ローミングクライアントから発信されたセキュアアクセスSWG(セキュアWebゲートウェイ)トラフィック用にDuo IdPでSSO認証を使用しようとすると、Duo SSO認証の入力が求められず、セキュアアクセスダッシュボードにユーザIDが入力されません。Webトラフィックは、認証が有効で目的のSWGルールに一致し、トラフィックが復号化されますが、認証フローはローミングクライアントトラフィックに対して開始されず、Webアクティビティのユーザレベルの識別を妨げます。
具体的には、次の動作が確認されました。
包括的な分析とテストの結果、SAMLを使用したSSO認証は、製品の設計上の制限により、セキュアアクセスローミングクライアントトラフィックではサポートされないことが判明しました。この制限を確認するために、次のトラブルシューティング手順を実行しました。
テストでは、SWGポリシーの照合とSSL復号化は正しく行われていることが確認されましたが、ローミングするクライアントトラフィックに対して認証フロー(インタラクティブSAML/Duo SSOリダイレクトおよびチャレンジ)が開始されませんでした。
SWG規則のソースが、復元試行中にローミングコンピューター名から特定のユーザーIDに変更されました。Secure Clientサービスが再起動され、ポリシーの伝達が確認されました。これらの変更では、認証フローの問題は解決されませんでした。
テストVMは、ユーザIDの可視性への影響を判断するためにActive Directoryに参加しました。これにより、Secure Access Activity SearchでユーザIDが表示されるようになりましたが、Duo/SAMLのインタラクティブプロンプトはまだ表示されず、問題がユーザIDの可視性のみに関連していないことを確認しています。
DARTバンドルが収集され、分析されました。この分析により、SWGポリシーの適用は確認されましたが、ローミングクライアントトラフィックの認証フローの開始は示されておらず、この動作は設計上のものであるという結論に達しました。
Duo IdPのメタデータと設定に対する独立したテストが正常に実行および完了し、Duo設定自体が問題の原因ではないことが確認されました。
SAMLを使用したSSO認証は、製品設計上の制限として、セキュアアクセスローミングクライアントトラフィックではサポートされていません。
結論:設定ミスは見つかりませんでした。インタラクティブなSSOプロンプトがないのは、修正可能な設定の問題ではなく、製品サポートの明示的な制限が原因でした。
この問題は、SAMLを使用したSSO認証(Duo IdP統合を含む)がセキュアアクセスローミングクライアントトラフィックでサポートされていない製品設計の制限が原因で発生します。これは、現在のSecure Accessプラットフォームアーキテクチャに固有の制限であり、設定の問題やソフトウェアのバグとは関係ありません。
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
14-May-2026
|
初版 |