Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

Google Workspace を ID プロバイダとして統合する

次の手順に従って、Google WorkspaceポータルにMistをクライアントとして追加し、証明書をダウンロードして、IDプロバイダーをジュニパーMist組織に追加します。

ジュニパー Mist Access Assurance を使用すると、ID プロバイダ(IdP)として Google Workspace と統合し、以下のユースケースでセキュアな Lightweight Directory Access Protocol over SSL(LDAPS)コネクタを活用できます。

  • 証明書ベース(EAP-TLSまたはEAP-TTLS)認証の場合:
    • このユーザーIDに基づく認証ポリシーをサポートするために、ユーザーグループのメンバーシップ情報を取得します
    • ユーザーアカウントのステータス(アクティブまたは中断)を取得します

  • PAPを使用したEAP-TTLS

    • GoogleのIDプロバイダによる認証のためにユーザー名とパスワードを確認します
注:

このドキュメントに含まれるスクリーンショットの一部は、サードパーティのアプリケーションから取得したものです。これらのスクリーンショットは時間の経過とともに変更される可能性があり、アプリケーションの現在のバージョンと必ずしも一致するとは限らないことに注意してください。

Google Workspaceでの設定

次の手順は、ジュニパーMistを使用してGoogle WorkspaceをIDプロバイダ(IdP)として設定する方法を示しています。

注:

サードパーティ製アプリケーションのスクリーンショットは、公開時点のものです。スクリーンショットがいつ、または将来正確になるかを知る方法はありません。これらの画面の変更や関連するワークフローのガイダンスについては、サードパーティーのWebサイトを参照してください。
  1. Google管理者の認証情報を使用して、Google Workspaceポータルにログインします。

    Google管理ダッシュボードが表示されます。

  2. LDAPクライアントを作成します。
    1. Google 管理コンソールの左側のナビゲーション バーで [アプリ] > [LDAP] に移動し、[クライアントを追加] をクリックします。
    2. LDAPクライアント名とオプションの説明を入力し、続行をクリックします。

      LDAPクライアントを追加すると、 アクセス許可 ページが表示されます。

  3. ユーザーの資格情報を検証するためのアクセス許可を設定します。

    以下のオプションがあります。

    • ユーザー資格情報の検証—EAP-TTLS/PAPを使用したユーザー資格認証を許可します。この設定は、LDAPクライアントがユーザーの認証情報を検証するためにアクセスできる組織グループを指定します。
    • ユーザー情報の読み取り—基本的なユーザー情報を読み取ることができます。この設定では、LDAPクライアントが追加のユーザー情報を取得するためにアクセスできる組織部門とグループを指定します。
    1. 特定の組織が必要ない場合は、両方のオプションでドメイン全体を選択します。
    2. グループ情報を読み取るまで下にスクロールします。この設定は、LDAPクライアントがグループの詳細を読み取り、ユーザーのグループメンバーシップを確認できるかどうかを指定します。

      アクセス許可の設定とLDAPクライアントの追加が完了すると、同じページに証明書が自動的に生成されます。

  4. 生成されたLDAPSクライアント証明書をダウンロードします。
    1. 証明書のダウンロードをクリックし、ダウンロードした証明書を安全な場所に保存します。この証明書は、ジュニパー MistポータルでIdPを設定するときに必要になります。
    2. [クライアントの詳細に進む]をクリックします。

      <LDAPクライアント名の設定>ページが表示されます。

    3. 認証セクションを展開します。
    4. アクセス 資格情報で、 新しい資格情報を生成をクリックします。

      ユーザー名とパスワードは、 アクセス資格情報 ページで確認できます。

      ユーザー名とパスワードをコピーして保存します。ジュニパーMistクラウドポータルのLDAPSクライアント設定には、これらの詳細が必要です。

  5. LDAPクライアントのサービスステータスをオンに変更して、LDAPクライアントサービスを有効にします。この手順により、セキュアLDAPサービスを使用してクライアントをセットアップできます。
    1. Google 管理コンソールから [アプリ] > [LDAP] に移動します。クライアントを選択し、サービスステータスをクリックします。

