関連トピック

# Active Directory 認証を使用してグループ用の WebBlocker ポリシーを構成する

ユーザー グループに応じて異なるレベルの Web サイト アクセスを許可するには、先にユーザー認証をセットアップする必要があります。次に、各ユーザー グループに異なる WebBlocker 設定を構成します。高レベルでは、以下の手順に従います。

- Active Directory 認証を有効にし、構成します。
- Active Directory サーバーのユーザー グループ名に一致させるために、ユーザー グループを定義します。
- 各ユーザー グループにポリシーを追加します。ポリシーには、そのグループの WebBlocker 構成の設定が含まれています。
- 既定の送信ポリシーを変更または削除します。
- ユーザーを WatchGuard 認証 ページへ自動的にリダイレクトするには、認証設定を構成します。
- (省略可能) Single Sign-On (SSO) の構成

## シナリオ例

この構成の設定方法を説明するために、3 つのグループに異なるレベルの Web アクセスを設定する学校の例を挙げます。

- 学生 (アクセス制限高)
- 先生 (アクセス制限低)
- IT (アクセス制限なし)

## ユーザー認証を構成する

WebBlocker 設定を構成する前に、ユーザー認証を設定する必要があります。Active Directory、ローカルの認証、Radius または LDAP などの認証方法のいずれかを使用できます。サポートされている認証方法の詳細については、次を参照してください：認証サーバーの種類。この例では、学校はシングル サインオンと Active Directory 認証の使用を検討していることを前提とします。

## アクティブ ディレクトリの認証を有効にする

Active Directory 認証サーバーの使用により、ユーザーは既存のネットワーク認証情報を使用して Firebox に対して認証を行うことができます。デバイスで Active Directory 認証の使用を構成する前に、ユーザーが Active Directory サーバーに対して正常に認証できることを確認します。

この例では、Policy Manager を使用して、IP アドレス 10.0.1.100 にある、この学校の Active Directory Server を使用するデバイスを構成します。

1. をクリックします。
   または、設定 > 認証 > 認証サーバー の順に選択します。
   認証サーバー ダイアログ ボックスが表示されます。
2. アクティブ ディレクトリ タブを選択します。
   Active Directory 設定が表示されます。
3. 追加 をクリックします。
   Active Directory を追加の設定が表示されます。

3. ドメイン名 テキスト ボックスに、この Active Directory Server で使用するドメイン名を入力します。
4. 追加 をクリックします。
   IP/DNS 名の追加 ダイアログボックスが 表示されます。
5. 種類の選択 ドロップダウン リストから、IP アドレス を選択します。
6. 値 テキスト ボックスに、プライマリ Active Directory サーバーの IP アドレスを入力します。
   この例では、10.0.1.100 と入力します。

Active Directory サーバーは任意の Firebox インターフェイスに配置できます。また、VPN トンネルを経由して接続可能な Active Directory サーバーを使用するようにデバイスを構成できます。

1. ポート テキスト ボックスに、Active Directory サーバーへの接続に使用する TCP ポート番号を入力または選択します。既定のポート番号は 389 です。

Active Directory Server がグローバル カタログ サーバーの場合、既定のポートを変更した方がよい可能性があります。詳細については、次を参照してください：Active Directory サーバーの既定のポートを変更する。

1. OK をクリックします。
   追加した IP アドレスまたは DNS 名が、Active Directory ドメインの追加 ダイアログボックスに表示されます。
2. 検索ベース テキスト ボックスに、検索を開始するディレクトリ内の場所を入力します。

検索ベース設定の標準形式は、ou=<組織ユニットの名前>,dc=<サーバーの識別名の最初の部分>,dc=<ドットの後に現れるサーバーの識別名の任意の部分> です。

検索ベースを設定し、認証一致を見つけるために Firebox が使用する認証サーバーのディレクトリに制限を課します。検索ベースをドメインのルートに設定することをお勧めします。これにより、すべてのユーザーおよびそれらのユーザーが属しているすべてのグループを検索することができます。

この例では、Active Directory データベースでのルート ドメイン名は、example.com であるため、検索ベースとして dc=example,dc=com と入力します。

Active Directory サーバーで検索ベースを見つける方法の詳細については、次を参照してください：Active Directory 検索ベースを探す.

