RAVPN 2FAに対するADおよびISEとのDuo統合の設定

ダウンロード オプション

  • PDF     (4.6 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
Updated: 2026 年 8 月 19 日
Document ID:217739

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、ASAに接続されたCisco Secure Clientの2FAとして、ADおよびCisco ISEとのDuoプッシュ統合について説明します。 

前提条件

要件

次の項目に関する知識があることが推奨されます。

  • Duoアプリケーション
  • Active Directory（AD）
  • Identity Services Engine（ISE）
  • ASAでのRADIUSの設定
  • 適応型セキュリティアプライアンス(ASA)でのリモートアクセスVPN(RAVPN)の設定

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

  • Duoサーバ
  • ISEサーバ3.0
  • ASA 9.14(3)18 
  • Microsoft 2016サーバー
  • Duo認証プロキシマネージャ

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ネットワークダイアグラムとシナリオ

Network Diagram

通信プロセス

Cisco ISE用Duo 2要素RADIUS認証

  1. Cisco ISEに対して開始されたプライマリ認証。
  2. Cisco ASAがDuo認証プロキシに認証要求を送信します。
  3. プライマリ認証はActive DirectoryまたはRADIUSを使用します。
  4. TCPポート443経由でDuo SecurityへのDuo Authentication Proxy接続が確立されました。
  5. Duo Securityのサービスによる二次認証。
  6. Duo認証プロキシが認証応答を受信します。
  7. Cisco ISEアクセスが許可されます。

ユーザアカウント:

  • Active Directory Admin:Duo Auth Proxyがプライマリ認証用にActive Directoryサーバにバインドするためのディレクトリアカウントとして使用されます。
  • Active Directoryテストユーザ。
  • セカンダリ2FAのDuoテストユーザ。

Active Directoryの設定

Windows Serverには、Active Directoryドメインサービスが事前に設定されています。

注:RADIUS Duo Auth Proxy Manager(CAUTH)が同じActive Directoryホストマシンで実行されている場合、ネットワークポリシーサーバ(NPS)の役割をアンインストールまたは削除する必要があります。両方のRADIUSサービスが実行されている場合、競合が発生し、パフォーマンスに影響を与える可能性があります。 

リモートアクセスVPNユーザで認証およびユーザIDのAD設定を行うには、いくつかの値が必要です。これらの詳細はすべて、ASAおよびDuo Authプロキシサーバで設定を完了する前に、Microsoftサーバで作成または収集する必要があります。

主な値は次のとおりです。

  • ドメイン名：これはサーバのドメイン名です。この設定ガイドでは、agarciam.ciscoがドメイン名です。
  • サーバIP/完全修飾ドメイン名(FQDN)アドレス:Microsoftサーバに到達するために使用されるIPアドレスまたはFQDN。FQDNを使用する場合、DNSサーバをASAとDuo Authプロキシ内で設定してFQDNを解決する必要があります。このコンフィギュレーションガイドでは、この値はagarciam.ciscoで、10.28.17.107に解決されます。
  • サーバポート:LDAPサービスが使用するポート。デフォルトでは、LDAPおよびSTARTTLSはLDAPにTCPポート389を使用し、LDAP over SSL(LDAPS)はTCPポート636を使用します。
  • ルートCA:LDAPSまたはSTARTTLSを使用する場合、LDAPSで使用するSSL証明書の署名に使用するルートCAが必要です。
  • Directory Username and Password：これは、Duo AuthプロキシサーバがLDAPサーバにバインドし、ユーザとグループの認証と検索に使用するアカウントです。
  • Base and Group Distinguished Name(DN):Base DNはDuo Authプロキシの出発点であり、ユーザの検索と認証を開始するようActive Directoryに警告します。

