関連トピック

# SSO エージェントの構成

複数の Active Directory ドメインを使用する場合、SSO (シングル サインオン) で使用するドメインを指定する必要があります。コンピュータに SSO Agent をインストールした後、認証に使用するドメインを指定 し、SSO Agent にドメイン構成を同期化することができます。SSO Client 使用せずに SSO を使用するオプションを指定することもできます。この処理はクライアントレス SSO として知られています。SSO Agent を設定する際にクライアントレス SSO 設定を構成します。SSO Agent 設定を構成するには、SSO Agent をインストールするコンピュータの管理者権限がなければなりません。

SSO Agent を最初に起動すると、Users.xml と AdInfos.xml 構成ファイルが生成されます。これらの構成ファイルは、暗号化され、SSO Agent の構成時に指定するドメイン構成情報を保存します。

SSO Agent には 管理者とステータス の 2 つの既定のアカウントがあり、SSO Agent へのログインに使用できます。SSO Agent の構成を変更するには、管理者認証でログインする必要があります。最初にログインした後、デフォルトアカウントのパスワードを変更することをお勧めします。

このアカウントのデフォルト認証情報 (ユーザー名/パスワード)：

- 管理者 — admin/readwrite
- ステータス — status/readonly

Active Directory の詳細については、次を参照してください：Active Directory 認証を構成する。

## SSO エージェント構成ツールへのログイン

1. 開始 > WatchGuard > Authentication Gateway > WatchGuard SSO Agent 構成ツール の順に選択します。
   [SSO Agent 構成ツールのログイン] ダイアログ ボックスが表示さされます。
2. ユーザー名 テキスト ボックス内に、ユーザー名: admin と入力します。
3. パスワード テキスト ボックス内に、管理者パスワード：readwrite を入力します。
   SSO Agent 構成ツールのログイン ダイアログ　ボックスが表示されます。

1. 次のセクションに記載されている通り、SSO Agent を構成します。
   構成の変更が自動的に保存されます。

## ユーザーアカウントとパスワードの管理

最初にログインした後、デフォルトアカウントのパスワードを変更することができます。SSO エージェント設定を変更するには管理者認証情報でログインする必要があるため、管理者アカウントで指定されたパスワードを必ず覚えておいてください。新規ユーザーアカウントを追加し、既存ユーサーアカウントの設定を変更することもできます。管理者 と ステータス の両方のアカウントを使用してテルネット セッションを開始し、SSO Agent を構成することもできます。

SSO Agent に telnet を使用する方法については、次を参照してください: テルネットを使用して SSO Agentをデバッグする。

### ユーザーアカウントパスワードの変更

管理者とステータスのアカウントは、アカウントのパスワードのみ変更することができます。ユーザー名を変更することはできません。

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. 編集 > ユーザー管理 の順に選択します。
   ユーザー管理フォーム ダイアログ ボックスが表示されます。

1. 変更するアカウントを選択します。
   たとえば、admin を選択します。
2. パスワードの変更 をクリックします。
   パスフレーズの変更 ダイアログ ボックスが表示されます。
3. パスワード と パスワードの確認 テキストボックスで、このユーザー アカウントの新規パスワードを入力します。
4. OK をクリックします。

### 新規ユーザーアカウントの追加

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. 編集 > ユーザー管理 の順に選択します。
   ユーザー管理フォームが表示されます。
2. ユーザーの追加をクリックします。
   ユーザーの追加 ダイアログ ボックスが表示されます。
3. ユーザー名 テキストボックス内に、このユーザーアカウント名を入力します。
4. パスワード と パスワードの確認 テキストボックスで、このユーザー アカウントのパスワードを入力します。
5. このアカウントのアクセスオプションを選択します。
   - 読み取り専用
   - 読み取り/書き込み
6. OK をクリックします。

