Microsoft Entra ID を使用したリバースプロキシ・アズ・ア・サービス

1. 管理者クレデンシャルで Microsoft Entra 管理センターにログインします。

2. Applications > Enterprise Applications に移動してNew Applicationをクリックしてください。

3. Select Create your own application。 「独自のアプリケーションを作成」ページで、アプリケーションの名前（Netskope Reverse Proxyなど）を入力し、ギャラリーにない Integrate any other application （ギャラリー以外）を選択して、 Createをクリックします。

4. Users and Groups Select 。

5. Click Add user/group and select Users and Groups (under Add Assignment).

6. RaaS機能(請負業者やサードパーティパートナーなど)を使うオプションがあるはずのユーザー名を入力または選択してください。Select をクリックしてからAssignをクリックしてください。

7. Single Sign-on Select 。

8. Click SAML on the Set up Single Sign-On with SAML page.

   1. ステップ1でEditをクリックします（Entra IDはSAML署名証明書を生成するためにこれらの値を必要とします）。

      • Add identifier: input a temporary value, like orgid

      • Add reply URL: input a temporary value, like https://proxyacs.com

      • Saveをクリックしてください。

   2. ステップ3では、SAML証明書（Base64形式）をダウンロードします。

   3. ステップ4で、 Login URLと Microsoft Entra ID Identifierをコピーします。

9. Netskopeの管理コンソールにログインし、Settings > Security Cloud Platform > Reverse Proxy > SAMLに行き、Add Accountをクリックします。Select Reverse Proxy as a Service App して、以下を入力してください:

   • Nameアプリの名前を入力してください。

   • IdP Issuer IDEntra管理センターからコピーしたMicrosoft Entra ID識別子を貼り付けてください。

   • IdP SSO URLEntra管理センターからコピーしたログインURLを貼り付けてください。

   • IdP CertificateEntra管理センターからダウンロードしたSAML署名証明書の内容を貼り付けてください。

   • アプリのランディングページ：https://login.microsoftonline.com にアクセスしてください。

     

10. Saveをクリックしてください。

11. 先ほど作成した「Reverse Proxy as a Service」アプリのNetwork Settingsをクリックし、設定ウィンドウからOrganization IDとSAML Proxy ACS URLをコピーします。

12. Entra管理センターに戻ってください。以前作成したアプリケーションのシングルサインオン設定ページが表示されていることを確認してください。Edit をクリックして、以下を入力してください。

    • Identifier ID （エンティティID）：前の手順でコピーした組織IDを貼り付けます（手順8のorgidを置き換えます）。

    • Reply URL: 前の手順でコピーした SAML プロキシ ACS URL を貼り付けます。(例:ステップ8のhttps://proxyacs.comを置き換えてください。

      

      他の Netskope サービスで SSO を構成していて、次のエラーが表示される場合:
      「組織内で一意の識別子を入力してください」
      下記の記事を参照するか、アカウント チームにテナントの複数の IDP サポートを有効にするよう依頼してください。https://support.netskope.com/s/article/Unable-to-configure-SSO-login-for-Administration-with-Azure-AD-when-Netskope-Reverse-Proxy-RPaaS-as-a-Service-is-configured .

13. Saveをクリックしてください。

RaaS アプリは、割り当てられたすべてのユーザーが次のサイトにログインすると利用できるようになります:
https:// myapps.microsoft.com .
RPaaSアプリケーション（Contoso M365など）を選択すると、ユーザーはM365のサインオンページに戻り、再認証後、M365への接続はNetskopeリバースプロキシ経由でリダイレクトされます。URLアドレスバーに通常のwww.office.comではなくoffice.com.rproxy.goskope.comが表示されていることを確認することで、これを検証してください。

条件付きアクセス ポリシーは、どのデバイスが M365 アプリケーションにアクセスできるかを制御するための基準を定義するために必要です。以下に説明するポリシーにより、 Netskopeプラットフォームからアクセスしない限り、ユーザーは M365 アプリケーションに接続できなくなります。

1. Entra管理センターに戻り、 Security > Conditional Accessを選択します。

2. Manageの下でNamed locationsを選択し、 IP ranges locationをクリックします。新しい場所に名前を付け、以下のIPアドレス範囲を追加してください。

   • 8.36.116.0/24

   • 31.186.239.0/24

   • 8.39.144.0/24

   • 163.116.128.0/17

   • 162.10.0.0/17

     FedRAM High IPの最新リストについては、 https://support.netskope.com/s/article/NewEdge-Consolidated-List-of-IP-Range-for-Allowlistingを参照してください。（サポートアカウントが必要です。）

3. Createをクリックしてください。

4. Back on the Conditional Access configuration page, select Policies and click New Policy.

5. Name the Access Policy (such as Block all non-Netskope IPs).

6. Selectポリシーの一致基準:

   • Usersこのポリシーを適用するユーザーまたはグループを選択してください。例えば請負業者

   • Target resources: Cloud apps > Select apps選択し、上記で作成した RaaS アプリ (Contoso M365 および My Apps) を選択します。

   • 条件: Locations > Exclude Netskope IPs 。

     

7. Access controls > Grant > Block accessへ移動してください。ポリシー切り替えOnとSaveを有効にします。