関連トピック

# Active Directory（シングルサインオン / SSO）について

ユーザーがネットワークのコンピュータにログオンする場合、ユーザー名とパスワードを入力する必要があります。Firebox で Active Directory 認証を使用して送信ネットワーク トラフィックを特定のユーザーまたはグループに制限する場合、ユーザーは追加のステップを実行する必要があります。ユーザーは手動で再度ログインして Firebox から認証を受けて、ネットワーク リソースまたはインターネットにアクセスする必要があります。ユーザーのログイン プロセスを簡略化するために、WatchGuard シングル サインオン (SSO) ソリューションを使用できます。SSO では、ローカル ネットワーク上のユーザーが (自分のコンピュータへのログイン時に) ユーザー認証情報を 1 回入力することで、Firebox から自動的に認証されるようになります。

このトピックでは、WatchGuard SSO ソリューションの詳細について説明します。単一の Active Directory ドメインに SSO を設定する方法の概要については、次を参照してください：

- クイック起動 — Active Directory シングル サインオン（SSO）を設定する
- SSO の使用にあたって ビデオ チュートリアル (9 分)

## WatchGuard SSO ソリューション

Active Directory の WatchGuard SSO ソリューションには、以下のコンポーネントが含まれています。

- SSO Agent — 必須
- SSO Client — 任意
- Event Log Monitor — 任意
- Exchange Monitor — 任意

SSO Agent により、SSO Client、Event Log Monitor、および Exchange Monitor からユーザーのログイン情報が収集されます。

複数の SSO 方式を構成することができます。たとえば、SSO Client をプライマリ SSO 方式として構成し、Event Log Monitor または Exchange Monitor をバックアップ SSO 方式として構成することができます。

シングル サインオン オプションは、Terminal Services Agent でも使用可能ですが、WatchGuard SSO ソリューション コンポーネントとは関連しておらず、別に構成されます。Terminal Services Agent の詳細については、次を参照してください: Terminal Services エージェントのインストールと構成。

WatchGuard SSO ソリューションの詳細については、以下のセクションを参照してください。

- SSO の仕組み
- SSO Agent について
- SSO Client について
- Event Log Monitor について
- Exchange Monitor について
- はじめる前に
- SSO を設定する

## SSO の仕組み

SSO を動作させるには、SSO Agent ソフトウェアをインストールする必要があります。最も信頼性の高い SSO 配備を行うために、ネットワーク上の Windows および Mac OS X クライアントにも SSO Client をインストールすることをお勧めします。Event Log Monitor は、Windows ユーザー用のバックアップ SSO 方式としてインストールすることができます。Linux ユーザーまたはモバイル ユーザーの場合は、SSO に Exchange Monitor をインストールすることができます。Exchange Monitor は、Mac OS X ユーザーのバックアップ SSO 方式とすることもできます。

SSO Client、Event Log Monitor、または Exchange Monitor がインストールされている場合は、SSO Agent からこれらのコンポーネントにユーザー認証が要求されます。コンポーネントから、正しいユーザー認証とセキュリティ グループ メンバーシップ情報が SSO Agent に送信されます。

SSO Agent 設定を構成する際に、SSO Agent により最初に照会される SSO コンポーネントを指定します。SSO が正しく機能するためには、すべてのクライアント コンピュータに SSO Client をインストールするか、または Event Log Monitor か Exchange Monitor を使って正しいユーザー情報を取得する必要があります。

SSO Agent のみをインストールする場合は、SSO Agent で SSO に Active Directory (AD) モードが使用されます。プライマリ SSO 方式として AD モードを使用することはお勧めしません。AD モードの詳細ついては、AD モード セクションを参照してください。

## SSO Agent について

ネットワークのドメイン サーバーに SSO Agent をインストールする必要があります。これは、ドメイン コントローラでも、別のドメイン メンバー サーバーでも問題ありません。

