関連トピック

# 認証済みユーザーまたはグループをポリシーで使用する

Firebox 構成ファイルでポリシーを作成する際は、指定されたユーザーおよびグループ名を使用できます。たとえば、認証されたユーザーのみに接続を許可するポリシーを定義できます。または、ポリシーの接続を特定のユーザーに制限することができます。

認証されたユーザーとグループ という用語は、ネットワーク リソースにアクセスすることを許可されたユーザーおよびグループを指します。Firebox でポリシーによりトラフィックが許可されている場合のみ、認証されたユーザーは Firebox を通じてトラフィックを送信することができます。

## Firebox 認証対象としてユーザーとグループを定義する

認証サーバーとして Firebox を使用している場合は、Firebox で認証を受けるユーザーとグループを指定することができます。これらのユーザーとグループを定義する方法については、次を参照してください：Firebox の認証に新規ユーザーを定義する および Firebox の認証に新規グループを定義する。

## サードパーティの認証でユーザーとグループを定義する

Firebox 構成ファイルで、ユーザーとグループがサードパーティ認証を使用するよう定義できます。グループを作成し、認証用の Active Directory ドメインを複数使用する場合、認証を使用するグループ内に入れたいユーザーのドメインを特定する必要があります。

個々のユーザーとユーザーグループの場合、ログイン制限を有効化にすることもできます。ユーザーまたはグループの同時ログイン数を無制限に有効化すると、複数のユーザーまたはグループのメンバーに、1つの認証サーバに対して同じユーザー認証情報で同時に認証することを許可します。これは、ゲスト アカウントや実験環境で役立ちます。2 人目のユーザーが同じユーザー認証情報を使用してログインしたとき、ユーザー認証情報で認証した 1 人目のユーザーが自動的にログアウトされます。ユーザーとグループのログイン制限で選択することができるその他のオプションは、ユーザーまたはグループのメンバーを単一の認証セッションに制限することです。このオプションを選択した場合、ユーザーは同じ認証情報を使用して 1 つの認証サーバに別の IP アドレスからログインできません。すでに認証されているユーザーが再度認証しようとした場合に、追加のセッションが認証された際に 1 人目のセッションを終了するか、または追加のセッションを拒否するかを選択します。

Active Directory サーバのユーザー名およびグループ名では大文字と小文字が区別されます。認証されたユーザーまたはグループを Firebox に追加する場合、ユーザーまたはグループの名前は、大文字小文字が、Active Directory サーバーで使用されている名前と同じである必要があります。

Active Directory 認証を使用し、ユーザーのグループ メンバーシップが Mobile VPN ポリシーに一致しない場合、"暗号解除されたトラフィックがポリシーに一致しない"ことを伝えるエラー メッセージが表示される可能性があります。このエラー メッセージが表示された場合、ユーザーが Mobile VPN グループと同じ名前のグループに属するかを確認します。

新しいグループを Firebox 設定に追加した際にユーザーがすでにログインしている場合は、Firebox では、そのユーザーは次回 Firebox にログインするまでそのグループには関連付けられません。

デバイスでユーザーとグループを定義するには、Fireware Web UI から以下の手順を実行します：

1. システム上のすべてのユーザー アカウントが含まれるグループを、サードパーティの認証サーバー上に作成します。
2. 認証 > ユーザーおよびグループ の順に選択します。
   認証ユーザーおよびグループ ページが表示されます。

1. 追加 をクリックします。
   ユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

4. 種類 オプションで、グループ または ユーザー を選択します。
5. 認証サーバー上に作成されたユーザーまたはグループ名を入力します。
   ユーザーまたはグループ名は大文字と小文字が区別されるので、認証サーバで使用される大文字と小文字と一致する必要があります。
6. (任意) ユーザーまたはグループの説明を入力します。
7. 認証サーバードロップダウン リストから、認証サーバーを選択します。
8. ログインの制限を有効化するには、各ユーザーまたはグループのログイン制限を有効化 チェックボックスを選択して、次のセクションの手順に従ってオプションを選択します。
   - 無制限同時ログイン セッションを許可する
   - ログイン セッションの制限
9. 追加 をクリックします。

Policy Manager からデバイスのユーザーとグループを定義するには以下の手順を実行します：

1. システム上のすべてのユーザー アカウントが含まれるグループを、サードパーティの認証サーバー上に作成します。
2. セットアップ > 認証 > ユーザーおよびグループ の順に選択します。
   ユーザーおよびグループ ダイアログ ボックスが表示されます。

1. 追加 をクリックします。
   新しい認証ユーザーまたはグループの定義　ダイアログ ボックスが表示されます。

4. 種類 オプションで、グループ または ユーザー を選択します。
5. 認証サーバー上に作成されたユーザーまたはグループ名を入力します。
   ユーザーまたはグループ名は大文字と小文字が区別されるので、認証サーバで使用される大文字と小文字と一致する必要があります。
6. (任意) ユーザーまたはグループの説明を入力します。
7. 認証サーバードロップダウン リストから、認証サーバーを選択します。

   RADIUS (RADIUS または VACMAN Middleware サーバー経由の認証) または任意 (その他のサーバー経由の認証) を選択します。Active Directory 認証では、このユーザーまたはグループで使用する指定ドメインを選択します。

8. ログインの制限を有効化するには、各ユーザーまたはグループのログイン制限を有効化 チェックボックスを選択して、次のセクションの手順に従ってオプションを選択します。
   - 無制限同時ログイン セッションを許可する
   - ログイン セッションの制限
9. OK をクリックします。

RADIUS (RADIUS または VACMAN Middleware サーバー経由の認証) または任意 (その他のサーバー経由の認証) を選択します。Active Directory 認証では、このユーザーまたはグループで使用する指定ドメインを選択します。

