SWAでのActive Directory認証の設定

概要

このドキュメントでは、Secure Web Appliance(SWA)でActive Directory(AD)認証を設定する手順について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• SWA管理。
• 基本的なネットワーキングおよびプロキシプロトコル。
• 基本的なActive Directory管理。

次のツールをインストールしておくことを推奨します。

• 物理または仮想SWA。

• SWAグラフィカルユーザインターフェイス(GUI)への管理アクセス
• Active Directoryへの管理アクセス。

使用するコンポーネント

本書の内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

Checklist

SWAをActive Directoryに接続する前に、必要なチェックがすべて完了していることを確認してください。

• SWAには、Active Directoryへの適切なネットワークアクセスがあります。詳細については、「セキュリティで保護されたWebアプライアンス用のファイアウォールの設定」を参照してください。 
• SWAホスト名のDNSレコードがActive Directoryに作成されます。(CLI > sethostname)。

注：トランスペアレントモードでは、セキュアWebアプライアンスのホスト名がリダイレクトホスト名に一致することを確認してください。

• SWAインターフェイスのDNSレコードは、Active Directoryに作成されます。

• Secure Web Applianceの現在の時刻をActive Directoryサーバの時刻と比較し、その差がActive Directoryサーバの[コンピュータクロック同期の最大許容値]設定で定義された値を超えていないことを確認します。

• 認証に使用するActive DirectoryドメインにSecure Web Applianceを参加させるために必要な権限とドメイン情報があることを確認します。

  • Domain AdminsグループまたはAccount OperatorsグループのメンバーであるユーザをActive Directory(AD)サーバに作成します。

  • または、必要最小限の権限でユーザを作成します。権限には、Reset Password、Validated write to servicePrincipalName、Write account restrictions、Write dNSHostName、およびWrite servicePrincipalNameがあります。これらの権限は、アプライアンスをドメインに参加させ、完全な機能を確保するのに十分です。

• SWAがActive Directory FQDNを解決できることを確認します。

Active Directoryの設定

SWAでActive Directory認証を設定するには、次の手順を使用します。

ステップ	詳細
ステップ 1：SWAからの情報の収集	ステップ 1.1： SWAのCLIから、sethostnameを実行して、現在のSWAのホスト名を表示します。 注：現在のホスト名を変更するには、新しいホスト名を入力してEnterキーを押し、commitコマンドを実行して変更を確定します。 ステップ 1.2： SWAのGUIで、Networkに移動し、Interfacesを選択して、インターフェイスのFQDNを表示します。現在のインターフェイスのFQDNを変更するには、Edit Settingsをクリックして変更を行い、commitをクリックします。  ステップ 1.3： SWA GUIから、System Administrationに移動し、Time Settingsをクリックして、NTP設定が正しいことを確認します。 ステップ 1.4：SWA GUIから、Networkに移動し、DNSを選択します。次に、正しいDNSサーバが定義されていることを確認します。 ヒント: SWAがパブリックDNSサーバを使用して設定されている場合、Active Directoryドメインに別のDNSサーバを定義するには、Edit Settingをクリックし、Alternate DNS servers Overrides (Optional)セクションでActive Directoryドメイン名とDNSサーバIPアドレスを定義してから、変更を送信し、commitします。 イメージ – 代替DNSサーバの追加
ステップ 2：Active DirectoryでのDNSレコードの設定	ステップ 2.1： Active Directoryサーバに接続し、DNSマネージャコンソールに移動します。 ステップ 2.2：左側のパネルから目的のドメイン名を選択します。 ステップ 2.3：右側のパネルで右クリックして、New Host (A or AAAA)を選択します。 イメージ：新しいAレコードの作成 ステップ 2.4：SWAホスト名のDNSレコードを定義します（ステップ1.1で収集） 注意:Active Directoryが管理インターフェイス経由でSWAに接続している場合は、管理IPアドレスを定義します。それ以外の場合は、Active DirectoryがアクセスできるSWAの正しいIPアドレス（P1インターフェイスのIPアドレスまたはP2インターフェイスのIPアドレス）を定義します ステップ 2.5： 各SWAインターフェイスのDNSレコードを定義します。 ステップ2.6.（オプション）ハイアベイラビリティを使用している場合は、定義された仮想IPアドレスを使用してハイアベイラビリティFQDNのDNSレコードを定義します。
ステップ 3：Active Directoryレルムの設定	ステップ 3.1： SWAのGUIで、Networkに移動し、Authenticationを選択します。 ステップ 3.2：Add Realmをクリックします。 ステップ 3.3：レルム名を定義します。 ステップ 3.4：Authentication Server Type and Scheme(s)から、Active Directoryを選択します。 ステップ 3.5：デフォルトでは、SWAは管理インターフェイスを使用してActive Directoryに接続します。この設定を変更するには、Set Source Interfaceをクリックして、目的のInterfaceを選択します。  ステップ 3.6：Active Directoryドメインコントローラのホスト名またはIPアドレスを定義します。 ステップ 3.7：Active Directoryドメイン名を入力します。  ステップ3.8.（オプション）Active Directoryの別の組織単位(OU)にコンピュータアカウントを保存するには、目的の場所を定義します ステップ 3.9：Join Domainをクリックします。 イメージ – レルムの追加 ステップ 3.10：ユーザ名とパスワードを入力し、Joinをクリックします。  ヒント：ドメイン名をユーザ名に含めないでください（たとえば、「DOMAIN\SWA_ADMIN」や「SWA_ADMIN@domain」ではなく「SWA_ADMIN」と入力します）。 イメージ：SWAがADに正常に参加した ステップ 3.11：[Submit] をクリックします。 ステップ 3.12：変更を確定します。