SSO Agent をインストールする際に、それが Domain Admin か Domain Users セキュリティ グループのいずれかのメンバーであるユーザー アカウントとして実行されることを確認します。Domain Admins セキュリティ グループのメンバーであるユーザー アカウントを選択すると、ユーザー アカウントには自動的に正しいセキュリティ権限が与えられます。Domain Users セキュリティ グループのメンバーであるユーザー アカウントを選択する場合、ユーザー アカウントのセキュリティ権限が正しく構成されていることを確認します。これらの権限により、ユーザーがドメインから認証を受けようとしたときに、SSOAgent がクライアント コンピュータ上の SSO Client、Event Log Monitor、Exchange Monitor に正しいユーザー認証情報をクエリし、Firebox にこれらのユーザー認証情報を提供することができます。

インストールに関する情報については、次を参照してください：WatchGuard シングル サインオン (SSO) エージェントおよび Event Log Monitor をインストールする。

構成に関する情報については、SSO エージェントの構成 を参照してください。

## SSO Client について

SSO Client ソフトウェアを Windows または Mac OS X クライアント コンピュータにインストールすると、SSO Client が SSO Agent からの呼び出しを受け取り、ユーザー名、セキュリティ グループ メンバーシップ情報、および現在コンピュータにログインしているユーザーのドメイン名が返されます。

SSO Client は、各ユーザー コンピュータでローカル システム サービスとして実行されます。ユーザーの操作は必要ありません。

RDP (リモート デスクトップ) ユーザーが SSO Client で認証されるようにするには、ユーザーは v11.9.3 以降の SSO Client を実行する必要があります。

インストールに関する情報については、WatchGuard シングル サインオン (SSO) クライアントのインストール を参照してください。

## Event Log Monitor について

Event Log Monitor はオプションの SSO コンポーネントで、これにより Windows ユーザーは WatchGuard SSO Client なしで SSO で認証できるようになります。この処理はクライアントレス SSO として知られています。Event Log Monitor によるクライアントレス SSO は、バックアップの SSO 方式としてのみ使用することをお勧めします。

Event Log Monitor で RDP ユーザーの認証を有効化するには、Event Log Monitor v11.10 以降をインストールする必要があります。

### Event Log Monitor をインストールする

クライアントレス SSO の場合は、ネットワーク内の各ドメインのサーバーに Event Log Monitor をインストールします。これは、ドメイン コントローラまたは別のドメイン メンバー サーバーのいずれかです。Event Log Monitor は、Domain User または Domain Admins セキュリティ グループのいずれかのメンバーであるユーザー アカウントとして実行する必要があります。

1 つのドメイン

SSO で使用する 1 つのドメインがある場合、SSO Agent をインストールするのと同じサーバーまたはドメイン コントローラ上に Event Log Monitor をインストールできます。

複数のドメイン

ドメインが 2 つ以上ある場合、各ドメインに 1 インスタンスの Event Log Monitor をインストールする必要がありますが、SSO Agent はネットワーク全体で 1 インスタンスのみインストールします。Event Log Monitor をドメインコントローラのコンピュータにインストールする必要はありません。ドメイン内の任意のドメイン メンバー サーバー上にインストールすることができます。

インストールに関する情報については、WatchGuard シングル サインオン (SSO) エージェントおよび Event Log Monitor のインストール を参照してください。

### Event Log Monitor を構成する

Event Log Monitor をインストールした後、Event Log Monitor からユーザー ログイン情報が取得されるように SSO Agent を構成します。SSO Agent のドメインと Event Log Monitors の詳細については、SSO Event Log Monitor を構成する を参照してください:

### Event Log Monitor の仕組み

Event Log Monitor でユーザー認証が正常に取得されて、ユーザーが認証されると、Event Log Monitor では 5 秒ごとにクライアント コンピュータへのポーリングが実行され、ログオン イベントとログオフ イベント、および接続中断の問題が監視されます。接続エラーはすべて Event Log Monitor がインストールされているコンピュータの WatchGuard > Authentication Gateway ディレクトリの eventlogmonitor.log ファイルに記録されます。Event Log Monitor でユーザーのログオン認証情報が取得されないと、それが SSO Agent に通知されるため、ユーザーは認証されません。