1. グループ文字列テキスト ボックスに、Active Directory サーバーでユーザー グループ情報を保持するために使用される属性文字列を入力します。Active Directory スキーマを変更していない場合、グループ文字列は常に memberOf になります。

1. 検索対象ユーザーのDN テキスト ボックスに、検索操作用の識別名 (DN) を入力します。

ログイン属性 sAMAccountName を変更しない場合、このテキスト ボックスへの入力は必要ありません。ログイン属性を変更する場合、構成で検索対象ユーザーの DN フィールドに値を追加する必要があります。管理者 など、LDAP および Active Directory を検索する権限を持つ任意のユーザーの DN を使用できます。ただし、検索権限だけを持つ、より権限の低いユーザーの DN で通常は十分です。

1. 検索対象ユーザーのパスワード テキスト ボックスに、検索操作で使用する識別名に関連付けられたパスワードを入力します。
2. ログイン属性 テキスト ボックスに、認証に使用する Active Directory のログイン属性を入力します。

ログイン属性は、Active Directory データベースの接続に使用する名前です。既定のログイン属性は sAMAccountName です。sAMAccountName を使用する場合、検索対象ユーザーのDN フィールドと 検索ユーザーのパスワード フィールドを空白のままにすることができます。

1. 停止状態のサーバーが再度アクティブとしてマークされるまでの時間を設定するには、停止時間 の上矢印または下矢印をクリックします。時間を設定するには、横にあるドロップダウン リストから分または時間を選択します。

認証サーバーが一定時間応答しなかった場合、そのサーバーは停止としてマークされます。追加の認証では、再びこのサーバーがアクティブとマークされるまで、このサーバーは試行されません。

1. OK をクリックします。
2. 構成ファイルを保存する。

## 認証ユーザーおよび認証グループを定義する

ポリシーで Active Directory グループを使用する前に、Policy Manager から Firebox 構成にグループを定義する必要があります。追加するグループ名は Active Directory サーバーのグループと一致する必要があります。

Firebox 構成に新しいグループを追加した際にすでにユーザーがログインしてた場合、そのユーザーが次に Firebox にログインするまでユーザーはグループには関連付けられません。

1. 設定 > 認証 > ユーザーおよびグループ の順にクリックします。
   ユーザーとグループダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   新しい認証ユーザーまたはグループの定義　ダイアログ ボックスが表示されます。

1. 名前 テキスト ボックスに、Active Directory サーバーのグループ名を入力します。
   この例では、学生は 学生 Active Directory のグループに属しているので、学生 と入力します。
2. (省略可能) 説明 テキスト ボックスに、グループの説明を入力します。
3. 種類 が、グループ に設定されていることを確認します。
4. 認証サーバー ドロップダウン リストから、Active Directory を選択します。

上記の手順を繰り返して、先生と IT のグループを作成します。

## 学生の HTTP プロキシ ポリシーを作成する

Firebox は、パケット フィルタ と プロキシ という 2 つのポリシー カテゴリを使用して、ネットワーク トラフィックをフィルタします。

パケット フィルタ ポリシー

パケット フィルタは、各パケットの IP および TCP/UDP ヘッダを検査します。パケット フィルタ設定によって、パケット ヘッダ情報が許可された場合、Firebox はパケットを許可します。正当でなかったパケットはドロップ (除去) されます。

プロキシ ポリシー

プロキシは、各パケットのヘッダ情報と内容の両方を検査します。プロキシ設定がパケット ヘッダ情報およびパケットの内容を許可する場合、Firebox はパケットを許可します。正当でなかったパケットはドロップ (除去) されます。

特定のユーザー グループが一連の Web サイト カテゴリにアクセスするのをブロックするには、Policy Manager でそれらのユーザーを対象に HTTP プロキシ ポリシーを作成し、そのポリシーの WebBlocker アクションを定義する必要があります。この HTTP プロキシはコンテンツを調べ、プロキシ ポリシーに構成した WebBlocker カテゴリに基づいて、Web サイトへのユーザー アクセスを許可または拒否します。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. プロキシ フォルダを展開して HTTPS プロキシ を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. プロキシ ポリシーが適用するグループを説明するには、プロキシ ポリシー名を変更します。
   この例では、プロキシ ポリシーを HTTP-proxy-Students と名付けます。
2. ポリシー タブの From セクションで Any-Trusted をクリックします。削除 をクリックします。
3. このポリシーにユーザー グループを追加するには、 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログが表示されます。
4. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. 学生 グループを選択します。選択 をクリックします。OK をクリックします。
   ポリシーの 送信元 セクションに、学生グループを含む、新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. をクリックします。
   HTTP プロキシ アクションの構成 ダイアログ ボックスが表示されます。

