Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

Google Workspace を ID プロバイダとして統合する

次の手順に従って、Google WorkspaceポータルにMistをクライアントとして追加し、証明書をダウンロードして、IDプロバイダーをジュニパーMist組織に追加します。

ジュニパー Mist Access Assurance を使用すると、ID プロバイダ(IdP)として Google Workspace と統合し、以下のユースケースでセキュアな Lightweight Directory Access Protocol over SSL(LDAPS)コネクタを活用できます。

  • 証明書ベース(EAP-TLSまたはEAP-TTLS)認証の場合:
    • このユーザーIDに基づく認証ポリシーをサポートするために、ユーザーグループのメンバーシップ情報を取得します
    • ユーザーアカウントのステータス(アクティブまたは中断)を取得します

  • PAPを使用したEAP-TTLS

    • GoogleのIDプロバイダによる認証のためにユーザー名とパスワードを確認します
注:

このドキュメントに含まれるスクリーンショットの一部は、サードパーティのアプリケーションから取得したものです。これらのスクリーンショットは時間の経過とともに変更される可能性があり、アプリケーションの現在のバージョンと必ずしも一致するとは限らないことに注意してください。

Google Workspaceでの設定

次の手順は、ジュニパーMistを使用してGoogle WorkspaceをIDプロバイダ(IdP)として設定する方法を示しています。

注:

サードパーティ製アプリケーションのスクリーンショットは、公開時点のものです。スクリーンショットがいつ、または将来正確になるかを知る方法はありません。これらの画面の変更や関連するワークフローのガイダンスについては、サードパーティーのWebサイトを参照してください。
  1. Google管理者の認証情報を使用して、 Google Workspace ポータルにログインします。

    Google管理ダッシュボードが表示されます。

  2. LDAPクライアントを作成します。
    1. Google 管理コンソールの左側のナビゲーション バーで [ アプリ] > [LDAP ] に移動し、[ クライアントを追加] をクリックします。
      Google Admin console interface showing the LDAP section under Apps category with Add Client option highlighted for managing LDAP clients and permissions.
    2. LDAPクライアント名とオプションの説明を入力し、続行をクリックします。
      LDAP client setup interface showing the current step as Client details. Includes fields for LDAP client name filled as Mist Access Assurance and an empty description field. Note states LDAP client name is required. Buttons at the bottom: CANCEL and CONTINUE.

      LDAPクライアントを追加すると、 アクセス許可 ページが表示されます。

  3. ユーザーの資格情報を検証するためのアクセス許可を設定します。

    以下のオプションがあります。

    • ユーザー資格情報の検証—EAP-TTLS/PAPを使用したユーザー資格認証を許可します。この設定は、LDAPクライアントがユーザーの認証情報を検証するためにアクセスできる組織グループを指定します。
    • ユーザー情報の読み取り—基本的なユーザー情報を読み取ることができます。この設定では、LDAPクライアントが追加のユーザー情報を取得するためにアクセスできる組織部門とグループを指定します。
    1. 特定の組織が必要ない場合は、両方のオプションで ドメイン全体を選択します 。
      Configuration screen for access permissions showing verify user credentials and read user information sections. Entire domain deaflyz.net selected for both. System attributes checkbox selected. Options for limiting access to organizational units or groups not selected.
    2. グループ情報を読み取るまで下にスクロールします。この設定は、LDAPクライアントがグループの詳細を読み取り、ユーザーのグループメンバーシップを確認できるかどうかを指定します。
      User interface screen for configuring reading group information with toggle switch set to On, Back button at bottom left, and ADD LDAP CLIENT button at bottom right.

      アクセス許可の設定とLDAPクライアントの追加が完了すると、同じページに証明書が自動的に生成されます。

  4. 生成されたLDAPSクライアント証明書をダウンロードします。
    1. 証明書のダウンロードをクリックし、ダウンロードした証明書を安全な場所に保存します。この証明書は、ジュニパー MistポータルでIdPを設定するときに必要になります。
      Setup process for connecting a client to LDAP service with steps to download a certificate, upload it to the LDAP client, and configure the application. Buttons for downloading the certificate and continuing to client details are included.
    2. [クライアントの詳細に進む]をクリックします。

      <LDAPクライアント名の設定>ページが表示されます。

    3. 認証セクションを展開します。
      Mist Access Assurance LDAP configuration interface with status off, options to edit details and more, and dropdown arrow.
    4. アクセス資格情報で、新しい資格情報を生成をクリックします。
      Mist Access Assurance interface for LDAP settings showing status as OFF, certificate details like name, expiration date, SHA-256 fingerprint, and options to download, edit, or delete. Includes a message about no access credentials and a highlighted button to generate new credentials.

      ユーザー名とパスワードは、 アクセス資格情報 ページで確認できます。

      Credentials screen for Mist Access Assurance showing Username field with value Coordinate, hidden Password field, copy password option, warning about password storage, and CLOSE button.

      ユーザー名とパスワードをコピーして保存します。ジュニパーMistクラウドポータルのLDAPSクライアント設定には、これらの詳細が必要です。

  5. LDAPクライアントのサービスステータスを オン に変更して、LDAPクライアントサービスを有効にします。この手順により、セキュアLDAPサービスを使用してクライアントをセットアップできます。
    1. Google 管理コンソールから [ アプリ] > [LDAP] に移動します。クライアントを選択し、 サービスステータスをクリックします。

      ページ右上に表示されるサービスステータスは、最初は OFFに設定されています。

      Settings page for Mist Access Assurance in LDAP application. Service status is OFF. Access permissions set to Entire domain and System attributes. Authentication includes 1 certificate and 1 access credential. Options include Edit Details and More buttons.

