Entra IDを使用したSAML認証

NetskopeクロスドメインID管理システム（SCIM）標準を利用して、ユーザーライフサイクル管理を自動化し、Microsoft Entra IDからNetskope Security Cloud PlatformへIDデータを同期します。 この統合により、ユーザーアカウントとグループメンバーシップの自動作成、更新、および無効化がサポートされ、セキュリティインフラストラクチャ全体でIDの一貫性が確保されます。

SAMLハンドシェイクを開始する前に、NetskopeテナントがMicrosoft Entra IDからのトラフィックを許可するように構成されていること、およびサービスレベルの通信用のセキュアアクセストークンが生成されていることを確認してください。

Entra ID を使用したプロビジョニングの前提条件

設定を開始する前に、以下のものを用意してください。

• Administrative Access: Microsoft Entra 管理センターにおけるグローバル管理者権限。

• Network Requirements: もし IP許可リストを使用している場合は、Microsoft Entra IDの送信元IPアドレスをNetskopeカスタムIPリスト（ Settings > Administration > IP Allowlist ）に追加してください。

• Authentication Token: 永続的な統合を保証するために、Netskope テナントの WebUI のサービス アカウントを介して生成された RBAC v3 トークン。

  トークンの作成方法については、こちらのヘルプトピックを参照してください。

  

推奨される操作手順

NetskopeとMicrosoft Entra ID間のSAML設定は、どちらのプラットフォームからも開始可能です。しかし、Microsoft Entra IDで設定を開始すると循環依存関係が生じます。Microsoft Entra IDのBasic SAML構成では、セットアップを進める前に識別子(エンティティID)と応答URL(ACS URL)が必要ですが、Netskopeは対応するIdP構成が作成された後にのみこれらの値を生成します。

以下のワークフロー 使う一時的なプレースホルダー値を用いて、この依存関係を解決し、管理者がまずMicrosoft Entra IDで設定を完了し、利用可能な正しい値に更新できるようにします。

1. Enter Temporary Values in Microsoft Entra ID.Microsoft Entra IDのNetskopeエンタープライズアプリケーションのBasic SAML設定では、 Identifier (エンティティID)および Reply URL 10(アサーション消費者サービスURL)フィールドの一時的なプレースホルダー値を入力します。例えば、 https://placeholder。残りの設定に進むには、 Saveをクリックしてください。

2. Complete the Configuration in Microsoft Entra IDこの記事の後半で説明するように属性とクレームを設定し、SAML署名証明書（Base64形式）をダウンロードして、SAML構成ページからログインURLとMicrosoftエントリ識別子の値をコピーします。

3. Create the SAML Account in Netskope.Netskope管理コンソールで Settings > Security Cloud Platform > Forward Proxy > SAML に移動し、 New Accountをクリックします。Login URLをIDP SSO URLとして入力し、Microsoft Entra識別子をIDPエンティティIDとして入力して、証明書をアップロードしてください。設定を保存します。

4. Retrieve the Actual Values from Netskope.保存後、新しく作成したSAMLアカウントの横にあるNetskope設定(または設定アイコン)をクリックすると、実際の SAML Entity ID と SAML Proxy ACS URLが表示されます。

5. Update Microsoft Entra ID with the Correct ValuesMicrosoft Entra ID の基本 SAML 構成に戻り、プレースホルダーの値を実際のSAML Entity ID (識別子フィールド) とSAML Proxy ACS URL (応答 URL フィールド) に置き換えます。変更を保存してください。

Netskope SAMLアプリの作成

このセクションでは、Microsoft Entra App Gallery から公式の Netskope ユーザー認証アプリケーションを見つけて展開し、シングルサインオン (SSO) のゲートウェイとして使用する手順について説明します。

1. Microsoft Entra管理センター（https://entra.microsoft.com）にログインしてください。

2. Applications > Enterprise Applicationsに移動してNew Applicationをクリックしてください。

3. 検索バーに「Netskope」と入力してください。Netskopeユーザー認証Select 。 名前を入力してください。例えば、Netskope Authentication (例) など。Createをクリックしてください。