### ユーザーアカウントの編集

ユーザーアカウントを編集する場合、アクセスオプションのみ変更することができます。このアカウントのユーザー名またはパスワードを変更することができません。ユーザー名を変更するには、新規ユーザー アカウントを追加し、古いユーザー アカウントを削除する必要があります。

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. 編集 > ユーザー管理 の順に選択します。
   ユーザー管理フォームが表示されます。
2. 変更するアカウントを選択します。
3. ユーザーの編集 をクリックします。
   ユーザーの編集 ダイアログ ボックスが表示されます。
4. このアカウントの新規アクセスオプションを選択します。
   - 読み取り専用
   - 読み取り/書き込み
5. OK をクリックします。

### ユーザーアカウントの削除

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. 編集 > ユーザー管理 の順に選択します。
   ユーザー管理フォームが表示されます。
2. 削除するアカウントを選択します。
3. ユーザーの削除 をクリックします。
   サイトの削除 ダイアログ ボックスが表示されます。
4. ユーザー名 が削除したいアカウントであることを確認します。
5. OK をクリックします。

## SSO Agent のドメインを構成する

SSO エージェントの構成]では、Active Directory ドメインについての情報を追加、編集、削除することができます。ドメインを追加または編集するには、Active Directory サーバーの検索に使用するユーザーアカウントを指定する必要があります。ディレクトリ検索の権限を持ち、有効期限のないパスワードのある指定ユーザーアカウントをサーバー上に作成することをお勧めします。

### ドメインの追加

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. 編集 > ドメインの追加 の順に選択します。
   ドメインの追加 ダイアログ ボックスが表示されます。
2. ドメイン名 テキスト ボックス内で、ドメイン名を入力します。
   たとえば、my-example.com と入力します。
   Active Directory Server のドメイン名では、大文字と小文字が区別されます。Active Directory タブで、Firebox 認証サーバーの設定に表示されるドメイン名と同じ名称を正確に入力してください。詳細については、Active Directory 認証を構成する を参照してください。
3. NetBIOS ドメイン名 テキスト ボックスに、ドメインの NetBios ドメイン名を入力します。

> NetBios ドメイン名を見つけるには、以下の手順を実行します：
> 1. ドメインの Active Directory サーバーで、開始 > 管理ツール > Active Directory ドメインおよび信頼 の順に選択します。
> 2. ドメインのリストで、ドメインを右クリックして プロパティ を選択します。
> 3. ドメイン名 (Windows 2000 より前) の値を見つけます。これは、ドメインの NetBios ドメイン名です。

1. ドメイン コントローラの IP アドレステキスト ボックス内で、このドメインの Active Directory サーバーの IP アドレスを入力します。
   ドメイン コントローラに複数の IP アドレスを指定するには、IP アドレスをスペースなしでセミコロンで区切ります。
2. ポートテキスト ボックス内で、このサーバーへの接続に使用するポートを入力します。
   既定の設定は 389 です。
3. 検索対象ユーザーセクション内で、オプションを選択します。
   - 識別名 (DN) (cn=ssouser,cn=users,dc=domain,dc=com)
   - ユーザー プリンシパル名 (UPN) (ssouser@domain.com
   - Pre-Windows 2000 (netbiosDomain\ssouser)
4. テキスト ボックスに、選択したオプションのユーザー情報を入力します。
   Active Directory サーバーのディレクトリの検索権限があるユーザーを必ず指定してください。
5. 検索対象ユーザーのパスワード と パスワードの確認 テキスト ボックスで、指定したユーザーのパスワードを入力します。
   このパスワードは、Active Directory サーバーのこのユーザーアカウントのパスワードと一致しなければなりません。
6. 別のドメインを追加するには、OK、次を追加 の順にクリックします。ステップ 2 ～ 8 を繰り返します。
7. OK をクリックします。
   ドメイン名が SSO エージェント構成ツール リストに表示されます。

### ドメインの編集

SSO ドメインを編集する場合、ドメイン名を除くすべての設定を変更することができます ドメイン名を変更したい場合、ドメインを削除し、正しい名前の新しいドメインを追加する必要があります。