この設定ガイドでは、ルートドメインagarciam.ciscoがベースDNとして使用され、グループDNはDuo-USERSです。

1. Windows Serverで新しいDuoユーザを追加するには、左下のWindowsアイコンに移動して、Windows Administrative Toolsをクリックします。

Windows Administrative

2. Windows Administrative Toolsウィンドウで、Active Directory Users and Computersに移動します。 

3. Active Directory Users and Computersパネルで、domainオプションを展開し、Usersフォルダに移動します。

4. この設定例では、Duo-USERSを二次認証のターゲットグループとして使用します。

Active Directory

5. Usersフォルダを右クリックし、New > Userの順に選択します。

User Creation

6. 「新規オブジェクト – ユーザー」ウィンドウで、新規ユーザーのID属性を指定し、「次へ」をクリックします。

User Setup 1

7. パスワードを確認し、Nextをクリックします。ユーザ情報が確認されたら、Finishをクリックします。

User Setup 2

8. 新しいユーザを特定のグループに割り当て、右クリックしてAdd to a groupを選択します。

Add to Group

9. 「グループの選択」パネルで、目的のグループの名前を入力し、「名前の確認」をクリックします。次に、条件に一致する名前を選択して、Okをクリックします。

Check Names

10. これは、このドキュメントで例として使用されているユーザです。

Duo構成

1. Duo Adminポータルにログインします。

Duo Login Page

2. 左側のパネルで、Usersに移動し、Add Userをクリックして、Active Domainのユーザ名に一致するユーザの名前を入力し、Add Userをクリックします。

Duo Users 1

3. 新しいユーザーパネルで、必要な情報をすべて入力します。

Duo Users 2

4. ユーザー・デバイスの下で、セカンダリ認証方法を指定します。

注：このドキュメントでは、モバイルデバイス用のDuoプッシュ方式を使用しているため、電話デバイスを追加する必要があります。

5. Add Phoneをクリックします。

Add Phone 1

6. ユーザの電話番号を入力して、Add Phoneをクリックします。

Add Phone 2

7. 左側のDuo Adminパネルで、Usersに移動し、新しいユーザをクリックします。

Duo User

note-icon

注：セットアップ時に電話機へのアクセス権がない場合は、電子メールオプションを選択できます。

 8. Phonesセクションに移動し、Activate Duo Mobileをクリックします。

Phones

9. [Duo Mobile Activation Codeの生成]をクリックします。

Activate Duo


10. Emailを選択して指示を電子メールで受け取り、電子メールアドレスを入力してSend Instructions by emailをクリックします。

Email Instructions

11. 指示が記載された電子メールが届きます。

Email Duo

12. モバイルデバイスからDuoモバイルアプリを開き、追加をクリックし、QRコードを使用を選択し、電子メールからコードをスキャンします。

13. 新しいユーザーがDuoモバイルアプリに追加されます。

Duo認証プロキシの設定

1. Cisco Duo AuthenticationからDuo Auth Proxy Managerをダウンロードしてインストールします。

注：このドキュメントでは、Duo Auth Proxy Managerが、Active Directoryサービスをホストする同じWindowsサーバにインストールされています。 

2. Duo Admin PanelでApplicationsに移動し、Protect an Applicationをクリックします。

Proxy Configuration

3. 検索バーで、Cisco ISE Radiusを探します。

Protect Application

4. 統合キー、秘密キー、およびAPIホスト名をコピーします。この情報は、Duo認証プロキシの設定に必要です。

Cisco ISE

5. Duo Authentication Proxy Managerアプリケーションを実行し、Active DirectoryクライアントとISE Radiusサーバの両方の設定を完了して、Validateをクリックします。

注：検証が失敗した場合は、「デバッグ」タブで詳細を参照し、適宜修正してください。

Validation

Cisco ISEの設定

1. ISE管理ポータルにログインします。

2. Cisco ISEタブを展開し、Administrationに移動し、Network Resourcesをクリックし、External RADIUS Serversをクリックします。

Cisco ISE

3. External Radius Serversタブで、Addをクリックします。

Radius Servers

4. Duo Authentication Proxy Managerで使用されているRADIUS設定の空白を埋め、Submitをクリックします。

Validation

5. RADIUS Server Sequencesタブに移動し、Addをクリックします。

Radius Servers Sequence 1

6. シーケンスの名前を指定し、新しいRADIUS外部サーバを割り当て、Submitをクリックします。

Radius Servers Sequence 2

7. ダッシュボードメニューからPolicyに移動し、Policy Setsをクリックします。

Policy Sets

8. RADIUSシーケンスをデフォルトポリシーに割り当てます。

注：すべての接続に対するDuoシーケンスは、使用されるデフォルトポリシーで適用されます。ポリシーの割り当ては異なる場合があります。

Default Policy Sets

Cisco ASA RADIUS/ISEの設定

1. AAAサーバグループの下でISE RADIUSサーバを設定するには、Configurationに移動し、Device Managementをクリックし、Users/AAAセクションを展開して、AAA Server Groupsを選択します。

