すべてのプロダクト
Search

このプロダクト

    Secure Access Service Edge:認証管理

    ドキュメントセンター

    Secure Access Service Edge:認証管理

    最終更新日:Jun 22, 2026

    このドキュメントでは、アプリケーションへのログオンと使用をより便利かつ安全にする SASE アプリの認証管理機能について説明します。この機能は、柔軟な ID 管理、自動ログオンポリシー、および OIDC プロトコルを介したエンタープライズ ID プロバイダー (Okta、Azure AD、カスタムシステムなど) から SASE アプリへのシングルサインオンを可能にし、よりスムーズで安全なアクセス体験を提供します。

    利用シーン

    • 企業が、それぞれ異なる ID ソースを持つ複数のアプリケーションを導入する場合、ユーザーは SASE App にログインするために、異なる ID ソースを使用する必要があります。

    • ユーザーは、OIDC 認証ソースを使用して認証されます。利便性のために、OIDC プロトコルをサポートするすべてのアプリケーションで、OIDC 認証ソースを使用して SASE アプリにログオンするように設定する必要があります。

    • 統合エンタープライズエンドポイント管理環境では、効率とユーザーエクスペリエンスを向上させるために、IT 管理者は、従業員がユーザー名とパスワードを手動で入力しなくてもSASE アプリに自動的にログインできるようにしたいと考えています。

    前提条件

    • 認証を有効にするには、まず ID ソースを作成して有効にする必要があります。詳細については、「アイデンティティ同期」をご参照ください。

    • OIDC プロトコルを使用して LDAP ID ソースを拡張するには、まずLDAP ID ソースに接続し、有効にする必要があります。LDAP 統合のベストプラクティスについては、「Secure Access Service Edge による LDAP ユーザーアクセスの保護」をご参照ください。

      説明

      OIDC 認証ソースは組織構造を提供しないため、組織構造を提供する ID ソースと関連付ける必要があります。

    • エンタープライズ端末にインストールされているSASE アプリは、v4.8.5 以降である必要があります。

    拡張認証ソースの作成

    OIDC ソースは、フェデレーション認証に標準の OIDC 認可コードフローを使用します。Okta、Azure AD、自社開発システムなど、このフローをサポートする ID プロバイダーをSASE の ID プロバイダーとして機能させることで、ユーザーは既存のアカウントで SASE アプリにログオンできるようになります。デバイス認証ソースでは、デバイス情報をアップロードする必要があります。これをログオンフリーポリシーと組み合わせることで、クライアントの自動サインインが可能になります。

    1. セキュアアクセスサービスエッジコンソールにログインします。

    2. 左側のナビゲーションペインで、Identity Authentication > Identity Access を選択します。

    3. Authentication Management タブで、Extended Authentication Source をクリックします。

    4. Extended Authentication Source ページで、Add Extended Authentication Source をクリックします。

    5. Add パネルで、次の表の情報を使用して拡張認証ソースを設定します。

      パラメータ

      説明

      [Authentication Source Name]

      拡張認証ソースの名前です。

      名前は 2～100 文字で、中国語、英字、数字、ハイフン (-)、およびアンダースコア (_) を使用できます。

      [Description]

      設定の説明です。

      この説明は、ユーザーがログオン時に ID ソースを識別できるよう、SASE アプリにログオンタイトルとして表示されます。

      [Extended Authentication Source Configuration] > Authentication Source Type

      Authentication Source Type には、OIDC と、クライアントの自動サインイン機能に使用される Device Authentication があります。

      • OIDC

        • [Authorization Mode]：デフォルトで認可コードフローに設定されており、変更できません。

        • クライアント ID: SASE にリクエストを送信するアプリケーションの識別子です。これは、ID プロバイダーのアプリケーション識別子です。

        • クライアントシークレット: アプリケーションが SASE にリクエストを送信するためのキーです。これは、ID プロバイダーのアプリケーションシークレットです。

          重要

          侵害されたクライアントシークレットをローテーションするには、既存のシークレットを削除して新しいシークレットを追加します。

        • スコープ：エンドポイントから要求される認可スコープです。

        • 発行者：OIDC 発行者ディスカバリーエンドポイントです。SASE はこのエンドポイントを解析して、エンドポイント情報を自動的に取得できます。

      • [Device Authentication]

