SAML ID プロバイダの設定

1. SmartConsoleを使用して、Security Management Server 运行Check Point软件的专用Check Point服务器，用于管理单个管理域内的Check Point环境中的对象和策略。同义词：单域安全管理服务器。/関連するドメイン管理サーバに接続します。

2. 左側のナビゲーションパネルからGateways & Serversをクリックします。

3. 該当する Quantum Spark ゲートウェイのオブジェクトを開きます。

4. 一般プロパティ>ネットワークセキュリティタブで、IPsec VPNソフトウェアブレードを選択します。

5. 左のツリーから、IPsec VPNをクリックします。

6. このセキュリティゲートウェイは以下のVPNコミュニティに参加していますセクションで、追加をクリックします。

   このゲートウェイをコミュニティに追加ウィンドウが開きます。

7. 該当するリモートアクセスVPNコミュニティを選択します。

8. ［OK］をクリックします。。

9. 左のツリーから、VPNクライアントを展開し、リモートアクセスをクリックし、ビジターモードのサポートを選択します。

10. 左側のツリーから、VPNクライアントをクリック > オフィスモードをクリック > オフィスモードの許可を選択 > 該当するオフィスモード方式を選択します。

11. ［OK］をクリックします。。

    Quantum Spark ゲートウェイオブジェクトが閉じます。

12. Quantum Spark ゲートウェイ オブジェクトを開きます。

13. 左側のツリーから、VPN クライアント>SAML ポータル設定の順にクリックします：

    1. Main URLフィールドにQuantum Sparkゲートウェイの完全修飾ドメイン名（FQDN）が含まれていることを確認します。

    2. ドメイン名の末尾が、組織に登録されているDNSサフィックスであることを確認してください。

       例:

       https://MyGateway1.mycompany.com/saml-vpn

    3. アクセシビリティセクションで、関連する設定を選択します。

14. ［OK］をクリックします。。

1. SmartConsoleで、右側のナビゲーションパネルから新規>その他>ユーザ/アイデンティティ>IDプロバイダをクリックします。

   新規IDプロバイダウィンドウが開きます。

2. 新規IDプロバイダ」ウィンドウで、以下の設定を行います：

   1. 一番上に該当する名前とコメントを入力します。

   2. ゲートウェイフィールドで、SAML 認証を行う Quantum Spark ゲートウェイを選択します。

   3. サービスフィールドで、リモートアクセスVPNを選択します。

   SmartConsoleは、これらのフィールドに自動的に入力します：

   • 識別子（エンティティID）- サービスプロバイダ（この構成ではセキュリティゲートウェイ）を一意に識別するURL。

   • 返信 URL- SAML アサーションを送信する URL。

3. ID プロバイダの Web サイトで SAML アプリケーションを構成します。

   重要- ID プロバイダの Web サイトで SAML アプリケーションを構成している間は、SmartConsole の新規IDプロバイダウィンドウを閉じないでください。

   注- IDプロバイダによっては、リモートアクセスVPN用のSAMLを構成するために必要な機能を使用するために、プレミアムサブスクリプションを購入する必要がある場合があります。

   ID プロバイダの指示に従う。

   1. SmartConsole の新規IDプロバイダウィンドウから(エンティティID)」フィールドと返信URLフィールドの値をコピーし、IDプロバイダのウェブサイトの該当するフィールドに入力します。

   2. 認証されたユーザ名を電子メール形式 "alias@domain" で送信するよう、IDプロバイダを設定してください。

      重要- ユーザのプライマリメールアドレスは、オンプレミスの LDAP ディレクトリと ID プロバイダのユー ザディレクトリで同じでなければなりません。このEメールアドレスは一意でなければなりません。

   3. オプション：ユーザが定義されている ID プロバイダのグループを受信するには、グループ名を "group attr" 属性の値として送信するように ID プロバイダを設定します。

   4. 構成を完了する前に、ID プロバイダからこの情報を取得する：

      • エンティティID- アプリケーションを一意に識別するURL。

      • ログインURL- アプリケーションを使用するためのURL。

      • 証明書- Quantum Spark ゲートウェイとIDプロバイダ 間のセキュアな通信のため。

      注- 一部の ID プロバイダは、この情報をメタデータ XML ファイルで提供します。

4. 新規 ID プロバイダウィンドウのSAML ID プロバイダから受信したデータセクションで、以下のオプションのいずれかを選択する：

   • メタデータファイルのインポート

     ファイルから重要な情報をインポートをクリックし、 ID プロバイダからメタデータファイルを選択する。

   • 手動挿入

     1. 識別子 (エンティティID)と、ID プロバイダからコピーしたログインURLを入力します。

     2. ファイルからインポートをクリックし、ID プロバイダから証明書ファイルを選択します。

        注- SmartConsole の ID プロバイダオブジェクトは、RAW 証明書のインポートをサポートしていません。

1. 在左邊的導覽面板中，按一下管理和設定。

2. 左のツリーからブレードをクリックします。

3. モバイルアクセスセクションで、SmartDashboardで設定をクリックします。

   レガシーSmartDashboardが開きます。

4. 左下のペインで、ユーザタブをクリックします。

5. ユーザタブで、空白のスペースを右クリックし、新規>[外部ユーザプロファイル>すべてのユーザに一致を選択します。

6. 外部ユーザプロファイルのプロパティを設定します：

   1. の［一般プロパティ］ページが開きます。

      • 外部ユーザプロファイル名フィールドで、デフォルト名がgeneric* であることを確認する。

      • 有効期限フィールドに日付を入力します。

   2. 認証ページの認証スキームドロップダウンリストで、未定義を選択します。

   3. ロケーション、時間、暗号化のページで、関連する設定を行います。

   4. ［OK］をクリックします。。

7. 上部のツールバーから、メニュー（左上のボタン）＞ファイル＞アップデートをクリックします。

8. レガシーSmartDashboardを閉じます。

9. SmartConsoleで、Access Control Policyをインストールします。

1. Windows用またはmacOS用のリモートアクセスVPNクライアントをインストールします。

   詳細は、sk172909を参照してください。

2. オプション：ID プロバイダのブラウザモードを構成します。

   デフォルトでは、Windows クライアントは組み込みブラウザを使用し、macOS クライアントは Safari ブラウザを使用して ID プロバイダのポータルで ID を証明します。

