AsyncOS 10.1 for Cisco Web Security Appliances ユーザ ガイド

手順 1

Web セキュリティ アプライアンスを ID プロバイダーとして設定する。

ID プロバイダーとしてのアプライアンスの設定

手順 2

SaaS アプリケーションの認証ポリシーを作成する。

SaaS アプリケーション認証ポリシーの作成

手順 3

SaaS アプリケーション をシングル サイン オン用に設定する。

シングル サイン オン URL へのエンドユーザ アクセスの設定

手順 4

（任意）複数の Web セキュリティ アプライアンスを設定する。

SaaS アクセス コントロールと複数のアプライアンスの使用

証明書およびキーのアップロード

1. [アップロードされた証明書とキーを使用（Use Uploaded Certificate and Key）] を選択します。

2. [証明書（Certificate] フィールドで [参照（Browse）]をクリックし、アップロードするファイルを検索します。

（注） Web プロキシは、ファイル内の最初の証明書またはキーを使用します。証明書ファイルは PEM 形式にする必要があります。DER 形式はサポートされていません。

3. [キー（Key）] フィールドで [参照（Browse）] をクリックし、アップロードするファイルを検索します。

キーが暗号化されている場合は、[キーは暗号化されています（Key is Encrypted）] を選択します。

（注） キーの長さは 512、1024、または 2048 ビットである必要があります。秘密キー ファイルは PEM 形式でなければなりません。DER 形式はサポートされていません。

4. [ファイルのアップロード（Upload File）] をクリックします。

5. [証明書をダウンロード（Download Certificate）] をクリックして、Web セキュリティ アプライアンスが通信する SaaS アプリケーションに転送する証明書のコピーをダウンロードします。

証明書およびキーの生成

1. [生成された証明書とキーを使用（Use Generated Certificate and Key）] を選択します。

2. [新しい証明書とキーを生成（Generate New Certificate and Key）] をクリックします。

a. [証明書とキーを生成（Generate Certificate and Key）] ダイアログボックスで、署名付き証明書に表示する情報を入力します。

（注） [共通名（Common Name）] フィールドには、スラッシュ（/）を除く任意の ASCII 文字を入力できます。

b. [生成（Generate）] をクリックします。

3. [証明書をダウンロード（Download Certificate）] をクリックして、Web セキュリティ アプライアンスが通信する SaaS アプリケーション に証明書を転送します。

4. （任意）署名付き証明書を使用するには、[証明書署名要求のダウンロード（Download Certificate Signing Request）] （DCSR）リンクをクリックして、認証局（CA）に要求を送信します。CA から署名付き証明書を受信したら、[参照（Browse）] をクリックし、署名付き証明書の場所に移動します。[ファイルのアップロード（Upload File）] をクリックします。

アプリケーション

このポリシーの SaaS アプリケーションを識別する名前を入力します。各アプリケーション名は一意である必要があります。Web セキュリティ アプライアンスは、アプリケーション名を使用してシングル サインオン URL を生成します。

説明

（任意）この SaaS ポリシーの説明を入力します。

サービスプロバイダーのメタデータ（Metadata for Service Provider）

このポリシーで参照されるサービス プロバイダーを示すメタデータを設定します。サービス プロバイダーのプロパティを手動で記述するか、または SaaS アプリケーションによって提供されるメタデータ ファイルをアップロードできます。

Web セキュリティ アプライアンスはメタデータを使用して、SAML により SaaS アプリケーション（サービス プロバイダー）と通信する方法を決定します。メタデータの適切な設定については、SaaS アプリケーションを参照してください。

