ASAでのSAMLによる複数のトンネルグループの設定

ダウンロード オプション

  • PDF     (1.4 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
Updated: 2026 年 7 月 8 日
Document ID:222916

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに


このドキュメントでは、Cisco ASA上の複数のトンネルグループに対するAzure Identity Providerを使用したSAML認証について説明します。

前提条件

要件

次の項目に関する知識が推奨されます。

  • Microsoft Azure
  • 適応型セキュリティ アプライアンス（ASA）
  • Secure Socket Layer(SSL)証明書
  • Security Assertion Markup Language(SAML)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

  • ASA 9.22(1)1
  • Cisco Secureクライアント5.1.7.80
  • SAML 2.0を使用したMicrosoft Azure Entra ID

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

Microsoft Azureでは、同じエンティティIDに対して複数のアプリケーションをサポートできます。（異なるトンネルグループにマッピングされた）各アプリケーションには、一意の証明書が必要です。ASAでは、IdP証明書機能により、異なるOverride Identity Provider(IdP)で保護されたアプリケーションを使用するように複数のトンネルグループを設定できます。この機能を使用すると、管理者は、各トンネルグループの特定のIdP証明書で、シングルサインオン(SSO)サーバオブジェクトのプライマリIdP証明書を上書きできます。この機能は、ASAバージョン9.17.1以降で導入されました。

SAML SPが開始したSSO

エンドユーザがASAにアクセスしてログインを開始すると、サインオン動作は次のように行われます。

1. VPNユーザがSAML対応のトンネルグループにアクセスまたは選択すると、エンドユーザは認証のためにSAML IdPにリダイレクトされます。ユーザがグループURLに直接アクセスしない限り、ユーザにプロンプトが表示されます。この場合、リダイレクトはsilentになります。

2. ASAがSAML認証要求を生成し、ブラウザがその要求をSAML IdPにリダイレクトします。

3. IdPはエンドユーザにクレデンシャルを要求し、エンドユーザはログインします。入力したクレデンシャルは、IdP認証の設定を満たしている必要があります。

4. IdP応答がブラウザに返送され、ASAサインインURLに送信されます。ASAが応答を確認してログインを完了します。

コンフィギュレーション

ギャラリーからのCisco Secure Firewall - Secure Clientの追加

この例では、Microsoft Entra SSOとCisco Secure Firewall - Secure Client on Azureの統合が、ASAで設定された2つのトンネルグループに追加されます。

  • SAML1
  • SAML2

Microsoft Entra IDへのCisco Secure Firewall - Secure Clientの統合を設定するには、ギャラリーから管理対象SaaSアプリケーションのリストにCisco Secure Firewall - Secure Clientを追加する必要があります。

note-icon

注：これらの手順は、最初のトンネルグループSAML1のギャラリーにCisco Secure Firewall - Secure Clientを追加するためのものです。

ステップ 1：Azure Portalにログインして、Microsoft Entra IDを選択します。


Microsoft Entra IDMicrosoftエントリID

ステップ 2図に示すように、Enterprise Applicationsを選択します。

Enterprise Application企業アプリケーション

ステップ 3New Applicationを選択します。

New Application新しいアプリケーション

ステップ 4Add from the galleryセクションで、検索ボックスにCisco Secure Firewall - Secure Clientと入力し、結果パネルからCisco Secure Firewall - Secure Clientを選択して、アプリケーションをAddします。


Cisco Secure Firewall - Secure ClientCisco Secure Firewall – セキュアクライアント

ステップ 5Single Sign-Onメニュー項目を選択します。


Set Up Single Sign Onシングルサインオンのセットアップ

ステップ 6Select a single sign-on メソッドページで、SAMLを選択します。

SAMLSAML

ステップ 7 Set up single sign-on with SAMLページで、Basic SAML Configurationの編集/ペンアイコンをクリックして設定を編集します。

Basic SAML Configuration基本的なSaml設定

ステップ 8 Set up single sign-on with SAMLページで、次のフィールドの値を入力します。

  • 「識別子」テキストボックスに、次のパターンを使用してURLを入力します。

https://<VPN URL>/saml/sp/metadata/<Tunnel_Group_Name>

  • [返信URL]ボックスに、次のパターンを使用してURLを入力します。

https://<VPN URL>/+CSCOE+/saml/sp/acs?tgname=<Tunnel_Group_Name> [Tunnel_Group_Name = SAML1]

note-icon

注:Tunnel_Group_Nameでは大文字と小文字が区別されるため、値にドット「。」やスラッシュ「/」を含めることはできません。

ステップ 9 Set up single sign-on with SAMLページのSAML Signing Certificateセクションで、Certificate (Base64)を探し、Downloadを選択して証明書ファイルをダウンロードし、コンピュータに保存します。

Certificate (Base64) Download証明書(Base64)のダウンロード

note-icon

注：このダウンロードされた証明書は、ASAトラストポイントAzureAD-AC-SAML1にインポートされます。詳細については、「ASAの設定」セクションを参照してください。

ステップ 10 Cisco Secure Firewall - Secure Clientの設定セクションで、要件に基づいて適切なURLをコピーします。 これらのURLは、ASAでSSOサーバオブジェクトを設定するために使用されます。

  • Microsoft Entra Identifier：これはVPN設定のSAML IdPです。
  • Log in URL：これはURLサインインです。
  • Log out URL：これはURLのサインアウトです。

SSO URLSSOのURL

note-icon

注：前述の設定手順を繰り返して、2番目のトンネルグループのギャラリーからCisco Secure Firewall - Secure Clientアプリケーションを追加します。この場合の2番目のトンネルグループ名はSAML2です。