トラブルシューティング

このエラーは、Active DirectoryとSWAの間の時間が同期されていないことを示しています。SWAの時間を修正するには、ステップ1.3.を実行してください

Warning: Clock skew between WSA 'Thu Apr 16 08:25:17 2026' and AD server 'Wed Apr 15 08:30:30 2026' is too great
Warning: Clock skew between WSA 'Thu Apr 16 08:25:17 2026' and AD server 'Wed Apr 15 08:30:30 2026' is too great

swa1.*.* "Unknown hostname"障害を解決できない

このエラーは、SWAがDNSサーバ経由で自身のインターフェイスとホスト名を解決できないことを示しています。不足しているDNSレコードを作成するために、正しいDNSサーバ（ステップ1.4とステップ2）でSWAが設定されていることを確認します。

Failure: Unable to resolve 'swa1.amojarra.amojarra' : Unknown hostname

ヒント:DNSサーバまたはDNSレコードを修正しても同じエラーが表示される場合は、GUI > Network > DNS > Clear DNS Cacheの順に選択し、DNSキャッシュをクリアします。

ADD1.*.*を解決できません：「不明なホスト名」エラー

このエラーは、SWAがActive Directoryに関連するDNSレコードを解決できないことを示します。ステップ1.4を使用して、Active Directoryドメインに正しいDNSサーバを設定します。

Failure: Unable to resolve 'ADD1.amojarra.amojarra' : Unknown hostname

ヒント:DNSサーバまたはDNSレコードを修正しても同じエラーが表示される場合は、GUI > Network > DNS > Clear DNS Cacheの順に選択し、DNSキャッシュをクリアします。

サーバからKerberosチケットをフェッチ中のエラー：「kinit: Password incorrect」エラー

このエラーは、Active Directoryへの接続に使用されるユーザ名またはパスワードが正しくないことを示しています。

Failure: Error while fetching Kerberos Tickets from server '10.48.48.17' : kinit: Password incorrect

ドメインに参加できません：アカウントの事前作成に失敗しました： 「アクセスが不十分です」

このエラーは、コンピュータアカウントを作成するために必要な最小限の特権がユーザーにないことを示します。この記事の「チェックリスト」セクションに従って、ユーザ権限を確認します。

Failure: Error while joining WSA onto server '10.48.48.17' : ads_print_error: AD LDAP ERROR: 50 (Insufficient access): 00000005: SecErr: DSID-031A11E3, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0 Failed to join domain: failed to precreate account in ou cn=Computers,dc=AMOJARRA,dc=AMOJARRA: Insufficient access

関連コンテンツ

• AsyncOS 15.0 for Cisco Secure Web Applianceユーザガイド
• セキュアWebアプライアンス用のファイアウォールの設定 
• Secure Web ApplianceでのカスタムURLカテゴリの設定：シスコ
• Cisco Webセキュリティアプライアンス(WSA)でOffice 365トラフィックを認証および復号化から除外する方法：シスコ
• セキュアなWebアプライアンスのベストプラクティスの使用：シスコ
• Secure Web Applianceでのトラフィックのブロック 
• セキュアWebアプライアンスでのアップロードトラフィックのブロック 
• SWAでの実行可能ファイルのダウンロードのブロック 
• Secure Web ApplianceでのMicrosoft Updatesトラフィックのバイパス 
• Secure Web Applianceでの認証のバイパス：シスコ

更新履歴

改定	発行日	コメント
2.0	21-Oct-2026	再認定
1.0	29-Apr-2026	初版