ユーザーが Windows コンピュータにログインすると、以下が発生します。

1. ログオン イベントがコンピュータの Windows イベント ログに書き込まれます。
2. Firebox でユーザーからのトラフィックが受信されますが、コンピュータの IP アドレスのセッションは検出されません。
3. Firebox から SSO Agent にユーザー名、ドメイン、およびグループ情報が要求されます。
4. SSO Agent により、この要求が Event Log Monitor にリダイレクトされます。
5. TCP ポート 445 を介して、Event Log Monitor がコンピュータに接続されます。
6. Event Log Monitor により、コンピュータの Windows イベント ログからユーザー名とドメインが取得されます。
7. Event Log Monitor が Active Directory ドメイン コントローラに接続され、ユーザーのグループ情報が取得されます。
8. Event Log Monitor で、監視対象のコンピュータのリストにコンピュータが追加されます。
9. Event Log Monitor からユーザー名、ドメイン、およびグループ情報が SSO Agent に送信されます。
10. SSO Agent から Firebox にユーザー名、ドメイン、およびグループ情報が送信されます。
11. Firebox でコンピュータの IP アドレスのセッションが作成されます。
12. 新しいログオフ イベントを検出するために、TCP 445 を介して Event Log Monitor において 5 秒ごとに監視リストにあるすべてのコンピュータがポーリングされます。

ユーザーが Windows コンピュータからログオフすると、以下のことが起こります。

1. ログオフ イベントがコンピュータの Windows イベント ログに書き込まれます。
2. TCP ポート 445 を介して、Event Log Monitor がコンピュータに接続され、ログオフ イベントが検出されます。
3. Event Log Monitor からログオフ イベントに関する通知が SSO Agent に送信されます。
4. SSO Agent から Firebox にセッションを削除する通知が送信されます。
5. Event Log Monitor ではコンピュータが監視リストに保持され、コンピュータのポーリングが継続されます。
6. コンピュータがシャットダウンされている場合、またはネットワークに接続されていない場合：
   1. Event Log Monitor により、コンピュータが監視リストから削除されます。
   2. Event Log Monitor からユーザーがログオフしたという通知が SSO Agent に送信されます。
   3. SSO Agent から Firebox にセッションを削除する通知が送信されます。

Event Log Monitor がシャットダウンされると、監視リストもクリアされます。

ユーザー認証情報を取得するため、SSO Agent から逆 DNS 参照が DNS サーバーに送信され、ユーザーの IP アドレスに関連付けられているホスト名が検索されます。ホスト名が確認されたら、SSO Agent ではホスト名からのドメイン情報 (完全修飾ドメイン名 (FQDN)) が使用され、ドメインに対して構成された Event Log Monitor に接続されて、認証に使用するユーザー認証情報が取得されます。SSO Agent で正常にドメイン情報が取得されるようにするために、DNS サーバーに PTR レコードが含まれていることを確認します。これは、すべてのドメイン クライアント コンピュータの FQDN に対する IP アドレスの DNS レコードです。

この図は Event Log Monitor の仕組みを示すものです。

### Event Log Monitor の負荷バランシングとフェールオーバー

ネットワークにあるドメインが 1 つでも多数でも、各ドメインに複数のインスタンスの Event Log Monitor をインストールして、負荷分散とフェールオーバーに使用することができます。これにより、より高速で信頼性の高い SSO をユーザーに提供することができます。

1 つのドメイン

ドメインに複数の Event Log Monitor をインストールすると、すべての Event Log Monitor のインスタンスが平行に作動してそのドメインのユーザー ログイン情報を収集します。これにより、認証時間が短縮されます。複数の Event Log Monitor を使うことで、フェールオーバーの成功率も高まります。Event Log Monitor のいずれかで認証要求が完了されなくても、別の Event Log Monitor から SSO Agent にユーザー認証情報が送信されます。

