多要素認証では、ファイルやアプリへのアクセスなど、特定の操作を実行するために、複数のデバイスにわたって2つ以上の認証方法を提供するようユーザーに求めることができます。多要素認証の機能の一つであるステップアップ認証は、ユーザーがその行動を正当化することを可能にする。つまり、単にユーザーが操作を実行するのをブロックするのではなく、認証後にユーザーが操作を実行できるようにするということです。
重要
多要素認証を正常に機能させるには、プロビジョニングされたNetskope Clientユーザー名とIdPのユーザー名が一致している必要があります。 そうでない場合、多要素認証は失敗し、開錠されます。ユーザーには多要素認証を求められず、アクティビティが許可されます。
認証を強化するには、まずOktaまたはRSAとの直接API統合が必要です。 。 これは、すでに設定されている管理コンソールの SSO またはフォワード プロキシ SAML 構成とは別のものであり、クレデンシャルを再利用しません。 この連携には、組織のURLと、この連携専用に生成されたAPIトークン（NetskopeのUIでは「組織キー」と表示されます）が必要です。これらを入手したら、 Settings > Manage > Multi-Factor Authentication Integrationへ進んでください。現在サポートされているのはOktaとRSAのみです。これらの値を生成するための最新の手順については、OktaまたはRSAの管理者向けドキュメントを参照してください。これらの値はすべてIdP側で管理されています。
注記
テナントごとに、多要素認証の統合は1つしか設定できません。 テナントごとに。
Oktaを多要素認証用に設定する
- 多要素認証統合ページで、 Oktaをクリックして「IDプロバイダーの接続」ダイアログボックスを開きます。
- Configure these parameters:
- IDプロバイダー：ドロップダウンリストにはOktaが表示され、変更できません。
- モード： Push NotifyまたはOTP （ワンタイムパスワード） Select
プッシュ通知を使用する場合、ユーザーは登録済みのOktaアプリ上で認証試行を承認する必要があります。開始されると、ユーザーは登録済みのOktaアプリにプッシュ通知を受け取り、認証試行を承認または拒否するよう求められます。
OTPを使用する場合、ユーザーは認証パスワードの入力を求められます。ユーザーは、登録済みのOktaアプリのパスワードを所定の欄に入力する必要があります。
- 組織URL: OktaへのAPIリクエストが送信されるURLを入力してください。
ヒント
Okta の多要素認証のライセンスには、必要な組織 URL とキーが記載されているはずです。
- 組織キー：OktaのAPIキーコードを入力してください。
- Saveをクリックしてください。
多要素認証用にRSAを設定する
- 多要素認証統合ページで、 RSAをクリックして「IDプロバイダーの接続」ダイアログボックスを開きます。
- Configure these parameters:
- IDプロバイダー：ドロップダウンリストにはRSAが表示されており、変更できません。
- 展開: ApplianceまたはCloud Select 。
- モード：各デプロイメントタイプには、異なるモードオプションがあります。
- アプライアンス: モードは1つだけです、 SecurID 。
SecurIDを使用する場合、ユーザーは認証トークンコードの入力を求められます。ユーザーは、RSA Authentication Manager (AM) で設定されたプロファイルに基づいて、トークンコードとPINの組み合わせを所定のフィールドに入力する必要があります。
注記
アプライアンスの RSA AM がカスタム RSA 証明書 (通常はデフォルト) を使用している場合、 Netskope RSA API の呼び出し中に RSA AM を認証できません。 RSA AMのカスタムCA証明書をNetskope UIに追加して認証する必要があります。カスタム CA 証明書をアップロードするには、[証明書] の[信頼された証明書] を参照してください。
RSA SecurIDは、PINパッド式（PINとトークンが統合されている）、フォブ式（PINの後にトークンが続く）、トークンコード式（PIN不要）など、さまざまな認証方式をサポートしています。最初の2種類の認証方法では、ユーザーは認証を受けるためにPINとトークン（デバイスに表示される）の両方が必要です。最後のタイプはPINコードを必要としません。
Netskopeは3種類の認証方式すべてに対応していますが、Netskopeを通してPINを生成することはできません。RSA上でユーザーを作成する際、および既存のPINの有効期限が切れる際には、PINを設定する必要があります。どちらの場合も、アプリの認証を試みると、 Netskope 「PIN の有効期限が切れました」というメッセージを表示します。 PINを設定してもう一度挑戦してください。」 管理者に連絡するか、管理者から提供された RSA-SSC (セルフサービス コンソール) ページを通じて新しい PIN を設定する必要があります。
- クラウド： TokenまたはApprove Select 。
トークンを使用する場合、ユーザーは認証トークンコードの入力を求められます。ユーザーは、登録済みのRSA Authenticateアプリから取得したトークンコードを、指定されたフィールドに入力する必要があります。
承認機能を使用する場合、ユーザーは登録済みのRSA Authenticateアプリ上で認証試行を承認する必要があります。認証が開始されると、ユーザーは登録済みのRSA Authenticateアプリにプッシュ通知を受け取り、認証試行を承認または拒否するよう求められます。
- アプライアンス: モードは1つだけです、 SecurID 。
- 組織URL: RSAのAPIリクエストが送信されるURLを入力してください。
ヒント
RSAを使用した多要素認証のライセンスには、必要な組織URLとクライアントキーが記載されているはずです。
- クライアントキー：RSA用のAPIキーコードを入力してください。
- クライアントID：（アプライアンスのみ）クライアントIDを入力します。
- Saveをクリックしてください。
ポリシーアクションで多要素認証を使用する
リアルタイム保護ポリシーを設定する際は、「アクション」セクションで「多要素認証」を選択してください。このようにすることで、例えばユーザーがDLP違反を犯した場合でも、認証を提供することで、本来であれば実行できないはずの機能を実行できるようになります。
多要素認証は、ユーザーへのアラートも可能なアクティビティに対してのみ、アクションとして利用できます。