Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

Marvis Clientアプリを使用したNACポータルからのクライアントオンボーディング

NACオンボーディングポータルがMarvis Clientアプリを介してプロビジョニングしたWi-Fiクライアント証明書を使用して、デバイスをジュニパー Mist Access Assuranceネットワークに安全にオンボーディングします。

ネットワークアクセス制御(NAC)ポータルを介してデバイスをオンボーディングすると、Marvisクライアントアプリを介してWi-Fiクライアント証明書のプロビジョニングが可能になります。オンボーディングプロセスでは、デバイスへのEAP-TLSクライアント証明書の発行を可能にするオンボードMist認証機関を使用します。これらの証明書は、EAP-TLS(拡張認証プロトコル - トランスポート層セキュリティ)を使用してジュニパー Mist Access Assuranceネットワークに認証するためにクライアントが使用します。

Marvisクライアントアプリは、デバイスにプリインストールするか、NACオンボーディングポータルから直接ダウンロードできます。エンドユーザーは、SSO認証情報(Azure AD、Okta)を使用してNACオンボーディングポータルに認証する必要があります。

認証に成功すると、NACポータル(エンタープライズIdPと統合)からデバイスバインドされたX.509クライアント証明書がプロビジョニングされ、事前設定済みのWi-Fiネットワークプロファイルが配信されます。プロファイルはMarvis Clientアプリ内にインストールする必要があります。プロファイルをインストールすると、アプリにより、デバイスはEAP-TLSを使用して指定された安全なSSIDにシームレスに接続できるようになります。

このオンボーディングプロセスにより、手動によるPKI配布やSSID設定をなくし、BYOD環境の管理対象外デバイスに対してエンタープライズネットワークアクセスポリシーを適用できます。

NACポータルを介したクライアントオンボーディングのメリット

Marvisクライアントアプリを使用してNACポータルからクライアントをオンボーディングすることで、組織のWi-Fiネットワークへのセキュアでシームレスなパスワードなしアクセスが確保されます。ユーザー名とパスワードを使用した従来のWi-Fi接続は、誤用、漏洩、手動エラーに対して脆弱です。NACオンボーディングポータルは、組織のシングルサインオン(SSO)システムを通じてIDを検証した後にのみ発行される証明書ベースの認証を使用することで、これらのリスクを排除します。

オンボーディングでは、使いやすさに加えて、BYOD(個人所有デバイスの持ち込み)、ゲスト、請負業者にエンタープライズグレードのセキュリティが提供されるため、接続のたびにIT部門が介入する必要がなくなります。

Marvisクライアントアプリを使用してデバイスをNACポータルにオンボーディングすると、次のようなメリットがあります。

  • IDとデバイスに関連付けられた一意のデジタル証明書。

  • セキュアなWi-Fiプロファイルの自動インストール(手動設定不要)。

  • アクセスは、ジュニパー Mist クラウドで定義されたゼロトラストネットワークポリシーによって管理されます。

Android、Windows、macOS、iOSのデバイスをオンボーディングできます。オンボーディングは、以下を実行しているデバイスでサポートされています。

  • Windows—リリース10または11

  • macOS—Sonoma(バージョン14)およびそれ以降のリリース

  • Android—Android 12+

  • iOS—16以降のリリース

始める前に

デバイスのオンボーディングに進む前に、必ず以下を確認してください

  • ジュニパー Mist™ Access アシュアランスサブスクリプションを取得して有効化します。サブスクリプション管理については、 ジュニパー Mist 管理ガイドをご覧ください。

  • オンボーディングを有効にする:

    1. ジュニパー Mistポータルの左側のメニューから、組織>アクセス>証明書を選択します。

      認証局ページが表示されます。

    2. ページの右上隅にある設定アイコンをクリックし、オン ボードCA設定を選択します。

      Juniper Mist dashboard showing the Certificate Authorities section with no certificates listed, action buttons for adding or importing certificates, and highlighted Onboard CA Configuration and Certificates menu options.

    3. [オンボード CA 設定] ダイアログ ボックスで [アクティブ ] を選択し、[ OK ] をクリックして、組み込み CA がクライアント証明書を発行できるようにします。

      Onboard CA Configuration pop-up in Juniper Mist platform set to Active, showing no certificates listed in the Certificate Authorities section with navigation menu on the left.