2番目のトンネルグループ(SAML 2)にCisco Secure Firewall - Secure Clientアプリケーションを追加する際に、手順8.でダウンロードしたAzure証明書がASAトラストポイントAzureAD-AC-SAML2にインポートされます。 

Azure ADユーザーをアプリに割り当てる

このセクションでは、Cisco Secure Clientアプリへのアクセスを許可するときに、Test1とTest2でAzure SSOの使用が有効になります。

最初のIdPアプリケーションの場合：

ステップ 1：最初のIdPアプリケーション概要ページで、Users and groups、Add userの順に選択します。

User and Groupsユーザとグループ

ステップ 2割り当ての追加ダイアログでユーザまたはグループを選択します。

Add Assignment 1課題1の追加

ステップ 3 [割り当ての追加（Add Assignment）] ダイアログで、[割り当て（Assign ）] ボタンをクリックします。

Test 1 User AssignTest1ユーザ割り当て

2番目のIdPアプリケーションの場合：

次の図に示すように、2番目のIDPアプリケーションに対して前の手順を繰り返します。

Add Assignment 2課題2の追加

Test 2 User AssignTest2ユーザ割り当て

Test1ユーザ割り当て：

Test 1 User Assignmentテスト1のユーザ割り当て

Test2ユーザ割り当て：

Test 2 User Assignmentテスト2のユーザ割り当て

CLIによるASAの設定

ステップ 1：トラストポイントを作成し、SAML証明書をインポートします。

2つのトラストポイントを設定し、各トンネルグループのそれぞれのSAML証明書をインポートします。

config t 

 crypto ca trustpoint AzureAD-AC-SAML1 
   revocation-check none 
   no id-usage 
   enrollment terminal 
   no ca-check 
 crypto ca authenticate AzureAD-AC-SAML1 
 -----BEGIN CERTIFICATE----- 
 … 
 PEM Certificate Text you downloaded from AzureAD goes here 
 … 
 -----END CERTIFICATE----- 
 quit

!
!

crypto ca trustpoint AzureAD-AC-SAML2 
   revocation-check none 
   no id-usage 
   enrollment terminal 
   no ca-check 
 crypto ca authenticate AzureAD-AC-SAML2 
 -----BEGIN CERTIFICATE----- 
 … 
 PEM Certificate Text you downloaded from AzureAD goes here 
 … 
 -----END CERTIFICATE----- 
 quit

ステップ 2SAML IdPを設定します。

次のコマンドを実行して、SAML IdP設定をプロビジョニングします。

webvpn 

 saml idp https://xxx.windows.net/xxxxxxxxxxxxx/ - [Azure AD Identifier] 
 url sign-in https://login.microsoftonline.com/xxxxxxxxxxxxxxxxxxxxxx/saml2 - [Login URL] 
 url sign-out https://login.microsoftonline.com/xxxxxxxxxxxxxxxxxxxxxx/saml2  – [Logout URL] 
 trustpoint idp AzureAD-AC-SAML1 - [IdP Trustpoint] 
 trustpoint sp ASA-EXTERNAL-CERT - [SP Trustpoint] 
 no force re-authentication 
 no signature 
 base-url https://asa.example.com

ステップ 3最初のVPNトンネルグループにSAML認証を適用します。

AzureAD-AC-SAML1 IdPトラストポイントでSAML1トンネルグループを設定します。

tunnel-group SAML1 webvpn-attributes 
authentication saml 
group-alias SAML1 enable 
saml identity-provider https://xxx.windows.net/xxxxxxxxxxxxx/
saml idp-trustpoint AzureAD-AC-SAML1 <---- Overrides the primary IDP certificate in the Single Sign-On (SSO) Server object

ステップ 42番目のVPNトンネルグループにSAML認証を適用します。

AzureAD-AC-SAML2 IdPトラストポイントでSAML2トンネルグループを設定します。

tunnel-group SAML2 webvpn-attributes 
authentication saml 
group-alias SAML2 enable 
saml identity-provider https://xxx.windows.net/xxxxxxxxxxxxx/
saml idp-trustpoint AzureAD-AC-SAML2 <---- Overrides the primary IDP certificate in the Single Sign-On (SSO) Server object

ステップ5：設定を保存します。

write memory 
note-icon

注:IdP設定を変更した場合、トンネルグループからSAML IDプロバイダー設定を削除し、再度適用して変更を有効にする必要があります。

確認

SAML認証を使用したAnyConnectのテスト

ステップ 1： VPN URL に接続し、[Azure ADの詳細（Azure AD details）] にログを入力します。

ステップ2:（オプション）サインイン要求を承認します。

ステップ 3：AnyConnect が接続されます。

トラブルシュート

SAMLのほとんどのトラブルシューティングには、SAML設定のチェック時またはデバッグ実行時に見つかる可能性のある設定の誤りが含まれています。debug webvpn saml 255は、ほとんどの問題のトラブルシューティングに使用できますが、このデバッグで有用な情報が得られないシナリオでは、次のような追加のデバッグを実行できます。

debug webvpn saml 255 
debug webvpn 255  
debug webvpn session 255 
debug webvpn request 255 

関連情報

更新履歴

改定 発行日 コメント
2.0
08-Jul-2026
スペル、文法、間隔、読みやすさと区切りに関するセクションの追加、およびCCWアラートに関する更新
1.0
28-Mar-2025
初版
TAC Authored

シスコ エンジニア提供

  • ラシュミ・シン
    Cisco TACエンジニア
  • サルマン・マハジャン
    Cisco TACエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています