この記事では、DNS、Kerberos、WINSなどのMicrosoft Active Directoryドメインサービス向けにNetskope Private Access（NPA）アプリケーションを構成する方法について説明します。
多くの場合、顧客はオンプレミス環境と同様のエンドユーザーエクスペリエンスを モバイルワークフォース向けのWindows Active Directoryドメインサービスでも求めています。 例えば、会社が管理する Active Directory ドメインに参加しているリモート作業ユーザーが オンプレミスのアプリケーションに接続したい場合、 Windows 統合認証を使用している場合、パスワードの入力を求められるべきではありません。
Netskope Private Accessを使用すると、管理者はドメインサービスの利用環境をリモートユーザーに便利かつ安全に拡張できます。
 |
パブリッシャーDNS機能を有効にして、プライベートアプリのDNSを設定する
エンドユーザーがリモートで Active Directory ドメイン サービスとファイル共有を使用できるようにするための最初のステップは、内部 Active Directory ドメインのネイティブなパススルーDNS 解決を構成することです。 Netskope Private Accessのデフォルト設定では、各プライベートアプリケーションは、DNSクエリ応答でユーザーに返される、ルーティング不可能な人工的なIPアドレスによってクライアントに表現されます。
例えば、オンプレミスのプライベートアプリケーションにIPアドレス10.0.0.10がある場合、 NPA パブリッシャーはこのIPアドレスに使うアクセスしますが、エンドユーザーは191.1.1.5のような人工IPアドレスを受け取ります 管理対象デバイスからDNSクエリを実行する際に。使う Windows ドメインサービスを利用するには、ユーザーは Windows ドメインコントローラーの実際の IP アドレスを使う必要があります。 これを実現するには、パブリッシャーDNS機能を有効にしたプライベートアプリケーションをDNS用に構成する必要があります。このプライベートDNSアプリケーションは、ユーザーがリモートデバイスからActive Directoryドメインへの参加、Active Directoryグループのポリシーの照会、FSMOロールを可能にします。
建築上の考慮事項
- Active Directoryサーバーと同じ場所に設置されたデータセンター/クラウドごとにパブリッシャーをデプロイします。
- フォレスト内のすべての Active Directory ドメイン (
example.com、apac.example.com、europe.example.comなど) には、<Active Directory DNS>と<Active Directory Domain>プライベート アプリ定義 (以下の手順のプライベート アプリ定義の例を参照) が必要となり、それぞれの場所に基づいて適切な発行元にマッピングされます。
プライベートアプリ定義を作成するには、Netskope UIにログインし、 Settings > Security Cloud Platform > App Definition > Private Appsに移動します。Active Directory DNS用とActive Directoryドメイン用の2つの新しいプライベートアプリ定義を作成します。
- ディレクトリDNSへのアクセスを提供するプライベートアプリを作成します。このケースでは、 domain.localはあなたのローカルドメインです。 New Private Appをクリックして、以下のパラメータを入力してください。
- アプリケーション名：Active Directory DNS など、名前を入力してください。（または、あなたがお好きなように。）
- ホスト: これらのホストを入力してください:
*._http.domain.local*._https.domain.local*._kkdcp.domain.local*._msdcs.domain.local*._tcp.domain.local*._udp.domain.local*._sites.domain.local
- TCP: Enter
53. - UDP: Enter
53. - パブリッシャー：ローカル内部DNSサーバーのリソースにアクセスできるパブリッシャーSelect 。
- 使う Publisher DNS: このトグルを有効にします。
- Saveをクリックしてください。
- ユーザーが管理対象デバイスからWindowsドメインコントローラーにアクセスできるようにするプライベートアプリ定義を作成します。
以前に設定したアプリケーションはドメインコントローラのエンドユーザー内部IPアドレスを返すため、Netskope Private Access経由でアクセスできるように、すべてのドメインコントローラのIPアドレスを含むプライベートアプリケーションを設定する必要があります。New Private Appをクリックして、以下のパラメータを入力してください。
- アプリケーション名：Active Directoryドメインなど（またはお好みの名前）を入力してください。
- ホスト: パブリッシャーと同じサイトに設置されているすべてのActive DirectoryサーバーのFQDNとIPアドレスを入力してください。
- TCP: Enter
53,88,135,137,139,389,445,464,636,1512,3268,3269,5357,49152-65535. - UDP: Enter
53,88,123,135,137,138,389,464,1512,5357,49152-65535 - パブリッシャー：ADサーバーと同じ場所に設置されているパブリッシャーSelect 。
- 使う Publisher DNS: このトグルを有効にします。
- Saveをクリックしてください。
- 新しいプライベート アプリ アクセス ポリシーを作成するには、環境に固有の基準を使用します。 Policies > Real-time Protectionに移動して既存のポリシーを編集するか、 New PolicyをクリックしてPrivate App Accessを選択します。
- パラメータを入力してください 環境固有の基準を入力してください。
- 出典：適切なものSelect 。
- 宛先: Private App Select 、作成したプライベート アプリ定義を選択します (この例では、Active Directory DNS と Active Directory ドメイン)。
- プロフィール&アクション: Select Allow。
- ポリシーの設定: ポリシーの名前を入力します (任意の名前)。
- 状態：この切り替えを有効にする。
- Saveをクリックしてください。
- Apply Changesをクリックしてください。
Active Directory ポート定義
| ポート番号 | プロトコル | サービスデスクリプション |
|---|---|---|
| 53 | TCP/UDP | DNS |
| 88 | TCP/UDP | Kerberos |
| 123 | UDP | NTP / 時刻 |
| 135 | TCP | RPC エンドポイント マッパー |
| 389 | TCP/UDP | LDAP / CLDAP |
| 445 | TCP | CIFS / SMB |
| 464 | TCP/UDP | Kerberosパスワードの変更 |
| 636 | TCP | LDAPS |
| 3268 | TCP | Global Catalog LDAP |
| 3269 | TCP | Global Catalog LDAPS |
| 9389 | TCP | ADWS (Powershell で使う) |
| 49152-65535 | TCP | RPC用の高ポート |
上記の構成では：
- ホストリモート はドメインコントローラーにアクセスします ドメインSRVレコード
_gc._tcp.<yourwindowsdomain.com>と_ldap._tcp._sites.DomainDnsZones. yourwindowsdomain.comなので、先ほどのスクリーンショットに示すように、WindowsドメインサービスのすべてのDNSクエリをカバーするために、WindowsアンダースコアゾーンとフォレストおよびドメインDNSゾーンをワイルドカードFQDNで定義します。 - ポート: ポート 53 は DNS トラフィックに使用する必要があります。
Netskope Private AccessでSCCMを有効にする
すでにSCCMリソースへのアクセスに最適な場所にPublishersを展開しているなら、最初のステップはNetskope Private Accessを通じたActive Directoryサービスを展開する際のベストプラクティスを踏んでいることを確認することです。これにより、Kerberos、SRV解決、その他のサービスが、SCCMの適切な認証と選択のために利用可能であることが保証されます。
Active Directoryが正しく構成されている場合は、以下の手順に従ってNPA経由でSCCMを構成できます。
- Active Directoryサイトに基づいて境界グループを定義します 発行元のIPアドレスまたはRFC 1918サブネット。
- SCCMリソースのアプリケーション定義を定義します。
- SCCMリソースへのアクセスを可能にするリアルタイム保護ポリシーを作成します。
詳細については、 SCCM と製品: Netskope Private Access を参照してください。