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. ドメインを選択し変更します。
2. 編集 > ドメインの編集 の順に選択します。
   ドメインの追加 ダイアログ ボックスが表示されます。
3. ドメインの設定をアップデートします。
4. OK をクリックします。

### ドメインの削除

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. 削除するドメインを選択します。
2. 編集 > ドメインの削除 の順に選択します。
   確認メッセージが表示されます。
3. はい をクリックします。

## クライアントレス SSO の構成

SSO Client がインストールされていないか、あるいは使用できない場合は、クライアントレス SSO を使用して、ネットワークにインストール済みの Event Log Monitor または Exchange Monitors からユーザーのログイン情報を取得するように、SSO Agent を構成することができます。Event Log Monitors も、各ドメインの 1 つ以上のドメイン メンバー サーバーにインストールされます。Exchange Monitor も Microsoft Exchange Server がインストールされているのと同じコンピュータにインストールされます。

Event Log Monitor を使用している場合、ユーザーが認証を試みると、SSO Agent はクライアント コンピュータの IP アドレスを EventLog Monitor に送信します。その後、Event Log Monitor はこの情報を使用して TCP ポート 445 からクライアント コンピュータにクエリを実行し、クライアント コンピュータの Windows セキュリティ イベント ログ ファイルからユーザー認証情報を取得します。Event Log Monitor はクライアント コンピュータからユーザー認証情報を取得し、ドメイン コントローラにアクセスしてユーザーのユーザー セキュリティ グループ情報を取得します。複数の Event Log Monitor をインストール済みのときに、SSO Agent がクエリする最初の Event Log Monitor に正しいユーザー認証情報がない場合、SSO Agent はアクセス先ドメイン リストの次の Event Log Monitor をクエリします。SSO Agent は、正しいユーザー認証情報が見つかるまでリストの各 Event Log Monitor にアクセスし続けます。その後、Event Log Monitor はこの情報を SSO Agent に提供します。

ユーザーのコンピュータに SSO Client をインストールしない場合、Event Log Monitor が SSO Agent 連絡先リストにあることを確認してください。SSO Client を主要連絡先として指定する際に SSO Client を使用できない場合、SSO Agent が Event Log Monitor に照会を行いますが、遅延の発生する可能性があります。

Mac OS X 10.6 以上、iOS、または Android プラットフォームを実行するデバイスのユーザーについては、Exchange Monitor を使用してそれらのユーザーのログイン情報を取得できます。Exchange Monitor は Microsoft Exchange Server がインストールされているのと同じコンピュータにインストールされるため、Exchange Monitor は各ユーザーのドメイン アカウントのログオン/ログオフ アクションをトラッキングして、これらのイベントについてリアルタイムで SSO Agent に通知します。

SSO Agent をインストールした後、Event Log Monitor と Exchange Monitor がインストールされるドメインのドメイン情報を Event Log Monitor アクセス先ドメインリスト内の SSO Agent 構成に追加する必要があります。ドメインが 1 つしかない場合、ドメイン コントローラに SSO Agent をインストールするには、もしくは複数のドメインがあり、Event Log Monitor と Exchange Monitor が SSO Agent と同じドメインにある場合、アクセス先ドメインリストの SSO Agent 構成で ドメイン コントローラにドメイン情報を指定する必要はありません。アクセス先ドメイン リストに複数の Event Log Monitor または Exchange Monitor がある場合、SSO Agent はユーザーの認証とグループ情報を取得するためリストの最初のエントリをクエリします。最初の Event Log Monitor または Exchange Monitor が使用できない場合、SSO Agent はリストの次のモニターにアクセスします。このプロセスは、SSO Agent が使用可能なモニターを見つけるまで継続します。

Event Log Monitor と Exchange Monitor のインストール方法については、次を参照してください: WatchGuard シングル サインオン (SSO) エージェントおよび Event Log Monitor をインストールする。