1 つのドメインに複数の Event Log Monitor がインストールされており、SSO Agent 構成に各 Event Log Monitor が追加されている場合は、SSO Agent でリストの Event Log Monitor がランダムに選択され、それにアクセスすることでユーザー認証情報とログイン情報が取得されます。選択した Event Log Monitor がユーザーを認証できない場合、SSO Agent はリスト上の次の Event Log Monitor にアクセスします。SSO Agent では、ユーザー認証情報が取得されるまで、またはリストのすべての Event Log Monitors において認証が失敗するまで、次の Event Log Monitors へのアクセスが継続されます。SSO Agent は次に構成された SSO Agent のアクセス先 (SSO Client または Exchange Monitor) にアクセスして、ユーザーを認証しようとします。

複数のドメイン

ネットワーク上に多数のドメインがあり、各ドメインに複数の Event Log Monitor がインストールされている場合、SSO Agent は、負荷分散とフェールオーバーにネットワーク内の他のドメインからの Event Log Monitor を使うことももできます。この SSO 構成では、SSO Agent により SSO Agent のローカル ドメインから Event Log Monitor が選択され、ユーザー認証情報を得るためにその Event Log Monitor に接続されます。その Event Log Monitor がユーザーを認証できない場合、別のドメインからの SSO Agent 構成に含まれている Event Log Monitor をランダムに選択し、それにアクセスしてユーザー認証情報を取得します。その Event Log Monitor もユーザーを認証できない場合、SSO Agent は次に構成された SSO Agent のアクセス先 (SSO Client または Exchange Monitor) にアクセスして、ユーザーを認証しようとします。

## Exchange Monitor について

WatchGuard SSO Exchange Monitor は、Microsoft Exchange Server にインストールできる任意のコンポーネントです。これにより、Microsoft Exchange Server で認証を受けられるコンピュータまたはデバイスでクライアントレス SSO を有効化することができます。Linux コンピュータ、Android、iOS、Windows 搭載のモバイル デバイスでは、プライマリ SSO 方式として Exchange Monitor を使用することもできます。多くのユーザーと共有されていない Windows と Mac OS X コンピュータでは、Exchange Monitor をバックアップ SSO 方式として使用することができます。

### Exchange Monitor のインストール

Exchange Monitor は、Microsoft Exchange Server がインストールされているサーバーにインストールする必要があります。Exchange Server で、W3C 拡張ログ ファイル形式の IIS ログと RPC クライアント アクセス ログ メッセージが生成される必要があります。

インストールに関する情報については、WatchGuard シングル サインオン (SSO) Exchange Monitor のインストール を参照してください。

### Exchange Monitor の仕組み

Exchange Monitor では、Microsoft Exchange Server の IIS ログからユーザーのログイン情報が取得されます。Microsoft Exchange は Active Directory Server と統合されているため、Exchange Server ではユーザー ストアの IIS および RPC クライアント アクセス ログ メッセージからユーザー認証情報が簡単に取得されます。

電子メールをダウンロードするために、ユーザーが Exchange Server に正常に接続すると、以下が発生します。

1. Exchange Server 上の IIS サービスにより、ユーザー ログオン イベントのログ メッセージが生成されます。
2. Exchange Monitor では、IIS サービスでログオン イベントが検証され、その時点でアクティブなユーザー全員のリストが保持されます。
3. Exchange Monitor から 3 秒ごとに IIS ログ ファイルにクエリが送信され、情報が最新に維持されます。
4. SSO Agent が Exchange Monitor にアクセスすると、Exchange Monitor が SSO Agent にユーザー情報を送信します。
   - ユーザーが Exchange Server へのログイン済みリストに含まれている場合は、SSO Agent から Firebox に、ユーザーが現在ログインしており、認証済みであるという通知が送信されます。
   - ユーザーがログイン済みユーザーのリストに含まれていない場合は、SSO Agent から Firebox に、ユーザーがアクティブ ユーザーのリストに入っておらず、認証されていないという通知が送信されます。