      オンボードCA設定がアクティブになると、次のタブが表示されます。

      • 外部—外部CAの詳細を表示します。

      • 内部—NACポータルまたはMDMを介して組み込みのCAによって発行されたクライアント証明書の詳細を表示します。

        Certificate Authorities section of Juniper Mist dashboard showing management options with tabs for External and Internal authorities, empty table stating there are no Certificates, and buttons for adding or importing certificates. Navigation menu on the left includes Monitor, Clients, Access Points, Switches, WAN Edges, Mist Edges, Location, Analytics, Site, A/B Testing, and Organization.

  • アプリ統合機能を備えたIdPアカウントがあることを確認します。IdPは、SAML 2.0統合をサポートする任意のプロバイダーにすることができます。例としては、Azure、Google、Oktaなどがあります。

このトピックでは、NACポータルを作成し、Microsoft AzureおよびOktaと統合する方法について説明します。

NACポータルを設定し、Microsoft Azureと統合する方法

NAC オンボーディング ポータルを設定し、それを Azure と統合するには、次の手順に従います。

NACポータルを作成し、Azureと統合する

証明書ページでオンボードCA設定が有効になっていることを確認します。 始める前にを参照してください。

  1. NACポータルを作成します。ポータルを作成すると、ユーザーがSSOを使用してアクセスできるNACポータルURLが生成されます。

    1. ジュニパー Mistポータルの左側のメニューから、[ 組織>クライアントのオンボーディング]を選択し、[ NAC] タブを選択します。

    2. クライアントオンボーディングページの右上隅にある NACオンボーディングポータルの追加 をクリックします。

    3. NACオンボーディングポータルの追加ページで、名前を入力し、 作成をクリックします。

      Add NAC Onboarding Portal pop-up in Juniper Mist platform with fields for Name set to Onboard-Portal and Portal Type set to Marvis Client. Create and Cancel buttons visible.

      NACオンボーディングポータルの編集ページが表示されます。

    4. ポータル認証タブを選択します。

      1. 発行者、証明書、SSO URLのプレースホルダー値を入力します。これらの値は、後でIdPの実際の値に置き換えられます。

      2. 後で使用するために、 SSOポータルのURL をコピーします。

        Configuration interface for editing NAC Onboarding Portal with Portal Authorization tab selected. Key fields include Issuer set to TEST, Name ID Format set to Email, Signing Algorithm set to SHA256, Certificate containing TEST, SSO URL set to https://test.com, and Portal SSO URL starting with https://api.ac5.mist.com/api/v1/nacportal/. Buttons at the bottom are Delete in red, Save, and Cancel.

    5. オンボーディングパラメータータブを選択し、以下を設定します。

      1. プロビジョニングするSSID名を入力します。

      2. セキュリティタイプをWPA2またはWPA3エンタープライズとして選択します。

      3. クライアント証明書が期限切れになるまでの日数を設定します。値の範囲は1〜1825日(最大5年)です。

        Configuration interface for editing NAC Onboarding Portal on Onboarding Parameters tab. Wireless Connection SSID set to SCEP-DEMO and Security Type set to WPA2. Client Certificate expires in 365 days. Buttons: Delete red, Save blue, Cancel gray.

  2. SSOを設定し、NACポータルをMicrosoft Azureと統合します。

    1. Azure portal にログインします。 エンタープライズアプリケーションに移動し 、 新しいアプリケーションをクリックします。

    2. [Microsoft Entraギャラリーを参照]セクションの検索ボックスに「 Mist Cloud Admin SSO 」と入力します。

    3. 結果パネルから [Mist Cloud Admin SSO ] を選択します。アプリケーションの名前を入力し、 作成をクリックします。

      Microsoft Entra Gallery search for Mist Cloud Admin SSO results in two applications; detailed view of Mist Cloud Admin SSO by Juniper Networks showing key details.

    4. アプリケーションを開き、[ シングルサインオンの設定]をクリックします。

      Enterprise application overview page in Microsoft Entra admin center for SCEP-DEMO, showing application details, navigation menu, and highlighted single sign-on setup step in Getting Started section.

    5. SSO方法として SAML を選択します。

    6. 基本SAML構成の編集をクリックします。

      Configuration page for SAML-based single sign-on setup in Microsoft Entra for the application SCEP-DEMO. Sections include Basic SAML Configuration, Attributes and Claims, SAML Certificates, and a navigation panel.

