Secure Web Applianceでの認証のバイパス

概要

このドキュメントでは、Secure Web Appliance(SWA)で認証をバイパスする方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• SWA管理。

次のツールをインストールしておくことを推奨します。

• 物理または仮想SWA

• SWAグラフィカルユーザインターフェイス(GUI)への管理アクセス

使用するコンポーネント

本書の内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

認証の免除 

Cisco SWAの特定のユーザまたはシステムの認証を免除することは、運用効率を維持し、特定の要件を満たすうえで非常に重要です。まず、一部のユーザまたはシステムは、認証プロセスによって妨げられる可能性がある重要なリソースまたはサービスへの中断のないアクセスを必要とします。たとえば、定期的な更新やバックアップを実行する自動化されたシステムやサービスアカウントには、認証メカニズムによる遅延や潜在的な障害を伴わない、シームレスなアクセスが必要です。

また、Webサービスプロバイダーがプロキシを使用せずにサービスにアクセスすることを推奨するシナリオもあります。このような場合、認証を除外することで、プロバイダーのガイドラインに確実に準拠し、サービスの信頼性を維持できます。さらに、特定のユーザのトラフィックを効果的にブロックするには、まずそのユーザを認証から除外してから、適切なブロッキングポリシーを適用しなければならないことがよくあります。このアプローチにより、アクセス権限を正確に制御できます。

Microsoftのアップデートのように、アクセスされるWebサービスが信頼され、世界中で受け入れられる場合もあります。このようなサービスの認証を免除すると、すべてのユーザのアクセスが簡素化されます。さらに、ユーザのオペレーティングシステムやアプリケーションがSWAで設定された認証メカニズムをサポートしていない場合には、接続を確保するためにバイパスが必要になります。

最後に、固定IPアドレスを持ち、ユーザログインがなく、制限付きの信頼できるインターネットアクセスを持つサーバは、アクセスパターンが予測可能で安全であるため、認証を必要としません。

このようなケースに対して認証を戦略的に除外することで、組織はセキュリティニーズと運用効率のバランスを取ることができます。

Cisco SWAで認証を免除する方法

SWAでの認証の免除は、それぞれ特定のシナリオと要件に合わせたさまざまな方法で実現できます。認証例外を設定する一般的な方法を次に示します。

• IPアドレスまたはサブネットマスク：最も簡単な方法の1つは、特定のIPアドレスまたはサブネット全体を認証から除外することです。これは、インターネットまたは内部リソースへの中断のないアクセスを必要とする、固定IPアドレスまたは信頼できるネットワークセグメントを持つサーバに特に役立ちます。SWA設定でこれらのIPアドレスまたはサブネットマスクを指定することにより、これらのシステムが認証プロセスをバイパスするようにできます。

• プロキシポート：特定のプロキシポートに基づいてトラフィックを除外するようにSWAを設定できます。これは、特定のアプリケーションまたはサービスが通信に指定ポートを使用する場合に便利です。これらのポートを特定することで、これらのポート上のトラフィックの認証をバイパスするようにSWAを設定し、関連するアプリケーションまたはサービスにシームレスなアクセスを確保できます。

• URLカテゴリ：もう1つの方法は、URLカテゴリに基づいて認証を免除することです。このテンプレートには、定義済みのシスコカテゴリと、組織固有のニーズに基づいて定義したカスタムURLカテゴリの両方を含めることができます。たとえば、Microsoftのアップデートなどの特定のWebサービスが信頼され、一般的に受け入れられると見なされる場合は、これらの特定のURLカテゴリの認証をバイパスするようにSWAを設定できます。これにより、すべてのユーザが認証を必要とせずにこれらのサービスにアクセスできます。

• ユーザエージェント：ユーザエージェントに基づいて認証を除外することは、設定された認証メカニズムをサポートしていない特定のアプリケーションやデバイスを扱う際に役立ちます。これらのアプリケーションまたはデバイスのユーザエージェント文字列を特定することにより、SWAを設定して、それらのアプリケーションまたはデバイスから発信されるトラフィックの認証をバイパスし、シームレスな接続を確保できます。

認証をバイパスする手順 

認証を免除するIDプロファイルを作成する手順を次に示します。

ステップ 1：GUIでは、Web Security Managerを選択し、Identification Profilesをクリックします。
ステップ 2：Add Profileをクリックして、プロファイルを追加します。
ステップ 3：このプロファイルを有効にする、または削除せずにすばやく無効にするには、Enable Identification Profileチェックボックスを使用します。
ステップ 4：一意のプロファイル名を割り当てます。
ステップ5:（オプション）説明を追加します。
手順 6：Insert Aboveドロップダウンリストから、このプロファイルをテーブルのどこに表示するかを選択します。

手順 7： User Identification Methodセクションで、Exempt from authentication/ identificationを選択します。

ステップ 8：「サブネットによるメンバーの定義」で、この識別プロファイルを適用するIPアドレスまたはサブネットを入力します。IPアドレス、クラスレスドメイン間ルーティング(CIDR)ブロック、およびサブネットを使用できます。

ステップ9:（オプション）Advancedをクリックして、Proxy Ports、URL Categories、User Agentsなどの追加のメンバーシップ基準を定義します。

カスタムURLカテゴリの設定方法の詳細については、Configure Custom URL Categories in Secure Web Appliance - Ciscoを参照してください。

イメージ：認証をバイパスするIDプロファイルの作成手順

ステップ 10：送信し、変更を確定します。

関連コンテンツ

• AsyncOS 15.0 for Cisco Secure Web Applianceユーザガイド – GD（一般導入） – ポリシーアプリケーションのエンドユーザの分類[Cisco Secure Web Appliance] – シスコ
• Secure Web ApplianceでのカスタムURLカテゴリの設定：シスコ
• Cisco Webセキュリティアプライアンス(WSA)でOffice 365トラフィックを認証および復号化から除外する方法：シスコ

更新履歴

改定	発行日	コメント
2.0	21-Oct-2026	再認定 – 更新された形式
1.0	07-Oct-2024	初版