関連トピック

# Active Directory 認証を構成する

Active Directory は、LDAP ディレクトリ構造の Microsoft® Windows ベースのアプリケーションです。Active Directory により、DNS で使用されているドメインの階層の概念を組織レベルに拡大できます。この機能では、アクセスしやすい集中管理データベースに組織の情報と設定が保存されます。Active Directory 認証サーバーを使用すると、ユーザーが既存のネットワーク認証情報で Firebox への認証を行うことが可能となります。Active Directory 認証が正確に行われるよう、Firebox と Active Directory サーバーの両方を構成する必要があります。

Active Directory 認証を構成すると、認証時にユーザーが選択できる 1 つまたは複数の Active Directory ドメインを指定することができます。無制限の数のドメインを追加できます。

各ドメインには、プライマリーサーバーとバックアップサーバーという 2 つの Active Directory Server を追加することができます。追加した最初のサーバーに障害が発生すると、2 番目のサーバーを使用して、認証要求を完了します。Active Directory Server を追加するときに、各サーバーの IP アドレスまたは DNS 名を指定するかを選択することができます。

複数の Active Directory ドメインを構成し、Single Sign-On (SSO) を使用する場合、使用可能な Active Directory ドメインの中からユーザーがドメインを選択して認証できるようにするには、ユーザーは SSO Client をインストールするか、または Event Log Monitor または Exchange Monitor を使用する必要があります。詳細については、次を参照してください：Active Directory（シングルサインオン / SSO）について および WatchGuard シングル サインオン (SSO) クライアントをインストールする。

Active Directory 認証方法でユーザーが認証する場合、識別名 (DN) とパスワードは暗号化されません。Active Directory 認証を使用して、ユーザー認証情報を暗号化するために、LDAPS (SSL 上の LDAP) オプションを選択することができます。LDAPS を使用する場合、Firebox の LDAPSクライアントと Active Directory サーバー間のトラフィックは SSL トンネルにより保護されます。このオプションを有効にするときに、LDAPS クライアントが Active Directory Server の認証情報を検証するかを選択することもできます。LDAPS の使用を選択し、サーバーの DNS名を指定することで、指定する検索ベースにサーバーの DNS 名が含まれます。

Active Directory サーバーは任意の Firebox インターフェイスに配置できます。また、VPN トンネルを経由して接続可能な Active Directory サーバーを使用するようにデバイスを構成できます。 詳細については、次を参照してください：BOVPN トンネル経由の Active Directory Authentication。

PhoneFactor 認証は、通話を使ってユーザーの ID を特定する多因子認証システムです。複数の帯域外方法 (電話、テキストメッセージ、およびプッシュ通知) および OATH パスコードを使用するため、PhoneFactor はユーザー向けに柔軟なオプションと、管理用に 1 つの多因子プラットフォームを提供します。

Active Directory サーバーに PhoneFactor 認証を使用する場合、Active Directory 認証サーバー設定でタイムアウト値を構成して、帯域外 PhoneFactor 認証が発生する時点を指定できます。PhoneFactor 認証のタイムアウト値は 10 秒以上に設定する必要があります。

開始する前に、ユーザーが正常に Active Directory Server に認証されることを確認してください。Firebox 構成で定義した Active Directory ドメインとサーバーは、追加、編集、または削除できます。

## Active Directory 認証ドメインとサーバーの追加

Active Directory ドメインおよびサーバーを追加するには、Fireware Web UI から:

1. 認証 > サーバー の順に選択します。
   認証サーバー ページが表示されます。
2. サーバー ドロップダウン リストから、Active Directory を選択します。
   Active Directory サーバー設定が表示されます。

3. 追加 をクリックします。
   追加 ページが表示されます。

3. ドメイン名 テキスト ボックスに、この Active Directory Server で使用するドメイン名を入力します。
   ドメイン名には、ドメイン サフィックスが含まれている必要があります。たとえば、exampleではなく、example.comと入力します。
4. プライマリ ドロップダウン リストから、IPアドレス または DNS 名 を選択します。
5. テキスト ボックスに、Active Directory サーバーの IP アドレスまたは DNS 名を入力します。
6. ポート テキスト ボックスに、Active Directory Server への接続に使用するデバイスの TCP ポート番号を入力します。ヒント既定のポート番号は 389 です。LDAPS を実行するには、ポート 636 を選択してください。

Active Directory Server がグローバル カタログ サーバーの場合、既定のポートを変更した方がよい可能性があります。詳細については、Active Directory Server の既定のポートを変更するを参照してください。