      [ すべてのユーザーにオン] を選択して、サービスをオンにします。変更がGoogle側に適用されるまでしばらくお待ちください。

      Settings interface for Mist Access Assurance with service status set to ON for everyone, unsaved change noted, and options to cancel or save changes.

Juniper Mistダッシュボード上の設定

  1. ジュニパー Mistポータルの左側のメニューから、組織>アクセス>IDプロバイダーを選択します。

    IDプロバイダーページには、設定されているIDプロバイダーが表示されます。

    図1:IDプロバイダーページIdentity Providers section with no providers configured and Add IDP button to add a new identity provider.
  2. 新しいIdPを追加するには、 IDPを追加 をクリックします。
  3. 新しいIDプロバイダーページで、Google Workspaceと統合するために必要な情報を入力します。
    図2:IDプロバイダーの詳細を更新するConfiguration interface for setting up a new identity provider with fields for name, IDP type, LDAP settings, filters, server hosts, domain names, credentials, certificates, and buttons to create or cancel.

    次に、Google Workspace LDAP エンドポイントと統合するように LDAPS コネクタを構成します。

    • 名前—IdP名を入力します。(この例では、 Google Workspaceと入力します。)
    • IDPタイプ— LDAPSを選択します。
    • LDAPタイプ— カスタムを選択します。
    • グループフィルター— memberOfを選択します。このオプションは、 グループ属性からグループメンバーシップを取得するために必要です。
    • メンバーフィルター— memberOfを選択します。
    • ユーザーフィルター— (mail=%s)を入力します。
    • サーバーホスト— ldap.google.comを入力します。
    • ドメイン名—Google Workspaceドメイン名を入力します。例: abc.com。
    • DNのバインド—前のステップでGoogleから提供されたユーザー名を使用します。
    • バインドパスワード—上記のユーザー名のパスワードを入力します。
    • ベースDN—Google Workspaceドメインに一致するベースDNを設定します。たとえば、ドメインが abc.com の場合、ベースDNは dc=abc,dc=comです。
  4. CA証明書セクションで、 証明書を追加 をクリックし、次の2つの証明書を貼り付けます。
    図3:証明書Certificate Authority details with signed certificate in PEM format, properties like ldap.google.com as Common Name, validity from 03/13/2023 to 06/05/2023, issuer as Google Trust Services LLC, serial number 0eb6a9cb5f11079e0a6579daee7ad2ba, TLS Web server authentication, OCSP link, CRL link, and Save and Cancel buttons.CAを追加する
  5. [クライアント証明書]で、Googleからダウンロードしたクライアント証明書を追加します。次の例に示すように、.keyで終わるファイルをプライベートキーに、.crtで終わるファイルを署名付き証明書の下に配置します。
    図4:クライアント証明書の追加Client Certificate configuration interface with sections for Private Key, Signed Certificate, certificate properties like Common Name LDAP Client, validity dates, issuer Google Inc., and Serial Number 01882da047cd. Save and Cancel buttons at the bottom.

    「保存」をクリックします。

ジュニパー Mistポータルで、 > インサイト > クライアントイベントの監視に移動します。

ユーザーがEAP-TTLSを使用して認証すると、ユーザーグループのメンバーシップ情報を取得する NAC IDP認証成功 イベントと NAC IDPグループルックアップ成功 イベントを確認できます。

ユーザーがGoogle WorkspaceでEAP-TTLSを使用して認証すると、ユーザーグループのメンバーシップ情報を取得する イベントNAC IDPグループルックアップ成功 を確認できます。
図5:IDPグループルックアップ成功認証イベント Dashboard displaying client network access and authentication events with timestamps, event types, and client details. Highlighted IdP Roles include it_admin, itsuperusers, and vip.

EAP-TTLS認証の場合は、 NAC IDP認証成功 イベントを確認できます。このイベントは、Google Workspace がユーザーの認証情報を検証したことを示します。

図6:IDP認証成功イベントNetwork client event log interface showing client events like Authorization Association, NAC Client Access Allowed, NAC Authentication Success, and summary details including client Google, BSSID a8:f7:d9:98:a7:d1, authentication type 802.1X, AP BRQLAB-APJ-2, SSID mist-aa, and user name slava@deaflyz.net.

認証ポリシールールでGoogle WorkspaceのIDPロールを活用し、ユーザーロールに基づいてネットワークセグメンテーションを実行できます。

ROPC を使用した EAP-TTLS と Azure AD について

拡張認証プロトコル-トンネル化されたTLS(EAP-TTLS)は、Azure ADでのLDAPS OAuthフローを利用してユーザー認証を実行します。これは、MFA なしでユーザー名とパスワードを使用するレガシー認証の使用を意味します。この方法を採用する際には、考慮すべき要素がいくつかあります:

  • GPOまたはMDMから、正しいWi-Fiプロファイルを使用してクライアントデバイスを設定します。 ログイン プロンプトでユーザー名とパスワードのみを指定しても、一部のオペレーティング システムでは機能しません。
  • ユーザーは、ユーザー名を入力する際に、Google Email ID(username@domain)ユーザー名形式を使用する必要があります。
  • サーバー証明書を信頼するようにクライアントを設定します。 デジタル証明書の使用を参照してください。

関連項目