    7. SAML設定ページで、識別子と応答URLをNACオンボーディングポータルからコピーしたポータルSSO URLに設定します。 「保存」をクリックします。

      Configuration screen for setting up SAML-based Single Sign-On in Microsoft Entra for the SCEP-DEMO app, showing fields for Identifier, Reply URL, user attributes, token signing certificate, and Save button.

    8. 証明書(Base64)をダウンロードし、ログインURLとMicrosoft Entra識別子をコピーします。

      Configuration page for SAML-based single sign-on in Microsoft Entra for the SCEP-DEMO application. Includes certificate details, setup URLs, verification certificates, and test single sign-on options. Highlighted elements emphasize download links and login identifiers.

    9. ジュニパー Mistポータルで、NACオンボーディングポータルのポータル認証タブに移動します。

      • 発行者をMicrosoft Entra識別子に置き換えます。

      • 証明書をダウンロードしたBase64証明書のペイロードに置き換えます。

      • SSO URLをログインURLに置き換えます。

        NAC Onboarding Portal configuration interface on Portal Authorization tab showing identity provider setup. Issuer URL, Name ID Format set to Email, SHA256 Signing Algorithm, Base64 certificate payload, Microsoft Online SSO URL, and NAC portal API endpoint are displayed. Save, Delete, and Cancel options are at the bottom.

  3. ユーザーとグループをAzureアプリケーションに割り当てて、ポータルにアクセスできるようにします。

Marvis ClientアプリとWi-Fiプロファイルをダウンロードする

NACポータルを設定し、Azureと統合したら、ユーザーはAzure SSOを使用してNACポータルにログインし、Marvisクライアントアプリを介してWi-Fiプロファイルをインストールできます。ここでは、例としてmacOSデバイスを使用しました。

  1. macOSデバイスでは、NACオンボーディングポータルの ポータル設定 タブに表示されているURLを使用してNACポータルにアクセスし、Azure SSO資格情報を使用してサインインします。

    認証に成功すると、次のページが表示されます。

    Juniper Mist webpage showing macOS download prompt with buttons for app installation and links to terms, alongside a group discussion on a wooden deck with greenery.

  2. アプリの ダウンロードとインストール をクリックして、Marvisクライアントアプリをインストールします。

    デバイスが Windows または macOS を実行している場合、アプリは自動的にダウンロードされ、ダウンロード プロセスが完了したらアプリをインストールできます。

    Android および iOS の場合は、アプリをダウンロードするために Google または Apple Play ストアにリダイレクトされます。

  3. Marvisクライアントアプリをインストールした後(またはアプリをすでにインストールしている場合)、NACポータルページに切り替えて、[ アプリはすでにありますか? ]をクリックしてプロファイルをインストールします。

    Marvisクライアントアプリにリダイレクトされ、Wi-Fiプロファイルがインストールされます。

  4. インストールをクリックし、デバイスで設定>一般>デバイス管理に移動し、プロファイルのインストールを完了します。

    Device Management window shows macOS system preferences with General selected and managed profiles listed including IDP-TEST, Onboard-Portal highlighted, macOS-TTLS-Profile, MobiControl Trust Profile, and MobiControl Management with unenroll option. MarvisClient window displays Juniper Networks message confirming profile installation completion with Finish button.

  5. ジュニパー Mistポータルで、[証明書]ページを開き、[内部]セクションでクライアント発行証明書の詳細を確認します。

    Screenshot of Juniper Mist interface showing internal certificate details including client name, serial number, device ID, validity dates, and certificate provider NAC Portal, with navigation menu on the left.

ネットワークへのクライアント接続の確認

デバイスがMarvisクライアントアプリを通じてプロビジョニングされたクライアント証明書を介してAccess アシュアランスネットワークに接続していることを確認します。

  1. ジュニパー Mistポータルの左側のメニューから、 組織> アクセス>認証ポリシー を選択し、デバイスに必要な認証ポリシールールを設定します。

    Auth Policies page in Juniper Mist dashboard for managing user authentication policies with options to add rules, create labels, and view policy details in a table format including rule number, name, match criteria, access policy, assigned policies, and hit count. Includes navigation sidebar and save or cancel buttons.