1. ログインの制限を有効化するには、各ユーザーまたはグループのログイン制限を有効化 チェックボックスを選択して、次のセクションの手順に従ってオプションを選択します。
   - 無制限同時ログイン セッションを許可する
   - ログイン セッションの制限
2. OK をクリックします。

## 無制限同時ログイン セッションを許可する

複数のユーザーが 1 つの認証サーバーに、同じユーザー認証情報を使用して同時に認証することを許可します。これは、ゲスト アカウントや実験環境で役立ちます。2 人目のユーザーが同じユーザー認証情報を使用してログインしたとき、ユーザー認証情報で認証した 1 人目のユーザーが自動的にログアウトされます。この機能を無効にすると、ユーザーは、認証サーバーに 同時に2回以上認証されません。

ユーザーに対して無制限同時ログインセッションを許可するには以下の手順を実行します：

1. 各ユーザーまたはグループのログイン制限を有効化 チェックボックスを選択します。
2. 同一アカウントから無制限のファイアウォール認証ログインの同時実行を許可 を選択します。

## ログイン セッションの制限

ユーザーを特定の認証済みセッション数に制限することができます。このオプションを選択すると、異なった IP アドレスから 1 つの認証サーバーにログインするのに同じユーザー認証情報をユーザーが使う回数を指定できます。すでに認証されているユーザーが再度認証しようとした場合に、追加のセッションが認証された際に 1 人目のセッションを終了するか、または追加のセッションを拒否するかを選択します。

ユーザーのログインセッション数を制限するには以下の手順を実行します：

1. 各ユーザーまたはグループのログイン制限を有効化 チェックボックスを選択します。
2. 同時ユーザー セッションを以下に制限 を選択します。
3. テキスト ボックスで、許可する同時ユーザー セッションの数を入力または選択します。
4. ドロップダウン リストからオプションを選択します。
   - 後続のログイン試行を拒否
   - 後続のログイン試行を許可し、初回セッションをログオフ

## ユーザーおよびグループをポリシー定義へ追加する

ポリシー定義で使用したい任意のユーザーまたはグループを、認証ユーザーとして追加する必要があります。Firebox 認証対象として作成するすべてのユーザーおよびグループと、すべての Mobile VPN ユーザーは、認証ユーザーおよび認証グループ ダイアログ ボックス上の認証されたユーザーおよびグループのリストに自動的に追加されます。上記の手順によって、サードパーティの認証サーバー上の任意のユーザーまたはグループを、認証されたユーザーおよびグループのリストに追加できます。その後、ポリシー構成にユーザーおよびグループを追加できるようになります。

ポリシー定義にユーザーまたはグループを追加するには、Fireware Web UI から以下の手順を実行します：

1. ファイアウォール > ファイアウォール ポリシー の順に選択します。
   ファイアウォール ポリシー ページが表示されます。
2. リストからポリシーを選択し、アクション > ポリシーの編集 をクリックします。
   または、ポリシーをダブルクリックします。
   ポリシーの構成 ページが表示されます。
3. 送信元リストの下の 追加 をクリックします。
   メンバーの追加 ダイアログ ボックスが表示されます。
4. メンバーの種類 ドロップダウン リストから、ファイアウォール ユーザーを選択します。
   利用可能なユーザーのリストが表示されます。

グループ リストにユーザーまたはグループが表示されない場合、次を参照してください：Firebox の認証に新規ユーザーを定義する, Firebox の認証に新規グループを定義する、または前の サードパーティ認証のユーザーとグループを定義する 手順、およびユーザーまたはグループを追加します。

1. ユーザーを選択し、OK をクリックします。

ポリシー定義にユーザーまたはグループを追加するには、Policy Manager から以下の手順を実行します：

1. Firewall タブを選択します。
2. ポリシーをダブルクリックします。
   ポリシー プロパティの編集 ダイアログ ボックスが表示されます。
3. ポリシー タブでは、送信元 リストの下の 追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
4. ユーザーの追加をクリックします。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

4. 左側の 種類 ドロップダウン リストで、ユーザーまたはグループがファイアウォール、SSLVPN、または L2TP で認証されているかどうかを選択します。
   認証タイプの詳細については、次を参照してください：Firebox 認証の種類。
5. 右側の 種類 ドロップダウン リストで、ユーザー または グループ をクリックします。
6. ユーザーまたはグループが グループ リストに表示されている場合、ユーザーまたはグループを選択して 選択 をクリックします。
   アドレスの追加 ダイアログ ボックスが再表示され、選択されたメンバとアドレス ボックスにそのユーザーまたはグループが表示されます。

グループ リストにユーザーまたはグループが表示されない場合、次を参照してください：Firebox の認証に新規ユーザーを定義する, Firebox の認証に新規グループを定義する、または前の サードパーティ認証のユーザーとグループを定義する 手順、およびユーザーまたはグループを追加します。

4. OK をクリックして、ポリシー プロパティの編集 ダイアログ ボックスを閉じます。

ポリシー定義にユーザーまたはグループを追加した後、WatchGuard Authentication ポリシーが Firebox 構成ファイルに自動的に追加されます。このポリシーにより、認証ポータル Web ページへのアクセスが制御されます。このポリシーの編集方法については、次を参照してください：認証を使用して、受信接続を制限する。

異なるユーザーまたはグループに対して Firebox ポリシーを設定する方法の例については、次を参照してください：Active Directory 認証を使用してグループ用の WebBlocker ポリシーを構成する。

#### 関連情報

サードパーティの認証サーバーについて

ポリシーのアクセス ルールを設定する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索