Event Log Monitor の負荷分散とフェールオーバーの詳細については、次の Event Log Monitor セクションを参照してください：Active Directory（シングルサインオン / SSO）について。

クライアントレス SSO の設定を構成して有効にする前に、ドメインのクライアント コンピュータで、TCP 445 ポートが開いているか、またはファイルおよびプリンタ共有が有効になっていること、および、Event Log Monitor がユーザーのログイン イベントに関する情報を取得するように正しいグループポリシーが設定されていることを確認する必要があります。このポートが閉じていて正しいポリシーが設定されていない場合、Event Log Monitor はグループ情報を取得できず、SSO は正常に動作しません。

ドメイン コントローラ コンピュータ上で以下の手順に従います。

1. グループ ポリシー オブジェクト エディタ を開き、既定のドメインポリシー を編集します。
2. 監査ポリシー (コンピュータの構成 > Windows の設定 > セキュリティの設定 > ローカルポリシー > 監査ポリシー) で監査 アカウント ログオン イベント と 監査ログオン イベント のポリシーが有効になっていることを確認します。
3. コマンド行で、gpupdate /force /boot のコマンドを実行します。
   コマンドが実行されると、次のメッセージが表示されます：
   ポリシーを更新しています… ユーザー ポリシーの更新が正常に完了しました。コンピュータ ポリシーの更新が正常に完了しました。

クライアントレス SSO のドメイン情報を追加、編集、そして削除することができます。追加する各ドメイン名には、ドメイン コントローラの複数の IP アドレスを指定することができます。Event Log Monitor が、最初の IP アドレスのドメイン コントローラにアクセスできない場合、リスト内の次の IP アドレスのドメイン コントローラに接続を試みます。

SSO Agent 構成ツール ダイアログ ボックスが表示されます。

1. 編集 > SSO Agent アクセス先の設定 の順に選択します。
   SSO Agent アクセス先の設定 ダイアログ ボックスが表示されます。

1. SSO Agent アクセス先 リストで、SSO Agent の各アクセス先のチェックボックスをオンにします。
   - SSO Client
   - Event Log Monitor
   - Exchange Monitor
2. SSO Agent 連絡先 の順序を変更するには、連絡先を選択して、上へ または 下へ をクリックします。
   Exchange Monitor の位置は変更できません。
3. 次のセクションの説明に従って、アクセス先ドメインを 追加、編集、または 削除 します。
4. OK をクリックして設定を保存します。

### アクセス先ドメインの追加

ユーザーのログイン情報を取得するために Event Log Monitor または Exchange Monitor がアクセスする、1 つまたは複数のドメインを指定することができます。

Exchange Monitor のドメインを追加する際、Microsoft Exchange サーバーの IP アドレスとセッション確認間隔を指定する必要があります。セッション確認間隔 は、Exchange Monitor が Exchange サーバーの IIS ログ メッセージでアクティブと表示されないユーザーをログオフするまでの時間を指定します。既定設定値は 40 分です。間隔は最低 5 分を指定する必要があります。

Event Log Monitor のアクセス先ドメインを追加する

SSO Agent アクセス先の設定 ダイアログ ボックスから、以下の手順を実行します：

1. 追加 をクリックします。
   ドメイン設定 ダイアログ ボックスが表示されます。

1. タイプ オプションには、Event Log Monitor を選択します。
2. ドメイン名テキスト ボックスに、Event Log Monitor がユーザー情報を取得するためにアクセスするドメインの名前を入力します。
   domain.com というフォーマットで名前を入力する必要があります。
3. ドメイン コントローラの IP アドレス テキスト ボックスに、このドメインの IP アドレスを入力します。
   ドメイン コントローラに複数の IP アドレスを指定するには、IP アドレスをスペースなしでセミコロンで区切ります。
4. OK をクリックします。
   指定したドメイン情報が アクセス先ドメイン リストに表示されます。