キーの手動設定（Configure Keys Manually）：このオプションを選択した場合は、以下を入力します。

• [サービスプロバイダーのエンティティ ID（Service Provider Entity ID）]。SaaS アプリケーションが自身をサービス プロバイダーとして識別するために使用するテキスト（通常は URI 形式）を入力します。
• [名前 ID の形式（Name ID Format）]。サービス プロバイダーに送信する SAML アサーションでアプライアンスがユーザを識別するために使用する形式を、ドロップダウン リストから選択します。ここで入力する値は、SaaS アプリケーションの対応する設定と一致している必要があります。
• [Assertion Consumer Service の URL（Assertion Consumer Service URL）]。Web セキュリティアプライアンスが作成した SAML アサーションの送信先 URL を入力します。SaaS アプリケーションのマニュアルを参照して、使用する適切な URL （ログイン URL）を決定してください。

[ハードディスクからファイルをインポート（Import File from Hard Disk）]：このオプションを選択した場合は、[参照（Browse）] をクリックしてファイルを検索し、[インポート（Import）] をクリックします。

（注） このメタデータ ファイルは、サービス プロバイダーのインスタンスを説明する SAML 標準に準拠した XML ドキュメントです。すべての SaaS アプリケーションがメタデータ ファイルを使用するわけではありませんが、使用する場合は、ファイルについて SaaS アプリケーションのプロバイダーにお問い合わせください。

ユーザ識別/SaaS SSOの認証（User Identification/ Authentication for SaaS SSO）

SaaS シングル サインオンに対してユーザを識別または認証する方法を指定します。

• ユーザに対して、常にローカル認証クレデンシャルの入力を求める。
• Web プロキシが透過的にユーザ名を取得した場合に、ユーザに対してローカル認証クレデンシャルの入力を求める。
• SaaS ユーザのローカル認証クレデンシャルを使用して、ユーザを自動的にサインインさせる。

この SaaS アプリケーションにアクセスするユーザを認証するために、Web プロキシが使用する認証レルムまたはシーケンスを選択します。SaaS アプリケーションに正常にアクセスするには、ユーザは認証レルムまたは認証シーケンスのメンバーである必要があります。Identity Services Engine を認証に使用しており、LDAP を選択した場合は、SAML ユーザ名と属性のマッピングにレルムが使用されます。

SAML ユーザ名のマッピング（SAML User Name Mapping）

Web プロキシが SAML アサーションでサービス プロバイダーにユーザ名を示す方法を指定します。ネットワーク内で使用されているユーザ名を渡すか（[マッピングなし（No mapping）]）、または以下のいずれかの方法で内部ユーザ名を別の形式に変更できます。

• [LDAP クエリー（LDAP query）]。サービス プロバイダーに送信されるユーザ名は、1 つ以上の LDAP クエリー属性に基づきます。LDAP 属性フィールドと任意のカスタム テキストを含む式を入力します。属性名は山カッコで囲む必要があります。任意の数の属性を含めることができます。たとえば、LDAP 属性が「user」と「domain」の場合は、<user>@<domain>.com と入力できます。
• [固定ルール マッピング（Fixed Rule mapping）]。サービス プロバイダーに送信されるユーザ名は、前または後ろに固定文字列を追加した内部ユーザ名に基づきます。[式名（Expression Name）] フィールドに固定文字列を入力し、その前または後ろに %s を付けて内部ユーザ名における位置を示します。

SAML 属性マッピング（SAML Attribute Mapping）

（任意）SaaS アプリケーションから要求された場合は、LDAP 認証サーバから内部ユーザに関する追加情報を SaaS アプリケーションに提供できます。各 LDAP サーバ属性を SAML 属性にマッピングします。

認証コンテキスト（Authentication Context）

Web プロキシが内部ユーザを認証するために使用する認証メカニズムを選択します。

（注） 認証コンテキストは、ID プロバイダーが内部ユーザの認証に使用した認証メカニズムをサービス プロバイダーに通知します。一部のサービス プロバイダーでは、ユーザに SaaS アプリケーションへのアクセスを許可するために特定の認証メカニズムが必要です。サービス プロバイダーが ID プロバイダーでサポートされていない認証コンテキストを必要とする場合、ユーザはシングル サイン オンを使用して ID プロバイダーからサービス プロバイダーにアクセスできません。