ユーザ認識の使用

［ユーザ認識］ページでは、ブレードをオン/オフに切り替えたり、設定ウィザードを使い、ユーザ認識ログ記録と制御を目的としてユーザをIPアドレスに関連付けるよう設計されたCheck Point Software Bladeの1つ。の取得、ログ記録、設定目的のソースを設定できます。

Quantum Sparkアプライアンスのユーザ認識では、IPアドレスベースのログではなく、ユーザベースのログを確認トラフィックやファイルをブロックし、UserCheckメッセージを表示するUserCheckルールアクション。ユーザはアクティビティの許可を承認できます。でき、さらに個々のユーザやグループユーザアカウントなど、属性を共有するオブジェクトの集合体。に対するアクセス制御を実施できます。

ワークフロー

ユーザ認識Software Bladeをオンにします。
［設定ウィザード］をクリックして、ブレードを有効化して設定します。
ユーザやユーザグループ情報を取得するための識別方法を選択し、アイデンティティソースを設定します。
初期設定後、［ポリシー設定］セクションで［Active Directoryクエリ］、［ブラウザベースの認証］、またはIdentity Collectorのチェックボックスをオンにして、［設定］をクリックしてより詳細な設定を行うことができます。
ゲートウェイでユーザのアイデンティティを取得したら、ユーザベースのルールルールベースにおいて、通信セッションに対して指定されたアクションを実行するためのトラフィックパラメータやその他の条件セット。はアクセスポリシーのネットワークトラフィックで実施できます。

アイデンティティソース

ユーザ認識では、認識するソースとして以下を使用できます。

Active Directoryクエリ - ADサーバに対するシームレスなクエリでユーザ情報を取得。

セキュリティポリシーネットワークトラフィックを制御し、パケットインスペクションによりデータ保護やリソースへのアクセスに関する組織のガイドラインを実施するルールの集合体。をインストールする際、Quantum SparkアプライアンスはADドメインコントローラからセキュリティイベントログを受信するための登録を行います。これには、ADサーバの管理者権限が必要です。AD認証情報を使ってユーザが認証を行うと、イベントログが生成されてセキュリティゲートウェイに送られます。Quantum Sparkアプライアンスは、このADセキュリティイベントログに基づいてユーザを識別します。
ブラウザベースの認証 - ローカル定義のユーザの認証、または別の認識メソッドのバックアップとして、ポータルを使って認証可能。
- ブラウザベースの認証では、ネットワークリソースやインターネットにアクセスするユーザの認証にWebインタフェースを使用します。保護されたリソースにアクセスするユーザは、まずWebページにログインする必要があります。これにより、ローカルで定義されたユーザや他の方法で識別できなかったユーザを識別できるようになります。
- すべてのトラフィックに対してブラウザベースの認証が表示されるように設定できます。この識別方法は、エンドユーザが自身を識別する際の手間を軽減するため、特定のネットワークリソースやインターネットにアクセスするときにのみ表示するよう設定するのが一般的です。
- HTTPベースでないトラフィックについても、ブラウザベースの認証で認証されていないユーザによる特定のリソースやインターネットへのアクセスをブロックするよう設定できます。

Identity Collector - アイデンティティとそれに関連するIPアドレスについての情報を収集し、アイデンティティ確立のためにセキュリティゲートウェイトラフィックを検査し、接続されたネットワークリソースに対してセキュリティポリシーを適用するために、Check Pointソフトウェアを実行するCheck Point専用サーバ。に送信します。

注 - R81.10.Xでは、バージョンR81.10.05からこの機能が利用できます。

ユーザ認識の有効化

［オン］または［オフ］オプションを選択します。

注 - ブレードがクラウドサービスで管理されていると、ロックアイコンが表示されます。オン/オフの切り替えはできません。ポリシー設定を変更した場合、その変更は一時的なものになります。ローカルで行った変更は、次回ゲートウェイとクラウドサービスで同期する際に上書きされます。

［設定ウィザード］リンクをクリックします。

［ユーザ認識ウィザード］が開きます。
ユーザ識別方法を1つ以上選択し、［次へ］をクリックします。
残りの手順に従い、［完了］をクリックします。
初期設定を行った後、［ポリシー設定］にある［Active Directoryクエリ］または［ブラウザベースの認証］チェックボックスをオンにして［設定］をクリックすることで、詳細な設定を行えます。