1. 左側の カテゴリ リストから、WebBlocker を選択します。
   WebBlocker 構成が表示されます。
2. WebBlocker ドロップダウン リストの横にある、 をクリックします。
   新しい WebBlocker 構成 ダイアログ ボックスが表示されます。

1. 名前 テキスト ボックスに、WebBlocker 構成の名前を入力してください。
   この例では、学生 と入力します。
2. サーバー タブで、WebBlocker のルックアップに Websense クラウドを使用 を選択します。
3. ブロックできるコンテンツのカテゴリを表示するには、カテゴリ タブをクリックします。
4. 学生 グループのユーザー用に、ブロックする各コンテンツカテゴリのチェックボックスをオンにします。

## 先生の HTTP プロキシ ポリシー を作成する

Policy Manager から、同じステップを繰り返して、先生 グループに異なるポリシーを設定します。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. プロキシ フォルダを展開して HTTPS プロキシ を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. プロキシ ポリシーが適用するグループを説明するには、プロキシ ポリシー名を変更します。
   この例では、プロキシ ポリシーを HTTP-proxy-Teachers と名付けます。
2. ポリシー タブの From セクションで Any-Trusted をクリックします。削除 をクリックします。
3. このポリシーにユーザー グループを追加するには、 送信元 セクションで、追加 をクリックします。
   この例では、先生 のグループを追加します。
4. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. 先生 グループを選択します。選択 をクリックします。OK をクリックします。
   ポリシーの 送信元 セクションに、先生のグループを含む、新しいポリシー プロパティ ダイアログ ボックスが表示されます。

1. をクリックします。
   HTTP プロキシ アクションの構成 ダイアログ ボックスが表示されます。
2. 左側の カテゴリ リストから、WebBlocker を選択します。
   WebBlocker 構成が表示されます。
3. WebBlocker ドロップダウン リストの横にある、 をクリックします。
   新しい WebBlocker 構成 ダイアログ ボックスが表示されます。
4. 名前 テキスト ボックスに、WebBlocker 構成の名前を入力してください。
   この例では、先生 と入力します。
5. サーバー タブで、WebBlocker のルックアップに Websense クラウドを使用 を選択します。
6. ブロックできるコンテンツのカテゴリを表示するには、カテゴリ タブをクリックします。

1. 先生 グループのユーザーに対してブロックする内容のカテゴリの各のチェック ボックスをクリックします。
2. OK をクリックします。

## IT グループの HTTP パケット フィルタ ポリシーを作成する

IT チームの場合、インターネットへの無制限アクセスが必要です。これらのユーザーに対しては、HTTP パケットのコンテンツを検査する必要はないので、HTTP プロキシ ポリシーの代わりに HTTP パケット フィルタ ポリシーを作成します。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. パケット フィルタ フォルダを展開し、HTTP を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. プロキシ ポリシーが適用するグループを説明するには、プロキシ ポリシー名を変更します。
   この例では、プロキシ ポリシーは HTTP-IT と名付けます。
2. ポリシー タブの 送信元 リストで、Any-Trusted を選択します。削除 をクリックします。
3. このポリシーにユーザー グループを追加するには、 送信元 セクションで、追加 をクリックします。
   この例では、IT グループを追加します。
4. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. IT グループを選択します。選択 をクリックします。OK をクリックします。
   ポリシーの 送信元 セクションに、IT のグループを含む、新しいポリシー プロパティ ダイアログ ボックスが表示されます。

1. OK をクリックします。

IT グループのメンバーは WebBlocker 制限の影響を受けません。

## 送信ポリシーを変更または削除する

HTTP プロキシ構成に WebBlocker profile を追加した後、既定の発信ポリシーを調べて、ネットワーク クライアントはユーザー認証がなければ Web サイトを訪問できないように設定されていることを確認します。インターネットを閲覧しようとするネットワーク クライアントに必ず認証を要求するには、Policy Manager で、発信ポリシーを削除して、必要な他の発信ネットワーク ポリシーを追加するか、または発信ポリシーを編集して WebBlocker 認証ユーザー グループを追加します。これら 2 つのオプションを以下に説明します。