   選択したアプリケーション名（例： Netskope Authentication ）が、マイアプリポータルに表示されます。

   

4. アプリが作成されると、アプリの概要ページにリダイレクトされます。Single sign-on > SAML Select 。

   

5. Edit をクリックして、基本SAML設定パラメータを入力してください。

基本的なSAML設定

このセクションでは、Netskopeテナントにある固有のエンティティIDとアサーションコンシューマーサービス（ACS）URLを交換することにより、2つのプラットフォーム間の技術的な接続を確立する手順を説明します。

1. Edit をクリックして、基本SAML設定パラメータを入力してください。

   

2. Netskope UI からコピーしたNetskope Entity IDとNetskope ACS URL必須フィールドに入力し、 Saveをクリックします。

   IDP分野	Netskopeフィールド
   識別子（エンティティID）	SAMLエンティティID
   返信URL	SAML ACS URL

   Netskope Entity IDとNetskope ACS URLを取得するには、Netskopeテナントにログインして、以下の手順を実行してください。

   1. Settings > SAMLに移動します（フォワードプロキシの下）。New Accountをクリックしてください。「新しいアカウント」ポップアップのステップ 1 で、「 Account Nameを入力し、 SAMLを選択します。 Save and Continueクリックします。

   2. New Accountポップアップのステップ2では、 Netskope SettingsタブにSAML Entity IDとSAML ACS URL 、そしてダウンロード用のSAML CertificateとNetskope Metadataが表示されます。

      

      Netskope ACS URLにプレースホルダーが含まれている場合は、Netskope UIのSettings > Security Cloud Platform > MDM Distribution （ Netskope Clientの下）で特定のOrganization ID見つけることができます。組織キーはこちらでご確認ください。

SSOのテストを行うよう求められます。No, I’ll test later Select 。

ユーザー属性とクレーム

このセクションでは、Entra ID が SAML アサーション内でNetskopeに渡す必要がある特定の ID データ (例: アドレス) を設定する手順について説明します。これらのデータは、ユーザーを一意に識別および認証するために使用されます。

1. Attributes & Claimsセクションに移動して編集してください。

   

   デフォルトの追加請求をすべて削除します。必要なのは、必須の請求だけです。

2. 固有ユーザー識別子（名前ID）フィールドを編集する値Select 。

   

3. Source attributeをuser.mailに設定してSaveをクリックしてください。

   

4. user.mail は、名前 ID のクレーム値として設定されます。このセクションを閉じるには、×をクリックしてください。

統合とユーザー割り当ての最終調整

このセクションでは、Entra IDセキュリティ証明書をダウンロードし、 Netskopeのアクセスを許可された特定のユーザーまたはグループを割り当てることで統合を完了する手順を説明します。 SSO経由で。

1. 証明書を証明書（Base64）形式でダウンロードし、ログインURLとAzure AD識別子の値をコピーしてください。これらは後ほどNetskope Forward Proxy – SAML設定ページに入力する必要があります。

   

2. 次に、ログインするユーザーを割り当てます Entra ID SAML認証。 Users and Groupsへ移動 > user/groupを追加。

   

3. Select ユーザーとグループ。 ユーザーSelect、そしてSelectをクリックします。

4. この手順を完了するには、 Assignをクリックしてください。この手順により、選択したIDに対してSSOアプリが有効になります。

   

トラブルシューティングのヒント

• Entity ID / ACS URL not visible in Netskope: New IDP InstanceまたはAdd Newをクリックしたことを確認してください。フォームを開くと、設定フォームのService Provider DetailsまたはSP Metadataの下に値が表示されます。

• Multiple IdP instances: 各新しい IDP インスタンスは独自の固有のエンティティIDとACS URLの値を生成します。 正しいインスタンスからコピーしていることを確認してください。

• Metadata upload fails: Entra IDからダウンロードしたXMLファイルが改変されておらず、有効な署名証明書が含まれていることを確認してください。