してください。
- 不要：クライアント証明書の確認は不要です。
- 必須：認証を成功させるには、クライアント証明書の検証が必要です。以下のいずれかの操作を選択してください。
- 失敗した場合はブロックする
- 成功した場合はバイパスします
- 結果はデバイス分類のみに使用されます。
クライアント証明書チェックから除外するIPアドレスは、「例外」テキストフィールドに入力してください。
このページ下部に記載されている Netskope の送信元 IP アドレス/範囲も除外するには、チェックボックスを有効にしてください。
[ブロック] および [デバイス分類] オプションでは、クライアント証明書 CN に基づいてユーザーの電子メール アドレスを検証することも選択できます。
- 顧客のIPアドレス/範囲をバイパスする（オプション）：バイパスするIPアドレスと範囲を入力してください。入力内容はCIDR形式である必要があります。
- 緊急バイパス（オプション）：このオプションを有効にすると、Netskopeの認証後、選択したアプリ（上記）をバイパスできます。バイパスを選択すると、メインページのこのアプリの「バイパス」列に「はい」が表示されます。
- Saveをクリックしてください。プロキシ設定を追加したら、 OKをクリックします。
- 設定を保存したら、インスタンス名の横にある設定アイコンをクリックして、設定内容をプレビューしてください。
- 設定ウィンドウには、SSO IDプロバイダーとクラウドアプリサービスプロバイダーの設定を完了するために必要な情報が表示されます。
- Netskope組織ID
- Netskope SAMLプロキシIdP URL
- Netskope SAML Proxy ACS URL
- Netskope SAMLプロキシ発行者証明書
- この情報をコピーしたら、設定ウィンドウを閉じてください。
- これらのSAMLプロキシオプションを設定するには、ページ右上のツールアイコンをクリックしてください。
- デバイス分類を有効にする: テナント UI で設定されたデバイス分類に基づいて、企業デバイスからクラウド アプリへのアクセスを制限する場合にSelect 。
- SAMLアサーションの再署名：SAMLアサーションを再署名するには、このオプションSelect 。
- 緊急バイパス：すべてのアプリがSAMLプロキシを通過できるようにするには、 Select 。
注記
緊急バイパスオプションを有効にした場合、SaaSアプリケーション上で信頼できないネットワークからのユーザーをブロックする条件付きアクセス ポリシーが設定されていると、ユーザーはSaaSアプリケーションにアクセスできなくなる可能性があります。
- カスタムブロックページ：アプリケーションがブロックされたときに表示するブロックページをドロップダウンリストからSelect 。
ヒント
CAを更新するには、このウィンドウの下部にある「置換」リンクをクリックしてください。