        1. [インポートテンプレートのダウンロード] をクリックし、ログオンフリー機能を使用するデバイスの情報（名前、電話番号、メールアドレス、デバイスの MAC アドレス、デバイスの SN、デバイスのホスト名）を入力します。

          テンプレートへの入力が完了したら、ファイルをアップロード領域にドラッグするか、[参照して選択] をクリックしてアップロードします。ファイルは .xlsx または .xls 形式で、100 MB 以下である必要があります。[関連付けられたIdP] 領域で、対応する ID ソースを選択します。

        2. ファイルをドラッグするか、参照して選択し、テンプレートを SASE にアップロードします。

      [Associated IdP]

      サポートされる関連付けられたアイデンティティプロバイダーのタイプは、認証ソースタイプによって異なります。

      • OIDC：既存の LDAP ID ソースを選択します。LDAP ID ソースのみがサポートされています。

      • デバイス認証：既存の ID ソースを選択します。

    6. OK をクリックします。

      OIDC 認証ソースタイプを選択した場合、Redirect URI for SASE Authorization の値をコピーし、OIDC サービスで設定する必要もあります。

    ログイン不要ポリシーの設定

    クライアント自動サインインを有効にすると、クライアントは自動的にサインインします。ID ソースにバインドされていないデバイスは匿名アイデンティティとして接続されますが、データ保護ポリシーとエンドポイント保護ポリシーは引き続き適用されます。

    1. Secure Access Service Edge コンソールにログインします。

    2. 左側のナビゲーションペインで、Identity Authentication > Identity Access を選択します。

    3. Authentication Management タブで、Single Sign-On Policy をクリックします。

    4. Client Auto-Sign-In Policy パネルで、ポリシーを有効にし、スコープを設定し、影響を受けるデバイスを表示します。

      パラメータ

      説明

      [Enable Client Auto-Sign-In]

      クライアント自動サインインポリシーを有効にします。

      [Scope of Automatic Sign-In]

      • [All Devices]: プラットフォームの端末リストにあるすべてのデバイス (手動でインポートされた会社のデバイスを含む) に適用されます。ポリシーが有効になると、これらのデバイスは匿名 ID でオンラインになります。カスタム ID ソース認証を有効にする必要があります。左側のナビゲーションペインでEndpoint Management > Terminalsを選択すると、エンタープライズ端末情報を表示できます。

      • [Authenticated Devices]：拡張認証ソースでデバイス認証が設定されているすべてのデバイスに適用されます。ポリシーが有効になると、これらのデバイスは自動サインインを通じてデバイス所有者としてサインインします。

      [Automatic Sign-In Status]

      このポリシーの影響を受けるデバイス。デバイス数をクリックすると、Terminals ページに移動して、影響を受けるデバイスの情報を表示できます。

    5. OK をクリックします。

    6. Authentication Management タブで、カスタム ID ソーススイッチをオンにします。

      説明

      SASE を有効化すると、デフォルトでカスタム ID ソースが作成されます。 別のカスタム ID ソースを作成する必要がある場合は、「カスタム ID ソースに接続する」をご参照ください。

      • 企業の ID ソースを使用している場合は、それも有効にする必要があります。

      • 企業が OIDC 拡張認証ソースを使用している場合、Authentication Management タブでその認証ステータスも有効にする必要があります。

    7. ログイン不要の範囲内にあるデバイスで、SASE アプリをダウンロードしてインストールします。

    8. SASE アプリを開き、企業認証識別子を入力して、確認する をクリックします。SASE アプリが自動的にログオンします。

    認証ステータスの有効化

    OIDC 拡張ソースを含む、作成および有効化された ID ソースがリストに表示されます。これらのソースの認証ステータスを管理し、SASE アプリのログインページでの表示順を調整できます。

    1. Authentication Management タブで、作成した ID ソースを探します。

    2. Authentication Status 列で、スイッチをオンにします。

      この順序によって、SASE App ログインページでの ID ソースの表示順序が決まります。

      SASE App ログインページの下部にある [企業IDソース] セクションには、有効な ID ソース (IDaaS や LDAP など) のアイコンが表示されます。このアイコンの順序が、ユーザーのログイン時に表示される順序になります。リストの左側にある image アイコンをドラッグして、リスト内のソースの順序を変更します。

    説明

    • 有効な ID ソースのみ順序を変更できます。

    • ユーザーは、ID ソースが有効な場合にのみ、SASE アプリにサインインできます。

    関連トピック