7. 別の Active Directory サーバーをこのドメインへ追加するには:
   1. セカンダリ (任意) ドロップダウン リストから、IP アドレスまたは DNS 名を選択します。
   2. テキスト ボックスに、セカンダリ Active Directory サーバーの IP アドレスまたは DNS 名を入力します。
   3. ポート テキスト ボックスに、Active Directory Server への接続に使用するデバイスの TCP ポート番号を指定します。

   詳細については、バックアップ認証サーバーの使用を参照してください。

8. タイムアウト テキスト ボックスで、デバイスが接続を切断して再接続するまで Active Directory サーバーからの応答を待機する秒数を入力または選択します。
9. 停止時間 テキスト ボックスに、非アクティブ状態のサーバーが再度アクティブであるとマークされるまでの経過時間を入力します。
10. 停止時間 ドロップダウン リストで、分または時間を選択して時間を設定します。

    認証サーバーが一定時間応答しなかった場合、そのサーバーは停止としてマークされます。追加の認証では、再びこのサーバーがアクティブとマークされるまで、このサーバーに対して認証は試行されません。

11. 検索ベース テキスト ボックスに、検索を開始するディレクトリ内の場所を入力します。 ヒント検索ベース設定の標準形式は、ou=<組織ユニットの名前>,dc=<サーバーの識別名の最初の部分>,dc=<ドットの後に現れるサーバーの識別名の任意の部分> です。

    デバイスが認証一致を検索できる認証サーバーのディレクトリを限定するのに検索ベースを使用する詳しい方法については、Active Directory 検索ベースの検索を参照してください。

12. グループ文字列テキスト ボックスに、Active Directory サーバーでユーザー セキュリティ グループ情報を保持するために使用される属性文字列を入力します。Active Directory スキーマを変更していない場合、セキュリティ グループ文字列は常に memberOf になります。
13. ログイン属性 ドロップダウンリストで、認証に使用する Active Directory ログイン属性を入力または選択してください。

    ログイン属性は、Active Directory データベースへのバインドに使用する名前です。既定のログイン属性は sAMAccountName です。sAMAccountName を使用する場合、検索対象ユーザーの DN および 検索対象ユーザーのパスワード の設定に値を指定する必要はありません。

    1. 検索対象ユーザーのDN テキスト ボックスに、検索操作用の識別名 (DN) を入力します。

       sAMAccountName のログイン属性を維持する場合、このテキスト ボックスへ入力する必要はありません。

       ログイン属性を変更する場合、構成で検索対象ユーザーの DN テキスト ボックスに値を追加する必要があります。管理者 など、LDAP および Active Directory の検索権限のある任意のユーザーの DN を使用できます。ただし、検索権限だけを持つ、より権限の低いユーザーの DN で通常は十分です。
       例：cn=Administrator,cn=Users,dc=example,dc=com

    2. 検索対象ユーザーのパスワード テキスト ボックスに、検索操作で使用する識別名に関連付けられたパスワードを入力します。
14. Active Directory Server への SSL 接続を有効にするには、LDAPS を有効にする チェックボックスを選択します。
15. LDAPS を有効化にして、ポート の値を LDAPS の既定のポートに設定しなかった場合、ポート メッセージのダイアログ ボックスが表示されます。既定のポートを使用するには、はい をクリックします。指定したポートを使用するには、いいえ をクリックします。
16. Active Directory Server の認証が有効になっているかを確認するには、サーバー認証の有効化 チェックボックスを選択します。
17. プライマリ LDAP サーバーの任意属性を指定するには、Active Directory サーバーのオプション設定 セクションを実行します。

    オプション設定の構成方法についての詳細は、次を参照してください: Active Directory のオプション設定について。

18. 保存 をクリックします。

Active Directory ドメインおよびサーバーを追加するには、Policy Manager から:

1. をクリックします。
   または、設定 > 認証 > 認証サーバー の順に選択します。
   認証サーバー ダイアログ ボックスが表示されます。
2. アクティブ ディレクトリ タブを選択します。
   Active Directory 設定が表示されます。

3. 追加 をクリックします。
   Active Directory ドメインの追加ダイアログ ボックスが表示されます。

3. ドメイン名 テキスト ボックスに、この Active Directory Server で使用するドメイン名を入力します。
   ドメイン名には、ドメイン サフィックスが含まれている必要があります。たとえば、exampleではなく、example.comと入力します。
4. 追加 をクリックします。
   IP/DNS 名の追加 ダイアログボックスが 表示されます。

