SOTI MobiControl統合

これらの手順に従って、SOTI MobiControlの統合を理解し、SOTI MobiControlアカウントをジュニパーMist組織にリンクし、ポリシールールを作成し、クライアントイベントを表示します。

ジュニパー Mist Access Assuranceは、SOTI MobiControlとのネイティブ統合をサポートしており、ラップトップや携帯電話などのデバイス全体のエンドポイントコンプライアンスを包括的に評価できます。SOTI MobiControlは、事前定義されたポリシーを使用して、アンチウィルスの有無、ファイアウォールステータス、OSパッチレベルなどのセキュリティパラメーターに基づいてデバイスのコンプライアンスを評価します。ジュニパー Mist Access Assuranceは、SOTI MobiControlから最新のデバイスのコンプライアンスステータスを取得し、それを認証ポリシーに適用して、アクセス制御の決定を適用します。

Flow diagram of SOTI MobiControl integration with Juniper Mist Access Assurance for device compliance and network access.

SOTI MobiControlからのコンプライアンスデータの取得

ジュニパー Mist Access Assuranceは、APIベースのポーリングメカニズムを使用して、認証された各マネージドクライアントに対して2時間ごとにSOTI MobiControlにクエリーします。コンプライアンスステータス情報はキャッシュされ、すばやく取得できます。

さらなる遅延を防ぐため、認証プロセスの完了後にコンプライアンス情報が取得されます。デバイスの最初のオンボーディングが完了すると、コンプライアンスステータスが2時間ごとに更新されます。

デバイスのコンプライアンス状態が変化した場合、ジュニパー Mist Access Assuranceは自動的にChange of Authorization(CoA)をトリガーしてポリシーを再評価し、適切なアクセス制御措置を実施します。このCoAの自動トリガーにより、コンプライアンスの変更に迅速に対応し、手動介入を必要とせずにセキュリティとポリシーの遵守を維持できます。

図1 は、ジュニパー Mist Access AssuranceがSOTI MobiControl管理対象デバイスのコンプライアンスデータを取得して認証を行う方法を示しています。

図1:SOTI MobiControl Flow diagram showing the process of network access control and device compliance verification using Juniper Mist Access Assurance and SOTI MobiControl. Key steps include EAP-TLS authentication, device compliance check via MDM lookup, and authorization update for secure network access.

Flow diagram showing the process of network access control and device compliance verification using Juniper Mist Access Assurance and SOTI MobiControl. Key steps include EAP-TLS authentication, device compliance check via MDM lookup, and authorization update for secure network access.

の認証および承認プロセス

注:

CoA 機能をサポートするには、AP はファームウェアバージョン 0.14 以降を実行する必要があります

ジュニパー Mist Access Assuranceは、クライアント認証時に以下の情報を使用して、クライアントをSOTI MobiControlのデバイスレコードと照合します。

注:

このトピックに含まれるスクリーンショットの一部は、サードパーティ製アプリケーションから取得したものです。これらのスクリーンショットは時間の経過とともに変更される可能性があり、アプリケーションの現在のバージョンと必ずしも一致するとは限らないことに注意してください。

非ランダム化MACアドレス—EAP-TTLSまたはEAP-TLSを使用した認証では、クライアントデバイスのMACアドレスがSOTI MobiControlの管理対象デバイスレコードと照合されます。正確なMACベースのデバイスマッチングを確保するには、クライアントデバイスのWi-Fi設定プロファイルでMACアドレスのランダム化を無効にする必要があります。この記事の執筆時点では、SOTI MobiControl は、iOS および Android デバイスのみの Wi-Fi 構成プロファイルで MACアドレスのランダム化を無効にする機能をサポートしています。
SAN:DNS証明書属性でエンコードされたSOTI MobiControlデバイスID - SOTI MobiControl証明書テンプレートで、 %DeviceIdentifier% 変数を使用して、SAN:DNS証明書フィールドのデバイスIDをエンコードします。

SOTI MobiControl の設定

SOTI MobiControlをジュニパーMistと統合するには、SOTI MobiControl APIクライアントIDを設定する必要があります。

注:

サードパーティ製アプリケーションのスクリーンショットは、公開時点のものです。スクリーンショットがいつ、または将来正確になるかを知る方法はありません。これらの画面の変更や関連するワークフローのガイダンスについては、サードパーティーのWebサイトを参照してください。

SOTI MobiControlで、グローバル設定>サービスAPIクライアントに移動します。+をクリックして、新しいクライアントIDとクライアントシークレットを生成します。これらの値をコピーします。
MobiControl Webコンソールの表示専用アクセス権を持つユーザ資格情報を作成します。ユーザーと権限>ユーザーに移動し、+をクリックしてユーザーを追加します。
デバイスが登録されるデバイスグループへのアクセス権がユーザにあることを確認します。

SOTI MobiControlをジュニパーMistポータルに追加

SOTI MobiControlをジュニパー Mistポータルに追加するには:

ジュニパー Mistポータルの左側のメニューから、組織> アクセス>IDプロバイダーを選択します。
[リンクされたアカウント]セクションで、[アカウントのリンク]をクリックします。
[SOTI MobiControl] を選択します。
アカウントのリンクページで、クライアントID、クライアントシークレット、ユーザー名、パスワード、SOTI MobiControlインスタンスURL(例:https://ABC.mobicontrol.cloud)を入力します。

SOTI MobiControlアカウントをリンクすると、IDプロバイダーページでSOTI MobiControlアカウントのステータスを確認できます。
アカウントをクリックすると、最後の同期の詳細を表示できます。

SOTI MobiControlの検証

新しいクライアントの最初のMDMルックアップは、デバイスが初めて認証された後に行われます。このルックアップを容易にするには、デバイスの初回接続を許可し、デバイスを隔離VLANに割り当てる認証ルールを作成する必要があります。

注:このルールの一致条件に [準拠] または [非準拠] の MDM コンプライアンスラベルを含めないでください。オプションで、Unknown Compliantラベルを一致条件として使用できます。このルールの優先度が標準のアクセスポリシーよりも低いことを確認してください。

クライアントが接続されると、インサイトページにNACクライアントアクセスが許可されたイベントが表示されます。

Network monitoring interface showing data usage graph with activity spikes, client events like authorization and session start, and detailed authentication info for a device.

クライアントが接続すると、ジュニパー Mist Access Assuranceは以下を実行します。

デバイスのコンプライアンスステータスをSOTI MobiControlから取得します。
クライアントを再認証するためのChange of Authorization(CoA)をトリガーします。
再認証時に、クライアントは更新されたコンプライアンスステータスに基づいて適切なポリシーと照合されます。

その後のすべての認証において、ジュニパー Mist Access AssuranceはキャッシュされたMDMデータを使用し、コンプライアンスの変更をキャプチャするために2時間ごとに自動的に更新されます。