Secure Access Service Edge:LDAP ID プロバイダーへの接続

制限事項

一度に有効にできる ID プロバイダーは最大 5 つまでで、そのうちカスタム ID プロバイダーは 1 つのみです。この制限に達した場合、新しい ID プロバイダーを有効にする前に、既存の ID プロバイダーを無効にする必要があります。

Windows AD/OpenLDAP ID プロバイダーの設定

1. SASE コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Identity Authentication > Identity Access を選択します。

3. Identity synchronization タブで、Create IdP をクリックします。

4. Create IdP パネルで LDAP を選択し、Configure をクリックします。ウィザードの指示に従って設定を完了します。

5. Basic Configurations ステップで、次のパラメーターを設定し、Next をクリックします。

   パラメーター	説明
   IdP Name	ID プロバイダーの名前を入力します。 名前は 2～100 文字で、使用できる文字は英字、数字、ハイフン (-)、アンダースコア (_) です。
   Description	設定の説明を入力します。 この説明は、SASE クライアントのログインタイトルとして表示されます。
   IdP Status	ID ソースのステータスを設定します。有効な値は次のとおりです。 Enabled：作成後、ID ソースが有効になります。 Closed：作成後、ID ソースが無効になります。 重要 ID ソースを無効にすると、エンドユーザーは SASE アプリを使用して内部アプリケーションにアクセスできなくなります。操作は慎重に行ってください。
   Type	ディレクトリのタイプ。有効な値： Windows AD: Windows Active Directory 用のディレクトリサービスです。 [OpenLDAP]：LDAP のオープンソース実装。
   Server Address	AD または LDAP サーバーのアドレス。最大 5 つのアドレスを指定できます。
   Server Port Number	AD または LDAP サーバーのポート番号。
   Access Authentication Server from Connector	LDAP 認証サービスがプライベートネットワークにデプロイされている場合は、コネクタを使用して接続を確立できます。アクティブなコネクラインスタンスを選択します。コネクタの設定に関する詳細については、「SASE コネクタの使用」をご参照ください。
   SSL Connection	AD または LDAP サーバーへの SSL 接続を有効にするかどうかを指定します。有効な値： Yes：SASE とサーバー間で送信されるデータを暗号化します。 No：SSL 接続は使用されません。
   [Base DN]	ユーザー認証のベースとなる識別名 (DN)。SASE はこの DN 配下のすべてのユーザーアカウントを認証し、SASE クライアントへのログインを許可します。Base DN は 2～100 文字である必要があります。 説明 LDAP ディレクトリ内でユーザーとグループが同じ Base DN の下にない場合は、Advanced Settings セクションで User Base DN と Group Base DN を指定する必要があります。
   Organizational Structure Synchronization	ID プロバイダーからディレクトリ構造を取得するために、管理者 DN とパスワードを入力します。 説明 これを設定すると、組織構造に基づいてセキュリティポリシーを適用できます。セキュリティポリシーを適用する際に、システムがユーザー情報を読み取ることはありません。