Event Log Monitor および Exchange Monitor を使用するために SSO Agent を設定する方法については、次を参照してください：SSO エージェントの構成。

この図は Exchange Monitor の仕組みを示すものです。

## Active Directory (AD) モード

最も信頼性の高い SSO 配備を行うために、SSO Client、Event Log Monitor、Exchange Monitor をインストールする必要があります。これらのコンポーネントのうち少なくとも 1 つがインストールされていない場合、または正しく設定されていない場合は、SSO において、SSO Agent で Active Directory (AD) モード が使用されます。

AD モードでは、ユーザー認証情報を取得するために、TCP ポート 445 を介して、SSO Agent からクライアント コンピュータに NetWkstaUserEnum 呼び出しが発信されます。そして、SSO Agent で取得された情報が使用され、SSO でユーザーが認証されます。SSO Agent はコンピュータから取得した最初の応答のみを使用します。SSO Agent から Fireboxに、ログオン済みのユーザーとしてそのユーザーに関する通知が送信されます。その後、Firebox で、そのユーザーとユーザー グループに対して定義されているすべてのポリシーとユーザー情報が照らし合わされて一度に検証されます。SSO Agent では、既定で約 10 分間このデータがキャッシュされるため、すべての接続に対してクエリを生成する必要性がなくなります。Firebox のキャッシュ値を構成することができます。

AD モードをプライマリ SSO 方式として使用することは意図されていません。アクセス制御の制限があり、SSO 試行の失敗やセキュリティ リスクにつながる可能性もあります。たとえば、SSO Client、Event Log Monitor、または Exchange Monitor なしで SSO を構成すると、ユーザーがドメイン アカウント認証情報でログオンできるように配備されたクライアント コンピュータ (一元管理されたウィルス対策クライアントなど) にインストールされているサービスでは、Firebox により、最初にログオンしたユーザー (およびそのユーザーが属するグループ) と同じアクセス権限がすべてのユーザーに与えられ、ログオンする個々のユーザーの正しい認証情報は使用されません。また、ユーザー アクティビティで生成された全ログ メッセージでは、個々のユーザー名ではなく、サービス アカウントのユーザー名が表示されます。

SSO Client、Event Log Monitor、または Exchange Monitor をインストールしない場合は、サービスまたは一括ログオンでコンピュータにログオンする環境で SSO を使用しないことをお勧めします。複数のユーザーが IP アドレスに関連付けられる場合、ネットワーク権限が正しく作動しないことがあります。これはセキュリティ リスクをもたらします。

## はじめる前に

SSO 配備を成功させるために、各 SSO コンポーネントの利点と制限、オペレーティング システムの互換性、およびネットワーク アーキテクチャを検討してください。

オペレーティング システムの互換性および SSO コンポーネントの比較については、SSO コンポーネントの選択 を参照してください。

ネットワークの構成例については、SSO のネットワークの構成例 を参照してください。

### ネットワーク要件を確認する

ネットワークに SSO を構成する前に、ネットワーク構成で必要なすべての要件がサポートされていることを確認します。

Active Directory

- ローカル ネットワークに Active Directory Server が構成されている必要があります。
- Active Directory 認証を使用するように Firebox を構成する必要があります。
- 各ユーザーは、Active Directory Server にアカウントが設定されている必要があります。
- SSO が正常に機能するためには、各ユーザーがドメイン アカウントにログインする必要があります。ユーザーがローカル コンピュータにしか存在しないアカウントにログインした場合は、ユーザー認証情報が検証されず、そのユーザーがログインしたことが Firebox で認識されません。
- SSO Agent および Event Log Monitor は、Domain Users または Domain Admins セキュリティ グループのユーザー アカウントとして実行されている必要があります。ヒント！この目的のためには、Active Directory Server にユーザー アカウントを追加すること、およびアカウントのパスワードの有効期限を無期限に設定することをお勧めします。
  アカウントが Domain Users セキュリティ グループに属している場合は、それに Active Directory Server でサービスを実行する権限、ディレクトリを検索する権限、および他のすべてのユーザーの監査情報を検索する権限が付与されている。
- ユーザー が SSO を使用して認証を得るすべてのコンピュータが完全な信頼関係を持つ Active Directory ドメインのメンバーになっている必要があります。
- SSO Client をインストールする前に、Mac OS X コンピュータを Active Directory ドメインに参加させる必要があります。
- Exchange Monitor は、Domain Admins セキュリティ グループのユーザー アカウントとして実行されている必要があります。