Exchange Monitor のアクセス先ドメインを追加する

SSO Agent アクセス先の設定 ダイアログ ボックスから、以下の手順を実行します：

1. 追加 をクリックします。
   ドメイン設定 ダイアログ ボックスが表示されます。
2. タイプ オプションは、Exchange Monitor を選択します。

1. ドメイン名テキスト ボックスに、Exchange Monitor がユーザー情報を取得するドメインの名前を入力します。
   domain.com というフォーマットで名前を入力する必要があります。
2. Microsoft Exchange Server の IP アドレス テキスト ボックスに、ドメインの IP アドレスを入力します。
   Exchange サーバーに複数の IP アドレスを指定するには、IP アドレスをスペースなしでセミコロンで区切ります。
3. セッション確認間隔 の設定を既定の 40 分から変更するには、新しい間隔を入力または選択します。
4. OK をクリックします。
   指定したドメイン情報が アクセス先ドメイン リストに表示されます。

### アクセス先ドメインの編集

SSO Agent アクセス先の設定 ダイアログ ボックスから、以下の手順を実行します：

1. アクセス先ドメイン リストから、変更するドメインを選択します。
2. 編集 をクリックします。
   Event Log Monitor の設定 ダイアログ ボックスが表示されます。
3. ドメインの設定をアップデートします。
4. OK をクリックします。

### ドメインの削除

SSO Agent アクセス先の設定 ダイアログ ボックスから、以下の手順を実行します：

1. アクセス先ドメイン リストから、削除するドメインを選択します。
2. 削除 をクリックします。
   リストからドメインが削除されます。

### SSO Port 接続のテスト

SSO Agent が Event Log Monitor と Exchange Monitor にアクセスできることを検証するには、SSO Port Tester ツールを使用できます。SSO Port Tester ツールを使うと、SSO Agent が単一の IP アドレスでサーバーと、複数の IP アドレスまたは IP アドレスの範囲でサーバーにアクセスできるかどうかを検証できます。アドレス範囲ではなく、単一 IP アドレスまたは複数 IP アドレスへの接続を検証するには、テストする IP アドレスを含むプレーン テキスト ファイルをインポートします。また、テストするポートと接続タイムアウト間隔も指定できます。

SSO Agent アクセス先の設定 ダイアログ ボックスから、以下の手順を実行します：

1. SSO Port のテスト をクリックします。
   SSO Port Tester ダイアログ ボックスが表示されます。

1. IP アドレスの指定 セクションで、次のオプションを選択します:
   - ホスト IP アドレス範囲
   - ネットワーク IP アドレス
   - IP アドレスのインポート
2. ホスト IP アドレス範囲を選択した場合、ホスト IP アドレス範囲 に、テストする IP アドレス範囲を入力します。
   ネットワーク IP アドレス を選択した場合、ネットワーク IP アドレス テキスト ボックスに、テストするネットワーク IP アドレスを入力します。
   IP アドレスのインポート を選択した場合、 をクリックして、テストする IP アドレスのリスト付きのプレーン テキスト ファイルを選択するために移動します。
3. ポート テキスト ボックスに、テストするポート番号を入力します。
   複数のポートをテストするには、各ポート番号をスペースを使わずにカンマで区切って入力します。
4. テスト をクリックします。
   ポート テストの結果が [SSO Port Tester] ウィンドウに表示されます。
5. ログ ファイルにテスト結果を保存するには、ログの保存 をクリックして、ファイル名とログ ファイルを保存する場所を指定します。
6. Port Tester Tool プロセスを停止するには、終了 をクリックします。

#### 関連情報

Active Directory（シングルサインオン / SSO）について

WatchGuard シングル サインオン (SSO) クライアントをインストールする

WatchGuard シングル サインオン (SSO) エージェントおよび Event Log Monitor をインストールする

Active Directory シングル サインオン（SSO）を有効化する

SSO ログ ファイルをダウンロードする

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索