   Logon Username Attribute	ログインユーザー名に使用する属性を指定します。これにより、組織内のすべてのユーザーのユーザー名形式が標準化されます。 cn、name、givenName、displayName、userPrincipalName、sAMAccountName などのデフォルトの LDAP フィールドを選択するか、LDAP で定義された別のフィールドを入力して Logon Username Attribute を指定できます。 説明 userPrincipalName 属性には通常、ドメインサフィックスが含まれます。userPrincipalName を Logon Username Attribute として選択した場合、ユーザーはログイン時にドメインサフィックスを含む完全な UPN を入力する必要があります。例：user@aliyundoc.com。
   Group Name Attribute	グループ名に使用する属性を指定します。これにより、組織内のグループ名形式が標準化されます。 cn、name、sAMAccountName などのデフォルトの LDAP フィールドを選択するか、LDAP で定義された別のフィールドを入力して Group Name Attribute を表すことができます。
   Group Mapping Attribute	ユーザーのグループメンバーシップを定義する属性を指定します。デフォルト値は memberOf です。 説明 このパラメーターはオプションです。設定する場合、その値は LDAP ディレクトリの Group Mapping Attribute の設定と一致する必要があります。
   Group Filter	グループフィルター式を追加して、同期するグループを制御します。これにより、異なるユーザーセットのアクセス権限を管理できます。 一般的な LDAP フィルター構文の例： (&(objectClass=organizationalUnit)(objectClass=organization))：objectClass が organizationalUnit と organization の両方であるグループを検索します。 (|(objectClass=organizationalUnit)(objectClass=organization))：objectClass が organizationalUnit または organization のいずれかであるグループを検索します。 (!(objectClass=organizationalUnit))：objectClass が organizationalUnit ではないグループを検索します。 LDAP フィルター構文の詳細については、公式の LDAP Filters ドキュメントをご参照ください。
   User Filter	ユーザーフィルター式を追加して、同期するユーザーを制御します。 一般的な LDAP フィルター構文の例： (&(objectClass=person)(objectClass=user))：objectClass が person と user の両方であるユーザーを検索します。 (|(objectClass=person)(objectClass=user))：objectClass が person または user のいずれかであるユーザーを検索します。 (!(objectClass=person))：objectClass が person ではないユーザーを検索します。 LDAP フィルター構文の詳細については、公式の LDAP Filters ドキュメントをご参照ください。
   Automatic Synchronization	有効にすると、Automatic Synchronization は設定に基づいて LDAP サーバーから情報を自動的に同期します。 Automatic Synchronization を無効にした場合は、組織構造を手動で同期する必要があります。詳細については、「同期レコードの表示」をご参照ください。
   Synchronize User Information	Synchronize User Information スイッチを有効にすると、システムは Automatic Synchronization Cycle に基づいて LDAP から従業員情報を自動的に同期します。 説明 Automatic Synchronization 機能が有効になっていない場合、Synchronize User Information 機能は実行されません。
   Automatic Synchronization Cycle	Automatic Synchronization Cycle を設定します。間隔は 1～24 時間で設定できます。
   ロゴ	カスタムロゴをアップロードします。

