目次

質問

環境

症状

回避策 1

回避策 2

質問

ID プロバイダーが開始したフローと NTLM を使用した SaaS で、ユーザが認証を求められるのはなぜですか。

環境

- AsyncOS バージョン 7.0 以降が稼働する Cisco Web セキュリティ アプライアンス（WSA）

- トランスペアレント認証に使用する NTLM

- ID プロバイダーが開始したフローを使用して設定された SaaS アクセス制御

- 設定された SaaS SSO

ID プロバイダーが開始したフローおよびシングル サインオン用 SAML を使用した、外部アプリケーション用に設定された SaaS アクセス制御があります。 また、透過的にユーザを認証するために NTLM を使用しています。 しかし、このプロンプトを表示しないようにするにはどうしたらよいですか。

症状

- ユーザが SaaS SSO URL のブックマークをクリックすると、認証プロンプトが表示される場合があります。

- ユーザが別の外部 Web サイトにアクセスし、SaaS SSO URL のブックマークをクリックした場合、正常にアクセスできます。

この問題は、WSA に示されるクライアントからの最初の要求が、WSA から直接提供される特別な SSO URL に対するものである場合に発生します。

WSA から直接提供されるコンテンツ（EUN ページまたは PAC ファイルなど）は認証から除外されます。 SaaS 機能はプロキシによって管理される認証サロゲートにアクセスできますが、それ自体はフォームベース認証（NTLM または LDAP）以外の方法を使用して認証を要求することはできません。 したがって、確認された動作は設計どおりですが、最適なソリューションではありません。

この問題をトラックし、この問題に対処するためのより良いメカニズムを提供するため、不具合 CSCzv55859 を提出済みです。

次の 2 つの回避策が適用できます。

回避策 1

1. まず 1 つは、SaaS 設定でサービス プロバイダーが開始したフローを使用することです。 SP が開始したフローでは、ユーザは対象の SaaS アプリケーションを参照することから開始します。次に SSO URL を介してリダイレクトが発行されます。

- この最初のトラフィックがプロキシを経由するため、ユーザは NTLM を使用して正常に認証されます。 この回避策は、対象のアプリケーションが、SP が開始したフローをサポートする場合のみ有効です。

2. WSA ポリシーで新しい SSO URL を作成し、認証を強制し、クライアントを「実際の」SSO URL にリダイレクトします。

回避策 2

1. 新しい SSO URL を決定します。 この URL は実際にプロキシからアクセスされることはありません。 これは、サインオン プロセスを開始するためのポイントとしてのみ機能します。

- たとえば、現在の SSO URL が「wsa.mycompany.com/SSOURL/WebEx」の場合、「wsa.example.com/SSOURL/WebEx」を使用できます。

- 考慮すべき重要なことは、使用するホスト名の部分が WSA を介してプロキシされていることを確認することです。

- WSA を明示的プロキシとして導入した場合、ホスト名は何でも可能です。

- WSA を透過的プロキシとして導入した場合、ホスト名は外部 IP アドレスに決められた実際のホスト名である必要があります。

2. 新規 URL に一致したカスタム URL カテゴリを作成します（[GUI] > [Web Security Manager] > [Custom URL categories]）。回避策を提供すべき SaaS アプリケーションごとに 1 つのカスタム URL カテゴリを作成する必要があります。

- 完全な URL に一致する正規表現照合を使用します。

3. アクセス ポリシーに移動し（[GUI] > [Web Security Manager] > [Access Policies]）、ユーザの要求が一致するアクセス ポリシーの [URL filtering] カラム配下に移動します。  これは、グローバル ポリシーまたはテーブルの以前の別ポリシーの可能性があります。

- 新しいカスタム URL カテゴリをこのアクセス ポリシーに含め、アクションに redirect を設定します。 リダイレクトの対象は「実際の」SSO URL である必要があります。

4. 新しい設定を適用するには、変更を送信してコミットします。

これで、ユーザが新しい URL SSO を使用して、アプリケーションにアクセスできるはずです。 この URL へのアクセスはプロキシによって処理されるため、NTLM 認証が呼び出され、ユーザは常に認証プロンプトを回避し、透過的にログインします。