IPSecおよびGREトンネルのユーザー認証方法

トンネルのトラフィックを制御し、ユーザーを識別するには、次のいずれかの方法を使用できます。

Netskope Client設定

Netskope 、デバイス上で証明書配布を容易にし、リモートユーザーへのカバレッジを提供するために Netskope Client のインストールと設定を強く推奨します。 Netskope ClientはユーザーIDを直接Netskopeに提供するため、IPSecやGREトンネルでの認証を実装する必要がありません。Netskope Clientをインストールすると、デバイスやユーザー情報をNetskopeクラウドに送信し、ポリシー違反によるユーザー向け通知を表示できます。

ユーザー通知を有効にするには：

Settings > Security Cloud Platform > Devicesへ移動してください。
Client Configurationsをクリックしてください。
Netskope Client設定をクリックして、違反が発生した際に通知を送信したいユーザーを選択します。違反。
Client ConfigurationウィンドウのTunnel Settingsの下で、 Enable device classification and client-based end user notifications when the client is not tunneling trafficを選択します。
注記
Netskope Client複数ユーザーによる同時ログインをサポートしています。ただし、 Enable device classification and client-based end user notifications when the client is not tunneling trafficを選択した場合は、複数ユーザーによる同時ログインはサポートされません。

Netskope Client 、IPSec または GRE トンネルを検出すると、 Netskopeクラウドへのデータトンネル (つまり、TLS トンネル) を無効にしますが、ユーザー ID をNetskopeに送信し続け、エンドポイントでのユーザー通知を容易にします。ただし、閲覧できるのは1人のユーザーのログイン情報のみです。Netskope Clientマルチユーザーデバイス (ターミナルサーバーなど) にマルチユーザーモードでインストールした場合、複数のユーザーが同時にデバイスにログインすると、 Netskopeデバイスに関連付けられている最初のユーザーのみをログに記録し、レポートします。

また、 Netskope Cloud Firewall を使用しており、 Netskope Client使用している場合は、ユーザーおよびグループベースのポリシーを活用できます。

デバイスへの証明書のプロビジョニング

証明書をプロビジョニングする必要があるのは、 Netskope Clientインストールされていないユーザーのみ。

NetskopeルートCA証明書をダウンロードして、ユーザーのデバイスにプロビジョニングするには：

証明書をダウンロードするには、 Settings > Manage > Certificatesにアクセスしてください。
Signing CAタブをクリックしてください。
Netskope Certificateで、 Root CAの場合は、クリックします。
ユーザーのデバイスに証明書をプロビジョニングしてください。詳細については、該当デバイスの製品ドキュメントを参照してください。
証明書のエラー設定を管理します。

SAML認証を使う

もしNetskope Clientお持ちでない場合は、 IPSecまたはGRE経由でトラフィックがトンネル化される前に、SAMLを使用してIDプロバイダー（IdP）でユーザーを認証できます。 NetskopeをIdPの認証モードとして統合する必要があります。この方法は、認証後にNetskopeのフレームワークとIdPの認証アサーションを受け取る認証モジュールとして機能します。詳細については、フォワードプロキシ認証を参照してください。

IPSecにおけるフォワードプロキシSAML認証の設定に関するビデオをご覧ください。

SAML認証を有効にする

トンネルでSAML認証を有効にするには：

Settings > Security Cloud Platform > Forward Proxy > Authenticationへ移動してください。
AuthenticationでEnable Authenticationをクリックします。
Enable AuthenticationウィンドウでEnabledを選択します。
SAML Accountの下で、 Create Newをクリックしてください。
New Accountウィンドウでは：
- NameSAMLアカウントを識別する名前を入力してください。
- Setupタブで：
  - IdP SSO URL: コンタクト、あなたのサードパーティのIDPを登録し、固有のIdPログインURLを入力してください。
  - IdP Entity IDSAMLエンティティのグローバル一意IDを入力してください。
  - IdP CertificateサードパーティのIDプロバイダーのPEM形式の証明書をコピーして貼り付けてください。NetskopeはSAMLアサーションの署名を検証するためにこの情報を必要とします。
- Optionsタブで：
  - Alternate User ID FieldNetskopeは、SAMLアサーションのNameIDフィールドを参照してユーザーIDを取得します。必要に応じてユーザー識別用の別のフィールドを追加する場合は、SAML属性の名前を入力してください。
  - Group Attributeエンティティのユーザーグループとロールのメンバーシップを識別および説明するために、名前と値のペアを入力してください。
Saveをクリックしてください。

認証バイパス設定の構成

トンネルでSAML認証を有効にした後、ユーザー認証を必要としないドメイン、ウェブカテゴリ、およびネットワークIPアドレスを指定できます。

ドメインバイパスの追加

ドメインバイパスを追加するには：

Settings > Security Cloud Platform > Forward Proxy > Authenticationへ移動してください。
Bypass Settings Domain Bypassの下で、 Editをクリックします。
Domain Bypassウィンドウに、トンネルをバイパスしたい URL を追加します。各URLエントリは、カンマで区切るか、新しい行に追加してください。
ヒント
Netskopeは、IdPドメインを追加することをお勧めします。
Saveをクリックしてください。

ウェブカテゴリバイパスの追加

ウェブカテゴリバイパスを追加するには：

Settings > Security Cloud Platform > Forward Proxy > Authenticationへ移動してください。
Bypass Settings Web Category Bypassの下で、 Editをクリックします。
Web Category Bypassウィンドウで、トンネルから回避したいデフォルトまたはカスタムのウェブカテゴリを選択してください。
Saveをクリックしてください。

送信元IPアドレスバイパスの追加

送信元IPアドレスバイパスを追加するには：

Settings > Security Cloud Platform > Forward Proxy > Authenticationへ移動してください。
Bypass Settings Source IP Address Bypassの下で、 Editをクリックします。
Source IP Address Bypassウィンドウで、トンネルをバイパスしたいネットワークの場所を選択します。ネットワークのUser IPまたはEgress IPのいずれかをバイパスすることを選択できます。
ネットワークの場所を追加する場合は、 +Newをクリックしてください。ネットワークロケーションプロファイルを参照してください。
Saveをクリックしてください。