   エンドポイントコンピュータのデフォルトブラウザ（例：Chrome）を使用するように、Windows用リモートアクセスVPNクライアントを設定します：

   注- この設定は、Windows用リモートアクセスVPNクライアントバージョンE87.30からサポートされています。

   1. 管理者としてWindowsエンドポイントコンピュータにログインします。

   2. プレーンテキストエディタでtrac.defaults ファイルを編集します。

      • 64ビットのWindowsでは、ファイルの場所は次のとおりです：

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

      • 32ビットのWindowsでは、ファイルの場所は次のとおりです：

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

   3. idp_browser_mode属性の値をembeddedからdefault_browserに変更します。

   4. ファイルに変更を保存し、テキストエディタを閉じます。

   5. リモートアクセスVPNクライアントを停止し、再度起動します。

      Windowsのコマンドプロンプトを管理者として開き、以下のコマンドを実行します：

      1. net stop TracSrvWrapper

      2. net start TracSrvWrapper

   エンドポイントコンピュータのデフォルトブラウザ（例：Chrome）を使用するように、macOS用リモートアクセスVPNクライアントを設定します：

   注- この設定は、リモートアクセスVPNクライアントfor macOSバージョンE87.30からサポートされています。

   1. 管理者としてmacOSエンドポイントコンピュータにログインします。

   2. プレーンテキストエディタを開きます。

   3. プレーンテキストエディタでtrac.defaultsファイルを編集します：

      /Library/Application Support/Checkpoint/Endpoint Security/Endpoint Connect/Trac.defaults

   4. idp_browser_mode属性の値をembeddedからdefault_browserに変更します。

   5. ファイルに変更を保存し、テキストエディタを閉じます。

   6. リモートアクセスVPNクライアントを停止し、再度起動します。

      ターミナルを開き、以下のコマンドを実行します：

      1. sudo launchctl stop com.checkpoint.epc.service

      2. sudo launchctl start com.checkpoint.epc.service

   Internet Explorerブラウザを使用するためのWindows用リモートアクセスVPNクライアントの設定

   1. 管理者としてWindowsエンドポイントコンピュータにログインします。

   2. プレーンテキストエディタでtrac.defaults ファイルを編集します。

      • 64ビットのWindowsでは、ファイルの場所は次のとおりです：

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

      • 32ビットのWindowsでは、ファイルの場所は次のとおりです：

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

   3. idp_browser_mode属性の値をembeddedからIEに変更します。

   4. ファイルに変更を保存し、テキストエディタを閉じます。

   5. リモートアクセスVPNクライアントを停止し、再度起動します。

      Windowsのコマンドプロンプトを管理者として開き、以下のコマンドを実行します：

      1. net stop TracSrvWrapper

      2. net start TracSrvWrapper

   リモートアクセスVPNゲートウェイの設定ファイルで、Windowsエンドポイントコンピュータのブラウザモードを設定します：

   リモートアクセスVPNクライアント for WindowsバージョンE88.41以降では、リモートアクセスVPNゲートウェイ上の設定ファイルでエンドポイントコンピュータのブラウザモードを設定できます。

   idp_browser_mode ファイルの "trac_client_1.ttm" パラメーターは、ブラウザのモードをコントロールします。詳細は、sk75221を参照してください。

認証とは、このようなグループのことです：

• IDプロバイダグループ - ID プロバイダが送信するグループ。

• 内部グループ - SmartConsoleで設定されたユーザディレクトリから受信したグループ（内部ユーザグループまたはLDAPグループ）。

ID プロバイダグループを設定する：

1. ID プロバイダのインタフェースで、SAML 属性を構成する：

   1. group_attrというオプションの属性を定義します。

   2. ID プロバイダの要件に従って属性を構成します。

2. SmartConsoleで、この名前で内部ユーザグループオブジェクトを作成します（大文字と小文字を区別し、スペースはサポートしません）：

   EXT_ID_<Name_of_Role>

   例えば、ID プロバイダのインタフェースのロールにmy_group という名前を付け、SmartConsole にEXT_ID_my_groupという名前で内部ユーザグループオブジェクトを作成します。

   注- Microsoft Azure では、Identity タグはリモートアクセス接続ではサポートされていません。

ID プロバイダのグループと内部グループ（例：LDAP）が認証に使用されます。

権限の種類リモートアクセスVPNコミュニティとアクセスロール

• リモートアクセスVPNコミュニティ - リモートアクセスVPNへのアクセスをユーザに許可します。

  詳細は次を参照: R81.10 Remote Access VPN Administration Guide>「 リモートアクセスのためのユーザ認証とクライアント認証」の項。

• アクセス・ロール（Identity Awareness Software Blade が必要） - ポリシールールおよびユー ザ ID に従って、ユーザにアクセス権を付与する。

  詳細は次を参照: R81.10 Identity Awareness Administration Guide> セクション「アクセスロールの作成」。

リモートアクセスVPNによる認証を適用するには、該当するグループをリモートアクセスVPNに追加します。

アクセスロールによる認可を適用するには、アクセスコントロールポリシーのアクセスロールに該当するグループを追加します。