1. 種類の選択 ドロップダウン リストから、IPアドレス または DNS 名 を選択します。
2. 値テキスト ボックスに、Active Directory サーバーの IP アドレスまたは DNS 名を入力します。
3. ポート テキスト ボックスに、Active Directory Server への接続に使用するデバイスの TCP ポート番号を入力または選択します。
   既定のポート番号は 389 です。LDAPS を実行するには、ポート 636 を選択してください。

   Active Directory Server がグローバル カタログ サーバーの場合、既定のポートを変更した方がよい可能性があります。詳細については、次を参照してください：Active Directory サーバーの既定のポートを変更する。

4. OK をクリックします。
   追加した IP アドレスまたは DNS 名が、Active Directory ドメインの追加 ダイアログボックスに表示されます。
5. 別の Active Directory Server をこのドメインへ追加するには、ステップ 3~9 を繰り返します。最大で 2 つのサーバーを追加することができます。

   指定する全ての Active Directory Server 上で共有シークレットを同一にします。

6. タイムアウト テキスト ボックスで、デバイスが接続を切断して再接続するまで Active Directory サーバーからの応答を待機する秒数を入力または選択します。

   Active Directory Server がグローバル カタログ サーバーの場合、既定のポートを変更した方がよい可能性があります。詳細については、次を参照してください：Active Directory サーバーの既定のポートを変更する。

7. 停止時間 テキスト ボックスで、停止状態のサーバーが再度アクティブとしてマークされるまでの時間を入力または選択します。
8. 停止時間 ドロップダウン リストで、分または時間を選択して時間を設定します。認証サーバーが一定時間応答しなかった場合、そのサーバーは停止としてマークされます。追加の認証では、再びこのサーバーがアクティブとマークされるまで、このサーバーに対して認証は試行されません。

1. 検索ベース テキスト ボックスに、検索を開始するディレクトリ内の場所を入力します。

   検索ベース設定の標準形式は、ou=<組織ユニットの名前>,dc=<サーバーの識別名の最初の部分>,dc=<ドットの後に現れるサーバーの識別名の任意の部分> です。

   デバイスが認証の一致を検索できる認証サーバーのディレクトリを制限するように、検索ベースを設定することができます。検索ベースをドメインのルートに設定することをお勧めします。これにより、すべてのユーザーおよびそれらのユーザーが属しているすべてのグループを検索することができます。

   詳細については、次を参照してください：Active Directory 検索ベースを探す。

2. グループ文字列テキスト ボックスに、Active Directory サーバーでユーザー セキュリティ グループ情報を保持するために使用される属性文字列を入力します。Active Directory スキーマを変更していない場合、セキュリティ グループ文字列は常に memberOf になります。
3. ログイン属性テキスト ボックスで、認証に使用する Active Directory ログイン属性を入力または選択します。

   ログイン属性は、Active Directory データベースへのバインドに使用する名前です。既定のログイン属性は sAMAccountName です。sAMAccountName を使用する場合、検索対象ユーザーの DN および 検索対象ユーザーのパスワード の設定に値を指定する必要はありません。

4. 検索対象ユーザーのDN テキスト ボックスに、検索操作用の識別名 (DN) を入力します。

   sAMAccountName のログイン属性を維持する場合、このテキスト ボックスへ入力する必要はありません。

   ログイン属性を変更する場合、構成で検索対象ユーザーの DN テキスト ボックスに値を追加する必要があります。管理者 など、LDAP および Active Directory の検索権限のある任意のユーザーの DN を使用できます。ただし、検索権限だけを持つ、より権限の低いユーザーの DN で通常は十分です。
   例：cn=Administrator,cn=Users,dc=example,dc=com

5. 検索対象ユーザーのパスワード テキスト ボックスに、検索操作で使用する識別名に関連付けられたパスワードを入力します。
6. Active Directory Server への SSL 接続を有効にするには、LDAPS を有効にする チェックボックスを選択します。
7. LDAPS を有効化にして、ポート の値を LDAPS の既定のポートに設定しなかった場合、ポート メッセージのダイアログ ボックスが表示されます。既定のポートを使用するには、はい をクリックします。指定したポートを使用するには、いいえ をクリックします。
8. Active Directory Server の認証が有効になっているかを確認するには、サーバー認証の有効化 チェックボックスを選択します。
9. プライマリ LDAP サーバーのオプション属性を指定するには、オプション設定 をクリックしてください。

