SASE でカスタム ID プロバイダーを使用して組織構造を管理 - Secure Access Service Edge

企業が組織構造を管理するために専用の ID プロバイダー (IdP) を使用していない場合は、SASE で直接カスタム IdP を作成します。これにより、外部ディレクトリサービスに依存することなく、SASE アプリを介して内部アプリケーションにアクセスすることを許可されたユーザーを制御できます。

企業がすでに LDAP、DingTalk、WeCom、Lark、または IDaaS を使用している場合は、代わりにその IdP を SASE に接続します。関連ガイドについては、「次のステップ」をご参照ください。

前提条件

開始する前に、以下を確認してください。

SASE サービスがアクティブ化されていること。アクティブ化後、デフォルトのカスタム IdP が自動的に作成されます。すでに存在する場合は、作成手順をスキップしてください。
他のカスタム IdP が現在有効になっていないこと、または最初に無効にする準備ができていること。一度に有効にできるカスタム IdP は 1 つだけです。

「基本設定」セクションで、以下のパラメーターを設定し、[次へ] をクリックします。

重要

カスタム ID プロバイダーを無効にすると、エンドユーザーは SASE アプリを使用して内部アプリケーションにアクセスできなくなります。注意して進めてください。

パラメーター	説明
IdP 名	カスタム IdP の名前です。2～100 文字で、漢字、英字、数字、ハイフン (-)、アンダースコア (_) を含めることができます。
IdP ステータス	他のカスタム IdP が有効になっていない場合は、有効に設定します。既に他のカスタム IdP が有効になっている場合は、無効に設定します — 既存の IdP を無効化した後に、この新しい IdP を有効化できます。

[ログイン設定項目] セクションで、PC とモバイルデバイスのログイン方法を設定します。

PC ログイン方法

オプション	詳細
アカウントとパスワードでログイン	ユーザーはユーザー名とパスワードでログインします。オプションで [2 要素認証] を有効にすることもできます (下記参照)。
パスワードなしでログイン	ユーザーはまず SASE モバイルアプリをダウンロードしてログインし、QR コードをスキャンして認証する必要があります。

(任意) PC で [アカウントとパスワードでのログオン] を選択した場合、[二要素認証] を有効化し、OTP モードを選択します：

SASE モバイルクライアントでのトークン表示を許可 — SASE モバイルアプリに組み込まれたワンタイムパスワード (OTP) 機能を使用します。従業員はアプリをインストールしている必要があります。
サードパーティ製アプリのトークンを許可 — Alibaba Cloud アプリなどの標準 OTP アプリで動作します。OTP クライアントの時計が同期されていることを確認してください。
独自のエンタープライズトークンを許可 — 自社開発の OTP システム用です。技術担当者の協力を得てこれを構成します。

あるいは、[検証コード認証]: ユーザーはショートメッセージまたは電子メールで検証コードを受信します。各ユーザーアカウントが IdP で携帯電話番号または電子メールアドレスを設定していることを確認してください。

モバイルデバイスログイン方法

オプション	詳細
アカウントとパスワードによるログイン	ユーザーはユーザー名とパスワードでログインします。任意で二要素認証を有効化できます（下記参照）。
指紋または顔認識	生体認証です。初回ログイン時には、ユーザー名とパスワードの入力が必要です。

（オプション）モバイルデバイスで [アカウントとパスワードによるログオン] を選択した場合、[二要素認証] を有効化します:

OTP ベースの認証 — まず PC の OTP を有効にし、[サードパーティ製アプリケーションでのトークンを許可] または [エンタープライズ所有のトークンを許可] のいずれかを選択します。モバイルデバイスのトークン構成は、PC の構成が反映されます。
検証コードベースの認証 — 各ユーザーアカウントに、IdP で携帯電話番号またはメールアドレスが設定されていることを確認してください。

説明

カスタム ID プロバイダーでは、自動同期はサポートされていません。

操作	手順
カスタム IdP の編集	[ID 同期] タブで IdP を探し、[アクション] 列の [編集] をクリックします。
カスタム IdP の無効化	[ID 同期] タブで IdP を探し、[IdP ステータス] 列のスイッチをオフにします。
カスタム IdP の削除	[ID 同期] タブで IdP を探し、[アクション] 列の [削除] をクリックします。

企業がすでに外部 IdP を使用している場合は、SASE に接続して既存の組織構造とユーザーディレクトリをインポートします。

企業の組織構造外でユーザーグループを作成するには、「ユーザーグループ管理」をご参照ください。