### オプション 1 — 送信ポリシーを削除して、その他の送信ネットワーク ポリシーを追加する

アウトバウンド ネットワーク アクセスに対するコントロールを増加させる場合、このオプションをお勧めします。組織のニーズを満たすために、どのポートとプロトコルが必要であるかを理解しておく必要があります。

最初に、送信ポリシーを削除するために以下の手順に従います。

1. 送信 ポリシーを選択します。
2. 編集 > ポリシーの削除 の順に選択します。
3. はい をクリックして確定します。

アウトバウンド DNS クエリを許可するために DNS パケット フィルタ ポリシーを追加します。その手順は以下の通りです。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. パケット フィルタ フォルダを展開し、DNS を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。
3. ポリシーの 送信元 セクションに、すべての内部ネットワークを追加します。
4. ポリシーを保存するには、OK をクリックします。

最後に、その他のカスタム ポリシーを追加するために以下の手順に従います。

その他の送信トラフィックのカスタム ポリシーを追加します。追加するその他のカスタムポリシーの例は以下を含みます。

- UDP
- SMTP (メールサーバーがある場合)

カスタム ポリシーを追加する方法の詳細については、次を参照してください：カスタム ポリシーについて.

### オプション 2 — ユーザー認証グループを送信ポリシーに追加する

業務に必要なポートとプロトコルがわからない場合、または既定の構成を使用しているときと同じレベルのアウトバウンド制御で満足である場合、認証グループを追加できるように Policy Manager を使用して送信ポリシーを変更できます。

1. 送信 ポリシーをダブルクリックします。
   ポリシー プロパティの編集 ダイアログ ボックスが表示されます。
2. 送信元 リストで Any-Trusted を選択します。削除 をクリックします。
3. 送信元 リストで Any-Optional を選択します。削除 をクリックします。
4. 送信元セクションで、追加をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
5. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. 作成したユーザー認証グループをすべてクリックします。選択 をクリックします。
2. OK をクリックします。
   送信ポリシーの ポリシーのプロパティの編集 ダイアログ ボックスが表示されます。ポリシーの 送信元 セクションに選択したグループが表示されます。

## ログイン ポータルに自動リダイレクトされるユーザー

ポリシーマネージャーより、インターネットにアクセスをしようとするとき、認証ログイン ポータルにまだ認証されていないユーザーを自動的に送信するようにグローバル認証設定を構成できます。

1. 設定 > 認証 > 認証設定 の順に選択します。
   認証設定 ダイアログ ボックスが開きます。
2. 認証するためにユーザーを認証ページに自動リダイレクトする チェックボックスをオンにします。

これにより、WebBlocker は、認証ユーザーのさまざまなグループの異なるポリシーを使用するように構成され、認証されていないユーザーを認証ページへ自動的にリダイレクトします。

## シングル サインオン (SSO) を構成する

ユーザーはネットワークのコンピュータにログオンする場合、ユーザー名とパスワードを入力する必要があります。Firebox の送信ネットワーク トラフィックが Active Directory 認証によって特定にユーザーまたはグループに制約されている場合、それらのユーザーまたはグループは、ネットワーク リソース (インターネットなど) にアクセスするためにデバイスに対して手動認証を行うときにも、再度ログインしなければなりません。シングル サインオン (SSO) を使用すれば、信頼済みまたは任意ネットワーク上のユーザーはコンピュータへのログオン時に Firebox にも自動的に認証されます。

SSO を使用するには、ドメインのコンピューターに SSO エージェント ソフトウェアをインストールする必要があります。複数のユーザーが同じコンピュータを使用している学校などの環境では、各コンピュータに SSO クライアント ソフトウェアをインストールすることをお勧めします。

シングル サインオンの詳細については、次を参照してください：Active Directory（シングルサインオン / SSO）について。

#### 関連情報

プロキシ定義で WebBlocker アクションを使用する

HTTP プロキシについて

グローバル Firewall 認証値の設定

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索