      ページ右上に表示されるサービスステータスは、最初は OFFに設定されています。

      [ すべてのユーザーにオン] を選択して、サービスをオンにします。変更がGoogle側に適用されるまでしばらくお待ちください。

Juniper Mistダッシュボード上の設定

  1. ジュニパー Mistポータルの左側のメニューから、組織>アクセス>IDプロバイダーを選択します。

    IDプロバイダーページには、設定されているIDプロバイダーが表示されます。

    図1:IDプロバイダーページ Identity Providers Page
  2. 新しい IdPを追加するには、 IDPを追加 をクリックします。
  3. 新しいIDプロバイダーページで、Google Workspaceと統合するために必要な情報を入力します。
    図2:IDプロバイダーの詳細を更新する Update Identity Provider Details

    次に、Google Workspace LDAP エンドポイントと統合するように LDAPS コネクタを構成します。

    • 名前—IdP名を入力します。(この例では、 Google Workspaceと入力します。)
    • IDPタイプ— LDAPSを選択します。
    • LDAPタイプ— カスタムを選択します。
    • グループフィルター— memberOfを選択します。このオプションは、 グループ属性からグループメンバーシップを取得するために必要です。
    • メンバーフィルター— memberOfを選択します。
    • ユーザーフィルター— (mail=%s)を入力します。
    • サーバーホスト— ldap.google.comを入力します。
    • ドメイン名—Google Workspaceドメイン名を入力します。例: abc.com。
    • DNのバインド—前のステップでGoogleから提供されたユーザー名を使用します。
    • バインドパスワード—上記のユーザー名のパスワードを入力します。
    • ベースDN—Google Workspaceドメインに一致するベースDNを設定します。たとえば、ドメインが abc.com の場合、ベースDNは dc=abc,dc=comです。
  4. CA証明書セクションで、証明書を追加をクリックし、次の2つの証明書を貼り付けます。
    図3:証明書Add CA CertificateCAを追加する
  5. [クライアント証明書]で、Googleからダウンロードしたクライアント証明書を追加します。次の例に示すように、.keyで終わるファイルをプライベートキーに、.crtで終わるファイルを署名付き証明書の下に配置します。
    図4:クライアント証明書の追加 Add Client Certificate

    「保存」をクリックします。

ジュニパー Mistポータルで、 > インサイト > クライアントイベントの監視に移動します。

ユーザーがEAP-TTLSを使用して認証すると、ユーザーグループのメンバーシップ情報を取得する NAC IDP認証成功 イベントと NAC IDPグループルックアップ成功 イベントを確認できます。

ユーザーがGoogle WorkspaceでEAP-TTSを使用して認証すると、ユーザーグループのメンバーシップ情報を取得する イベントNAC IDPグループルックアップ成功 を確認できます。
図5:IDPグループルックアップ成功認証イベント IDP Group Lookup Success Authentication Event

EAP-TTLS認証の場合は、 NAC IDP認証成功 イベントを確認できます。このイベントは、Google Workspace がユーザーの認証情報を検証したことを示します。

図6:IDP認証成功イベント IDP Authentication Success Event

認証ポリシールールでGoogle WorkspaceのIDPロールを活用し、ユーザーロールに基づいてネットワークセグメンテーションを実行できます。

ROPC を使用した EAP-TTLS と Azure AD について

拡張認証プロトコル-トンネル化されたTLS(EAP-TTLS)は、Azure ADでのLDAPS OAuthフローを利用してユーザー認証を実行します。これは、MFA なしでユーザー名とパスワードを使用するレガシー認証の使用を意味します。この方法を採用する際には、考慮すべき要素がいくつかあります:

  • GPOまたはMDMから、正しいWi-Fiプロファイルを使用してクライアントデバイスを設定します。 ログイン プロンプトでユーザー名とパスワードのみを指定しても、一部のオペレーティング システムでは機能しません。
  • ユーザーは、ユーザー名を入力する際に、Google Email ID(username@domain)ユーザー名形式を使用する必要があります。
  • サーバー証明書を信頼するようにクライアントを設定します。 デジタル証明書の使用を参照してください。

関連項目