Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

認証ポリシーラベルを設定する

認証ポリシーで参照するユーザーとリソースを識別するラベルを追加して、ネットワークへのアクセスを制御します。

ネットワークアクセス制御ポリシーは、ネットワークへの接続を試みるデバイスに安全なアクセスを提供するためのルールとガイドラインのセットです。ポリシーは、デバイスとユーザーがネットワークにアクセスし、ネットワークリソースを使用するために満たさなければならない特定の基準で構成されています。

認証ポリシーを使用してJuniper Mist Access Assuranceを設定し、ジュニパー Mist管理対象デバイスがクライアントをネットワークまたはアプリケーションに接続できるようにすることができます。

ジュニパーMistはポリシー一致基準として「ラベル」を利用し、使用ラベルは権限を指定する関連ポリシーアクションを適用します。つまり、認証ポリシーを作成するときに、ラベルを次のように使用できます。

  • 一致基準:ポリシールールを適用するために満たす必要がある一致基準のセット。
  • ポリシー許可アクション:追加属性(VLAN、ロール、グループベースのポリシータグ)の適用など、一致した場合に適用する一連のアクション。

ラベルの作成

以下のページでラベルを作成できます。

  • 認証ポリシー
  • 認証ポリシーラベル

認証ポリシーラベルページでラベルを作成するには:

  1. ジュニパー Mistポータルの左側のメニューから、 組織>アクセス>認証ポリシーラベルを選択します。

    既存のラベルのリストが表示されます(存在する場合)。

  2. 認証ポリシーラベルで、 ラベルを追加 をクリックし、以下の詳細を入力します。
    • ラベル名—ラベルの一意の名前を入力します。英数字と1つ以上の特殊文字を含めて、最大32文字を使用できます。
    • ラベルタイプ—ラベルタイプを指定します。ラベルのタイプを選択するには、 表1 の情報を参照してください。
    表1:新しいラベルのパラメーター

    ラベルタイプ

    詳細

    認証ポリシールールでの役割

    AAA属性

    一致基準として機能し、権限を指定するポリシーアクションの決定に役立つユーザー属性のグループ。

    オプション:

    • ロール:割り当てられたユーザーロール。これは、ロールベースのポリシーを適用する際に使用できます。
    • VLAN:VLAN ID、サイト変数、または名前付きVLANを使用して、VLANをクライアントに割り当てることができます。サイト変数については、「 サイト変数を使用した動的VLAN割り当て」を参照してください。
    • レルム:認証で使用されるドメインで、多くの場合、ユーザーの資格情報が有効な場所を指定します。
    • ユーザー名:個人またはデバイスに割り当てられた一意の識別子。これは、認証デバイスのユーザー名 RADIUS 属性に一致して使用できます。
    • GBPタグ:グループポリシータグ)ユーザーまたはデバイスの特定のグループをさまざまなタイプのネットワークトラフィック管理に割り当てるために使用されます。
    • セッションタイムアウト: ユーザーセッションがリセットされるまでに許容される最大時間を3600秒から604800秒の範囲で設定します。
    • カスタムベンダー固有属性:Access-Acceptメッセージで返されるように設定できるカスタム属性。これらの属性は特定のベンダーに合わせて調整されており、ロールや権限を含めることができます。例:
      • シスコ:cisco-AVPair、cisco-NAS-port、cisco-fax-account-id-origin
      • ジュニパー:ジュニパーローカルユーザー名
      • Palo Alto Networks:paloAlto-admin-role、paloAlto-admin-access-domain。

      • 各ベンダーのVSA(ベンダー固有属性)については、それぞれのドキュメントまたは設定ガイドを参照してください。

    • カスタム標準 RADIUS 属性( これらは、Idle-Timeout=600 や Termination-Action=RADIUS-Request などの標準 IETF RADIUS 属性であり、追加の属性で変更できます。
    • 動的有線ポート設定(これらは、Access アシュアランスがAccess-AcceptメッセージのRADIUS属性 Egress-VLAN-Name に対して返すVLAN名であり、特に動的なポート設定で役立ちます。たとえば、AP接続にトランクポートを自動的に使用したり、タグ付きVLANとタグなしVLANを区別したりする場合など)。
    • 返されたユーザー名:ユーザー名、ユーザーの認証に成功した後にシステムに入る電子メールなどのユーザーの識別子。

      オプション:

      • 自動
      • 証明書 CN
      • 証明書 SAN:UPN
      • 証明書SAN:Eメール
      • 証明書SAN:DNS
    • 設定されたポートVLAN ID:認証に成功した後に特定のポートでデバイスが割り当てられるVLAN ID。
    • NAS IPアドレス:認証要求が行われているネットワークアクセスサーバー(ゲートウェイデバイス)のIPアドレス。

    一致条件とポリシー許可アクション
    証明書属性 認証中に使用されるユーザーまたはデバイス証明書フィールドのグループ。

    オプション:

    • 一般名(CN)
    • 件名
    • シリアル番号
    • 発行者
    • サブジェクトの代替名(SAN)

    一致条件

    クライアントリスト

    ワイルドカード値で識別されるMACアドレスまたはMAC OUI(組織固有識別子)のリスト。例:1122AA33BB44または11-22-AA-33-BB-44または11-22-AA*

    802.1Xをサポートしていないデバイスの場合、 クライアントリスト を使用して、承認されたデバイスにネットワークへのアクセスを許可できます。

    一致条件
    SSID

    着信着信ステーション識別子属性に基づく、ユーザーまたはデバイスの認証中に使用されるSSID名。カンマ区切りの値を使用して、複数のSSIDを1つのラベルに結合できます。

    一致条件
    ディレクトリ属性 ユーザーグループのメンバーシップIDプロバイダ(IdP)は、ユーザーまたはデバイスの認証時にユーザーグループ情報を提供します。

    一致条件
    MDMコンプライアンス 認証中にモバイルデバイス管理プロバイダから受信したクライアントのポスチャコンプライアンスを評価することによって、ポリシールールの[一致]セクションで使用されます。
    • 準拠
    • 非準拠
    • 不明

    一致条件
    クライアントラベル NACエンドポイントデータベース内のMACアドレスに割り当てられたラベルまたはラベルのリストを照合するために使用します。テキストを入力します。例:building3、floor2、printer。

    一致条件
  3. 作成をクリックして、新しいラベルの設定を保存します。
    このタスクで作成したラベルは、認証ポリシーを作成するときに、一致条件またはポリシー許可アクションとして選択できるようになります。

関連項目