6. Synchronization Settings ステップで、組織構造の同期範囲とフィールドマッピングを設定し、Next をクリックします。

   パラメーター	説明
   Organizational Structure Synchronization	組織構造を同期する範囲を設定します。 Synchronize All：LDAP の組織構造全体を SASE システムに同期します。 Partially Synchronize：同期したい組織構造の特定の部分を選択します。
   Field Synchronization Mapping	LDAP 組織構造のフィールドと SASE の対応するフィールドとの間のマッピングを定義します。 説明 SASE の組み込みの Local Field After Mapping オプションがビジネス要件を満たさない場合は、リストの右上隅にある View Extended Fields をクリックします。View Extended Fields パネルで、拡張フィールドを追加、編集、または削除できます。

7. Logon Settings ステップで、次の表に従ってデバイスのログイン方法を設定します。

   パラメーター	説明
   PC Logon Method	Logon with Account and Password と Password-free Logon をサポートしています。 パスワードベースのログインの場合、Two-factor Authentication を有効にできます。有効な値： OTP-based Authentication：有効にした場合、OTP Mode を選択する必要があります。次のモードがサポートされています。 SASE モバイルクライアントにトークンを表示させる：これは SASE の組み込み OTP 機能を使用します。ユーザーは SASE モバイルアプリをインストールする必要があります。 サードパーティアプリからのトークンを許可する：これは Google Authenticator や Microsoft Authenticator などの標準的な OTP アプリをサポートします。クライアントの時計は同期されている必要があります。 会社所有のトークンを許可する：自社開発の OTP システムを使用するには、設定の支援についてテクニカルサポートにお問い合わせください。 Verification Code-based Authentication：SMS またはメールで送信される検証コードをサポートします。ID プロバイダーには、各ユーザーの有効な携帯電話番号またはメールアドレスが含まれている必要があります。 パスワードなしのログインの場合、ユーザーはまず SASE モバイルアプリをダウンロードしてログインし、QR コードをスキャンして認証する必要があります。
   Mobile Device Logon Method	Logon with Account and Password と Fingerprint or Face Recognition をサポートしています。 パスワードベースのログインの場合、Two-factor Authentication を有効にできます。有効な値： OTP-based Authentication：モバイルデバイスで OTP-based Authentication を有効にする前に、まず PC ログインで有効にし、Allow Tokens on Third-party Applications または Allow Enterprise-owned Tokens のいずれかを選択する必要があります。モバイルトークンの設定は PC の設定を反映します。 Verification Code-based Authentication: Verification Code-based Authentication を有効にする前に、ID プロバイダーに各ユーザーの有効な携帯電話番号またはメールアドレスが含まれていることを確認してください。 指紋または顔認証の場合でも、SASE アプリへの初回ログイン時にはユーザー名とパスワードを入力する必要があります。

8. 設定が完了したら、パネルの下部にある Logon Test をクリックします。テストが成功したら、確認する をクリックして設定を保存します。

   説明

   設定が正しくない場合、SASE はエラーメッセージを表示します。接続テストで 「LDAP サーバーへの接続に失敗しました。管理者に連絡してください。」 というメッセージが返された場合は、サーバーアドレスとポートが正しいこと、およびサーバーがネットワークにアクセス可能であることを確認してください。

同期レコードの表示

1. Identity synchronization タブで、対象の ID プロバイダーを見つけ、Actions 列の Synchronize Records をクリックします。

2. Synchronize Records ページで、ID プロバイダーの同期レコードを表示します。

3. 左側の Synchronization Task エリアで、特定のタスクをクリックすると、右側のリストにその同期詳細が表示されます。

   左側の同期タスクカードには、タスク ID、同期方法 (手動または自動)、同期ステータス、作成時間、終了時間、部門同期数、ユーザー同期数 が表示されます。右側の同期レコードテーブルには、同期時間、アクション、タスクステータス、タイプ、名前、操作 の列が含まれます。タイプ、アクション、ステータスでレコードをフィルタリングしたり、名前で検索したりできます。

4. 特定のレコードの Actions 列にある Details をクリックすると、Third-party Data Source と SASE Data Source の両方からのフィールド情報を表示できます。

自動同期の無効化

• Identity synchronization ページで、対象の ID プロバイダーを見つけ、Automatic Synchronization 列のスイッチをオフにします。

• Edit IdP パネルで、自動同期スイッチをオフにします。

LDAP ID プロバイダーの編集

Identity synchronization ページで、変更したい LDAP ID プロバイダーを見つけ、Actions 列の Edit をクリックします。

LDAP ID プロバイダーの無効化

Identity synchronization タブで、対象の LDAP ID プロバイダーを見つけ、IdP Status 列のスイッチをオフにします。

LDAP ID プロバイダーの削除

Identity synchronization ページで、削除したい LDAP ID プロバイダーを見つけ、Actions 列の Delete をクリックします。

関連ドキュメント

SASE ID プロバイダーの設定

組織が外部の ID プロバイダーを使用していない場合、SASE の組み込みカスタム ID プロバイダーを使用して組織構造を構築できます。詳細については、「カスタム ID プロバイダーへの接続」をご参照ください。

サードパーティ ID プロバイダーへの接続

組織が LDAP、DingTalk、WeCom、Lark、IDaaS などの ID プロバイダーを使用して組織構造を管理している場合、それを SASE に接続できます。

• DingTalk ID プロバイダーへの接続

• WeCom ID プロバイダーへの接続

• Lark ID プロバイダーへの接続

• IDaaS ID プロバイダーへの接続

ユーザーグループの設定

メインの組織構造とは別にユーザーグループを作成するには、「ユーザーグループ管理」をご参照ください。