Configuration

2. AAA Server Groupsパネルで、Addをクリックします。

AAA Server Groups

3. サーバーグループの名前を選択し、使用するプロトコルとしてRADIUSを指定して、OKをクリックします。

AAA Server Groups Config

5. 新しいサーバグループを選択し、Servers in the Selected GroupパネルにあるAddをクリックします。

AAA Server Groups ISE

6. Edit AAA Serverウィンドウで、Interface Nameを選択し、ISEサーバのIP Addressを指定してRADIUS Secret Keyを入力し、OKをクリックします。

注：すべての情報は、Duo Authentication Proxy Managerで指定されている情報と一致している必要があります。

Edit AAA Server

CLI での設定

aaa-server ISE protocol radius
 dynamic-authorization
aaa-server ISE (outside) host 10.28.17.101
 key *****

Cisco ASAリモートアクセスVPNの設定


ip local pool agarciam-pool 192.168.17.1-192.168.17.100 mask 255.255.255.0

group-policy DUO internal
group-policy DUO attributes
 banner value This connection is for DUO authorized users only!
 vpn-tunnel-protocol ikev2 ssl-client 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value split-agarciam
 address-pools value agarciam-pool

tunnel-group ISE-users type remote-access
tunnel-group ISE-users general-attributes
 address-pool agarciam-pool
 authentication-server-group ISE
 default-group-policy DUO
tunnel-group ISE-users webvpn-attributes
 group-alias ISE enable
 dns-group DNS-CISCO

テスト

1. PCでCisco Secure Client/AnyConnectアプリを開きます。VPN ASAヘッドエンドのホスト名を指定し、セカンダリDuo認証用に作成したユーザでログインして、OKをクリックします。

VPN

2. 指定されたユーザーのDuo MobileデバイスでDuoプッシュ通知を受信します。

3. Duoモバイルアプリ通知を開き、承認をクリックします。

Verify Identity

Verify Identity Approve

4. バナーを受け入れ、接続が確立されます。

VPN Connection

VPN Connection Accept

トラブルシュート

このセクションでは、設定のトラブルシューティングに役立つ情報を紹介します。Duo Authentication Proxyには、エラーおよび障害の原因を表示するデバッグツールが付属しています。

正常に動作するデバッグ

注：次の情報は、C:\Program Files\Duo Security Authentication Proxy\log\connectivity_tool.logに保存されます。

Output 1

Output 2

Output 3

Output 4

一般的な問題

1. Active Directory設定での接続の問題、間違ったIP、解決できないFQDN/ホスト名

Output 5

Output 6

2. Active Directory上の管理者ユーザのパスワードが正しくない

Output 7

デバッグ：

Output 8

3. ベースドメインが正しくない

Output 9

デバッグ：

Output 10

4. iKey RADIUSの値が正しくない

Output 11

デバッグ：

Output 12

5. ISEサーバがアクセス要求パケットを送信することを確認する

Pcap

6. NTRadPingユーティリティを使用してDuo認証プロキシが動作していることを確認する

Duo認証プロキシサーバが動作していることを確認するために、Duoは、Duoを使用してアクセス要求パケットと応答をシミュレーションするNTRadPingツールを提供します。

     6.1別のPCにNTRadPingをインストールし、トラフィックを生成する。

注：この例では、Windowsマシン10.28.17.3が使用されています。

     6.2 ISE RADIUS設定で使用される属性を使用した設定

Attributes ISE

     6.3次の例のように、Duo Authentication Proxy Managerを設定します。

Duo Auth

     6.4. NTRadPingツールに移動し、Sendをクリックします。割り当てられたモバイルデバイスでDuoプッシュ通知を受信します。

NTRadPing

Pcap2

更新履歴

改定 発行日 コメント
5.0
19-Aug-2026
タイトル、概要、スペル、文法、読みやすさを考慮してセクションを区切るための挿入された水平線、代替テキストが更新されました。
4.0
10-Jul-2025
代替テキスト、リンク、略語、スタイル要件、スペル、およびフォーマットを更新。
2.0
18-Apr-2023
再認定
1.0
15-Mar-2022
初版
TAC Authored

シスコ エンジニア提供

  • アランオマールガルシア
    カスタマーエクスペリエンスカスタマーサクセススペシャリスト

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています