認証のためのSAML設定 - Netskope技術文書

SAMLフォワードプロキシは、この手順に従って、アサーションコンシューマーサービス（ACS）URL、IdP URL、およびIdP証明書を使用して構成する必要があります。

認証のためのSAML設定を構成する前に

SAML認証設定を行う前に知っておくべきこと。

R121以降、IdPは部分的に設定および更新することができ、ACS URLとメタデータをより簡単に取得してIdPに配置することができるようになりました。
REST API呼び出しによるIDプロバイダーの作成は、一般提供（GA）が制限されている機能です。これを有効にするには、 Netskopeサポートまたはアカウントエグゼクティブにお問い合わせください。
このセクションの手順は、管理者以外のユーザーにのみ適用されます。管理者ユーザー向けのSSO設定手順については、「管理者向けシングルサインオン」セクションを参照してください。

Netskope SAML設定を取得する

Netskope WebUIにログインしてください
Settings > Security Cloud Platformに移動し、[フォワードプロキシ] の下のSAMLをクリックします。

IdPでNetskopeアプリを設定する際は、 Netskope WebUIのSettings > Administration > SSOページからメタデータと証明書を取得します。
IdPアカウントが既に作成されている場合は、そのIdPアカウントでNetskope Settings をクリックし、以下をコピーしてください。

NetskopeでIdPアカウントを作成する方法の詳細については、「新しいフォワードプロキシIdPサービスの追加」セクションを参照してください。
- SAML Entity ID
- SAML Proxy ACS URL:
- Download CERTIFICATE

新しいフォワードプロキシIdPサービスを追加する

新しい IdP を認証サービスとして追加するには、次の手順を実行します。

Settings > Security Cloud Platform > Forward Proxy > SAMLへ移動してください。
NEW ACCOUNTボタンをクリックしてください。New Accountポップアップウィンドウに、以下を入力してください。
- NameIdPサービスを識別するための名前を指定してください。
- Access Method: このIdPサービスへのアクセス方法Select 。このIdPサービス。
  - All – すべてのアクセス方法に対して IdP サービスを使用する。
  - IPSec – このオプションSelectと IPsecアクセス方式用のIdPサービス。より詳細な制御を行うには、すべてのトンネルまたは特定のトンネルに対してIdPサービスを有効にすることができます。特定のトンネルに対してこのIdPを有効にするには、リストから特定のトンネルを選択し、次にIPSecトンネルのリストからそのトンネルを選択します。
    
    まだIPSecトンネルを設定していない場合は、歯車アイコンをクリックしてIPSecトンネル作成インターフェースにアクセスしてください。
  - GRE – GRE アクセス方式に IdP サービスを使用する。より詳細な制御を行うには、すべてのトンネルまたは特定のトンネルに対してIdPサービスを有効にすることができます。特定のトンネルでこのIdPを有効にするには、「特定のトンネル」を選択し、GREトンネルリストから該当するトンネルを選択します。
  - Client Enrollment – クライアント登録ワークフローに IdP サービスを使用します。
  - Cloud Explicit Proxy – アクセス方法がNetskopeプロキシ経由の場合のIdPサービス。
IdP Configuration – [設定] タブで、IdP サービスを設定するために、以下の詳細を入力します。
- IDP SSO URL: これはURLですユーザーを認証のためにIdPサイトにリダイレクトするためのものです。サードパーティの ID プロバイダーに連絡し、このフィールドに一意の IdP ログイン URL を追加します。
- IDP Entity IDエンティティIDとは、SAMLエンティティ（IDプロバイダー（IdP）またはサービスプロバイダー（SP））のグローバルに一意な名前です。
- IDP Certificateこの欄に、第三者IDプロバイダーの証明書をアップロードしてください。これは、NetskopeがSAMLアサーションの署名を検証するために必要です。
- SAML Binding MethodIdPとテナント間の通信方法として、HTTP POSTまたはHTTP RedirectのいずれかSelect 。
- Alternate User Id Field Netskopeは、SAMLアサーションのNameIDフィールドを参照してユーザーIDを取得します。ご希望の場合はユーザー識別用の別のフィールドを追加したい場合は、このフィールドにSAML属性の名前を入力してください。ステータス切り替えボタンSelect 、IdPサービスを有効または無効にします。
  
  SAVEをクリックしてください。
Options タブ。これらはオプション設定です。このタブでは、IdP サービスに対してきめ細かな制御を指定できるため、IdP は特定の条件 (ネットワークの場所や認証ドメインなど) が一致した場合にのみ有効になります。

REST APIを使用して新しいフォワードプロキシIdPサービスを追加する

SAML IdPアカウントの作成には、GET、POST（作成）、PATCH（更新）、およびDELETEがサポートされています。

詳細については、 Rest API v2およびテナントの Swagger API ドキュメント（https://<your_tenant>.netskope.com/apidocs/?include_beta_routes=0）を参照してください。

フォワードプロキシのグローバル設定

管理者はこのページからユーザー認証設定を構成できます。 Cookieサロゲートを有効にしたり、認証更新間隔を変更したり、ユーザー認証ドメイン更新間隔を変更したりできます。さらに、認証が不要な特定のドメインやウェブカテゴリをスキップすることも可能です。

IPサロゲートを使う

SAMLフォワードプロキシ認証では、IPサロゲートがデフォルトで有効になっています。Netskopeサービスは、ユーザーベースまたはグループベースのポリシー評価のために、ユーザーをプライベートIPアドレスにマッピングします。ユーザーとプライベートIPアドレスのマッピングは、設定された認証更新間隔に基づいて期限切れとなります。

クッキーサロゲートを使う

Cookieサロゲートは、ユーザーがNATの背後にいる場合に便利です。 Netskope Security Cloud Platform 、NATの背後にいるすべてのユーザーに対して同じIPアドレスを認識します。この機能が有効になっている場合、Cookie サロゲートは、ユーザー ID を取得するための Cookie を使用してこれを解決します。この目的のために、NATのプライベートIPアドレスを入力してください。

Cookie サロゲートを使用するには、 Settings > Security Cloud Platform > Forward Proxy > SAML 」に移動し、 Settingsをクリックします。 SettingsポップアップでEnable Cookie Surrogateトグルを有効にし、送信元IPアドレス（例：1.1.1.1）を入力します。またはサブネット（例：1.1.1.0/24）「送信元IPアドレス」テキストフィールドにクッキーサロゲートを入力し、 + ボタンをクリックします。

デスクトップアプリケーション用のCookie代替品

Cookie リダイレクトを尊重しないデスクトップ上のネイティブアプリ、または Cookie を転送したりリダイレクトをサポートしたりするブラウザ ( .jsや.cssなど) からのバックグランドトラフィックでは、ユーザー ID が利用できない場合があります。ユーザーIDが利用できない場合：

特定のアプリ、インスタンス、SSL復号化などへのアクセスに関するユーザー固有のポリシーは適用されません。
イベント（アプリケーション/ページ）にはユーザー情報は表示されませんが、ユーザーのIPアドレスは表示されます。
Cookieサロゲートを使用する場合、IdP認証はCookieに依存するため、ブラウザインスタンスごとに実行されます。
デバイス情報は、Cookieサロゲートではサポートされていません。
対策としては、問題のあるドメインに対する認証をバイパスすることなどが挙げられる。

IPSec/GRE Cookieサロゲートの制限事項

ウェブサイトの構造やクロスオリジンリソース共有（CORS）ポリシーによっては、nspatokenクッキーが省略されたり、リクエストの一部として送信できない場合があります。ユーザー認証の際、NetskopeはNetskopeサービスとユーザーのブラウザ間でnspatokenクッキーを設定および受信することにより、ユーザーの身元を確立します。ブラウザからの後続のリクエストにnspatokenが含まれていない場合、Netskopeは接続をブロックします。Netskopeは、ユーザーセッションの検証と通信の承認にトークンを必要とするためです。

更新間隔設定

SettingsポップアップのAuthenticationタブで、認証更新間隔とユーザー認証ドメイン更新間隔を設定できます。

認証更新間隔

このオプションは、IPサロゲートとCookieサロゲートトークンの両方に適用されます。認証トークンを一定期間後に更新するには、認証更新間隔の日数と時間を入力してください。デフォルト値は7日間、最小値は1時間、最大値は180日間です。

IPSec、GRE、またはEPoTの展開では、エンドデバイスから次のPOSTリクエストを実行することで、トンネルの背後にあるIPサロゲートの特定のユーザーとIPのマッピングを強制的に期限切れにすることができます。

curl -X POST -H "X-NS-REMOVE-AUTH-ENTRY: 1" -H "Content-Type: application/json" -d "{"comment": "<enter your comment>"}" https://nsauth-<enter your tenant>.goskope.com/

インラインユーザーのIPサロゲートが削除されると、監査イベントが生成されます。このアクティビティは、curlコマンド内で「認証エントリを削除しました」という名前と、それに続くあなたのコメントとして表示されます。監査イベントを表示するには、 Settings > Administration > Audit Logsに移動してください。

ユーザー認証ドメインの更新間隔

IdP選択用のユーザー認証ドメインを設定すると、ユーザーにIDの入力を求める頻度を制御できます。ユーザー認証ドメインの更新間隔（日数と時間）を入力してください。この機能はオプションです。デフォルト値は7日間、最小値は1時間、最大値は180日間です。

バイパス設定

ユーザー認証が不要なドメイン、ウェブカテゴリ、ネットワークIPアドレスを指定できます。認証バイパス設定を指定するには、 Settings > Security Cloud Platform > Forward Proxy > SAMLに移動してSettingsをクリックします。SettingsポップアップでBypassタブをクリックします。

ドメインバイパス

クリックして、カンマ区切りのURLを追加し、バイパスしてください。完了したら、 Saveをクリックしてください。

ここにIDプロバイダーのドメインを追加することをお勧めします。

ウェブカテゴリバイパス

クリックして、バイパスするURLをカンマ区切りで追加します。完了したら、 Saveをクリックしてください。

送信元IPアドレスバイパス

クリックしてソースネットワークを編集および検索します。検出された各ネットワークについて、ユーザーIPアドレスまたは送信元IPアドレスのいずれかに基づいてバイパスするかどうかを選択できます（両方ではなく、どちらか一方のみ）。テキストフィールドにIPアドレス、IPアドレス範囲、またはCIDRネットマスクを入力してください。クリック複数のネットワーク拠点を追加するためのアイコン。ネットワークの場所を追加したら、 Saveをクリックします。