設定する

- クライアント コンピュータの TCP ポート 445 (SMB のポート) が開いている必要があります。
- SSO Client をインストールするクライアント コンピュータの TCP ポート 4116 が開いている必要があります。
- SSO Agent をインストールするサーバーの TCP ポート 4114 が開いている必要があります。
- Event Log Monitor をインストールするサーバーの TCP ポート 4135 が開いている必要があります。
- Exchange Monitor をインストールするサーバーの TCP port 4136 が開いている必要があります。

SSO Port Tester ツールを使用して、これらのポートが開いているかどうかをテストすることができます。詳細については、SSO のトラブルシューティング を参照してください。

イベント ログ

- Event Log Monitor が正常に機能するためには、すべての Windows ドメイン コンピュータにおける 4624 と 4634 ログオン および アカウント ログオン イベントの監査ログ記録が有効化されている必要があります。
- Windows ネットワークが Fast User Switching で構成されている場合：
  - イベント 4647、4778、および 4779 のすべての Windows ドメイン コンピュータで監査ログを有効化する必要があります。
    これにより、Event Log Monitor が正常に機能するようになります。
  - Event Log Monitor v11.10 以降をインストールします。
    WatchGuard 認証ゲートウェイ インストーラには、Event Log Monitor をインストールするオプションが入っています。
- リモート デスクトップ プロトコル (RDP) ユーザーがクライアントレス SSO を使用するには：
  - Event Log Monitor v11.10 以降がインストールされている必要があります。
  - クライアント コンピュータで Microsoft イベント 4624 と 4634 が生成され、ログオン タイプ 属性が含まれている必要があります。これらの属性により、ログオン イベントまたはログオフ イベントがローカル ネットワークで発生するか、RDP 経由で発生するかが指定されます。属性 2 と 11 はローカル ログオンとログオフ イベントを、属性 10 は RDP ログオンまたはログオフ イベントを指定します。

Microsoft .NET 要件

- SSO Agent をインストールするサーバーに Microsoft .NET Framework v2.0 以降がインストールされている必要があります。
- Microsoft Exchange Server 2010 以前の場合は、Exchange Monitor をインストールするサーバーに Microsoft .NET Framework v2.0 以降がインストールされている必要があります。
- Microsoft Exchange Server 2012 以降および Microsoft Exchange Server 2013 以降の場合は、Exchange Monitor をインストールするサーバーに Microsoft .NET Framework v3.5 以降がインストールされている必要があります。

## SSO を設定する

SSO を設定するには、以下の手順を実行します。

1. WatchGuard シングル サインオン (SSO) エージェントと Event Log Monitorをインストールします (Event Log Monitor は任意です)。
2. WatchGuard シングル サインオン (SSO) クライアントをインストールする (任意、ただし推奨)。
3. WatchGuard シングル サインオン (SSO) Exchange Monitor をインストールする (任意)
4. Active Directory シングル サインオン（SSO）を有効化する

SSO ソリューションにおける SSO コンポーネントのバージョンは同じである必要はなく、Firebox の Fireware バージョンと異なっていても問題ありません。Firebox で Fireware OS の旧バージョンが実行されている場合でも、SSO Agent の最新バージョンをインストールすることをお勧めします。

#### 関連情報

SSO のトラブルシューティング

ユーザー認証について

グローバル Firewall 認証値の設定

Active Directory 認証を構成する

Terminal Services エージェントのインストールと構成

テルネットを使用して SSO Agentをデバッグする

SSO ログ ファイルについて

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索