Active Directoryクエリ:

Active Directoryサーバが定義済みである場合は、［既存のActive Directoryサーバを使用］をクリックします。

Active Directoryドメインを新規追加するには

Active Directoryクエリを選択して設定をクリックします。

Active Directoryクエリウィンドウが開きます。
新しいActive Directoryサーバの定義を選択します。
以下を入力します。
- ドメイン
- IPv4アドレス
- IPv6アドレス
- ユーザ名
- パスワード
- ［ユーザDN］ - ［検索］をクリックして該当のユーザを表すオブジェクトのDNを自動検出トラフィックやファイルの内部ネットワークへのアクセスを許可し、それらをログに記録するUserCheckルールアクション。するか、そのユーザのDNを入力します。
特定のブランチからユーザグループ関連する責任を持つユーザの指定されたグループ。を選択するには、特定のブランチからのユーザグループのみ使用チェックボックスをオンにします。

[追加]をクリックし、[ADブランチ]フィールドにブランチのパスを入力します。
適用をクリックします

新しいADドメインを［ユーザ&オブジェクト］>［認証サーバ］ページで追加することもできます。

ブラウザベースの認証

ブラウザベースの認証の設定を編集しポータルをカスタマイズするには

ポリシー設定で、［ブラウザベースの認証］を選択して［設定］をクリックします。
必要に応じて、［認識］タブでウィザードでの設定内容を編集します。
［カスタム］タブで以下の該当するオプションを設定します。
- ［次の条件に対するユーザの承諾を求める］ - ユーザが規約条件に必ず同意するように設定します。テキストボックスに、ユーザに表示する条件を入力します。
- ［アップロード］ - 会社のロゴをアップロードできます。［参照］でロゴファイルを指定し、［適用］をクリックします。ロゴは、［表示ロゴ］セクションに表示されます。
- ［デフォルトを使用］ - デフォルトのロゴを使用します。
［詳細］タブで以下の設定を行います。
- ［ポータルアドレス］ - デフォルト設定（Quantum Sparkアプライアンス上のCaptive Portalで使用するアドレス）のままにするか、別のポータルアドレスを入力します。
- ［セッションタイムアウト］ - 認証されたユーザによるネットワークリソースやインターネットへのアクセスに対し、再度認証を要求するまでの時間を設定します。
- ［未登録ゲストのログインを有効にする］ - 未登録のゲストを、IPアドレスではなくユーザ名でログで識別します。
  
  未登録ユーザは、パートナーや契約者など、ADで管理していないユーザのことです。ゲストとしてアクセスするには、企業名、メールアドレス、電話番号（任意）、名前を入力する必要があります。
  
  ［セッションタイムアウト］を設定します。ここで設定する時間は、ゲストがネットワークのリソースにアクセスできる時間の長さ（分）です。デフォルトのタイムアウトは180分です。
  
  ゲストのアクセスはログ記録されます。［ログ&モニタリング］タブの［ユーザ］カラムに、ゲストの名前が表示されます。その他の詳細は、完全なログのエントリに表示されます。
  
  ゲストのアクセスはログ記録されます。［ログ&モニタリング］タブの［ユーザ］カラムに、ゲストの名前が表示されます。その他の詳細は、完全なログのエントリに表示されます。
- ［ユーザがポータルウィンドウを閉じたらクイックキャッシュタイムアウトを実施］ - ポータルを閉じた場合、ユーザは5～10分以内にログアウトされます。
適用をクリックします

Identity Collector

注 - R81.10.Xでは、バージョンR81.10.05からこの機能が利用できます。

Quantum Spark Locally Managedアプライアンスは、R81.10.05以降のバージョンでIdentity Collectorをアイデンティティソースとしてサポートします。

Identity Collectorの設定の詳細については、 Identity Awareness Clients Administration Guide を参照してください。

注 - このページには、［アクセスポリシー］>［ユーザ認識ブレードコントロール］または［ユーザ&オブジェクト］>［ユーザ認識］からアクセスできます。