   オプション設定の構成方法についての詳細は、次のセクションを参照してください。

10. 別の Active Directory ドメインを追加するには、ステップ 3~20 を繰り返します。指定する全ての Active Directory ドメインで共有シークレットを同一にします。
11. OK をクリックします。
12. 構成ファイルを保存する。

## Active Directory のオプション設定について

Fireware は、サーバーの検索応答で属性のリストを読み取るときに、ディレクトリ サーバー (LDAP または Active Directory) から追加情報を取得できます。このしくみにより、ディレクトリ サーバーを使用して、タイムアウトや Mobile VPN with IPSec アドレス割り当てなどの追加パラメータを、認証されたユーザー セッションに割り当てることができます。データは個別のユーザーオブジェクトに関連付けられる LDAP 属性から取得されるため、デバイス構成ファイルで指定されたグローバル設定に限定されません。各ユーザーにこれらの追加パラメータを設定できます。

詳細については、次を参照してください：Active Directory または LDAP のオプション設定を使用する。

## サーバーへの接続をテストする

Fireware が Active Directory Server に接続してユーザーの認証を正常に行うことができることを確認するには、認証サーバーへの接続をテストします。また、この機能を使用して、特定のユーザーが認証されたかどうかを判定し、そのユーザーの認証グループ情報を取得することができます。

次のいずれかの方法で認証サーバーへの接続をテストすることができます。

- サーバーの 認証サーバー ページに移動します。
- サーバー接続 ページに直接進むには、Fireware Web UI で以下の手順を実行します。
- ポート 4100 で認証ポータルに接続します。

認証サーバー ページから サーバー接続 ページに移動するには:

1. LDAP または Active Directory への接続をテストするをクリックします。
   サーバー接続 ページが表示されます。
2. 次のセクションの指示に従います：サーバー接続。

Fireware Web UI で直接 サーバー接続 ページに移動する方法については、次を参照してください：サーバー接続。

認証ポータルに接続して、認証が機能していることを確認するには、https://[Firebox IP address]:4100 にアクセスします。

## 既存の Active Directory ドメインの編集

Active Directory ドメインの設定を編集する際、ドメインで構成されたActive Directory サーバーのドメイン名以外のドメインの詳細すべてを変更することができます。ドメイン名を変更するには、名前が正しくないサーバーを削除してから、新たにサーバーを追加する必要があります。

Fireware Web UI 認証サーバー ページから直接 Active Directory ドメインを編集するには:

1. Active Directory ドメインリスト内で、変更するサーバーを選択します。

1. 編集 をクリックします。
   ［アクティブ ディレクトリ/編集］ ページが表示されます。

1. IP アドレスまたは DNS 名をこのドメインのサーバーに追加するには、前のセクションの指示に従ってください。
2. Active Directory Server の設定を更新します。

Policy Manager 認証サーバー ダイアログ ボックスから Active Directory ドメインを編集するには:

1. Active Directory ドメインリスト内で、変更するサーバーを選択します。

1. 編集 をクリックします。
   Active Directory ドメインの編集 ダイアログ ボックスが表示されます。

1. IPアドレスまたはDNS名をこのドメインのサーバーに追加するには、[追加] をクリックし、前セクションの指示に従ってください。
2. このドメインのサーバーから IP アドレスまたは DNS 名を削除するには、IP アドレス / DNS 名 リストのエントリーを選択し、削除 をクリックします。
3. Active Directory Server の設定を更新します。

## Active Directory ドメインの削除

Fireware Web UI 認証サーバー ページから直接 Active Directory ドメインを削除するには:

1. サーバー ドロップダウン リストから、Active Directory を選択します。
   ［アクティブ ディレクトリ］ ページが表示されます。
2. Active Directory ドメイン リスト内で削除するドメインを選択します。
3. 削除 をクリックします。
   確認メッセージが表示されます。
4. はい をクリックします。
   サーバーが一覧から削除されます。

Policy Manager 認証サーバー ダイアログ ボックスから Active Directory ドメインを削除するには:

1. Active Directory ドメイン リスト内で削除するドメインを選択します。
2. 削除 をクリックします。
   確認メッセージが表示されます。
3. はい をクリックします。
   サーバーが一覧から削除されます。

#### 関連情報

サードパーティの認証サーバーについて

Active Directory サーバーの既定のポートを変更する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索