  2. デバイスをネットワークに接続し、認証が成功したことを確認します。

  3. 監視>サービスレベル>インサイトページに移動し、クライアントイベントセクションに移動します。NACクライアント認証イベントを確認します。

    Network monitoring dashboard displaying client events and activity. Includes a graph of network activity over time, 197 client events categorized as good, neutral, and bad, timestamps, and detailed client information such as username, access point, MAC address, SSID, VLAN, certificate details, and authentication rules.

NACポータルを設定し、Oktaと統合する方法

NACオンボーディングポータルの設定とOktaとの統合には、以下の手順が含まれます。

NACポータルを作成し、Oktaと統合する

証明書ページでオンボードCA設定が有効になっていることを確認します。 始める前にを参照してください。

  1. NACポータルを作成します。ポータルを作成すると、ユーザーがSSOを使用してアクセスできるNACポータルURLが生成されます。

    1. ジュニパー Mistポータルの左側のメニューから、[ 組織>クライアントのオンボーディング]を選択し、[ NAC] タブを選択します。

    2. クライアントオンボーディングページの右上隅にある NACオンボーディングポータルの追加 をクリックします。

    3. NACオンボーディングポータルの追加ページで、名前を入力し、 作成をクリックします。

    4. ポータル認証タブを選択します。

      1. 発行者、証明書、SSO URLのプレースホルダー値を入力します。これらの値は、後でIdPの実際の値に置き換えられます。

      2. 後で使用するために、 SSOポータルのURL をコピーします。

        Configuration interface for editing NAC Onboarding Portal with Portal Authorization tab selected. Key fields include Issuer set to TEST, Name ID Format set to Email, Signing Algorithm set to SHA256, Certificate containing TEST, SSO URL set to https://test.com, and Portal SSO URL starting with https://api.ac5.mist.com/api/v1/nacportal/. Buttons at the bottom are Delete in red, Save, and Cancel.

    5. オンボーディングパラメータータブを選択し、以下を設定します。

      1. プロビジョニングするSSID名を入力します。

      2. セキュリティタイプをWPA2またはWPA3エンタープライズとして選択します。

      3. クライアント証明書が期限切れになるまでの日数を設定します。値の範囲は1〜1825日(最大5年)です。

        Configuration interface for editing NAC Onboarding Portal on Onboarding Parameters tab. Wireless Connection SSID set to SCEP-DEMO and Security Type set to WPA2. Client Certificate expires in 365 days. Buttons: Delete red, Save blue, Cancel gray.

  2. SSOを設定し、NACポータルをOktaと統合します。

    1. Okta管理コンソールにログインし、[アプリケーション]ページに移動します。

    2. アプリ 統合の作成をクリックします。

      Okta Admin Console Applications section showing navigation menu, highlighted Applications tab, action buttons, search bar, app list with statuses, and account info.

    3. サインイン方法として SAML 2.0 を選択し、 次へをクリックします。

      User interface for app integration creation with sign-in options: OIDC, SAML 2.0 (selected), SWA, and API Services. Cancel and Next buttons, Learn More link.

    4. アプリ名を入力し、 次へをクリックします。

      Okta Admin Console Create SAML Integration page in General Settings step with fields like App Name set to SCEP-DEMO and App Logo.

    5. 先ほどコピーしたポータルSSO URLを、SAML設定の下の シングルサインオンURL フィールドと オーディエンスURL フィールドに貼り付けます。名前IDの形式をEmailAddressに設定し、[ 次へ]、[ 完了]の順にクリックします。

      SAML Settings configuration page in Okta Admin Console showing fields for Single sign-on URL, Audience URI, Default RelayState, Name ID format set to EmailAddress, Application username set to Okta username, and update application username on Create and update. Left-hand menu includes navigation options like Dashboard, Directory, Applications, and Security.

      編集モードでアプリにリダイレクトされます。

    6. 下にスクロールして、 SAMLセットアップ手順を表示をクリックします。

      Admin Console interface showing Applications section highlighted in the sidebar, SAML setup details, certificate management options, and plan type with user and update info.

    7. IDプロバイダーのシングルサインオンURL、IDプロバイダー発行者、X.509証明書をコピーします。

      Configuration page for SCEP-DEMO with fields for Single Sign-On URL, Identity Provider Issuer URL, and X.509 Certificate in PEM format.

    8. ジュニパー Mistポータルに切り替えて、NACオンボーディングポータルの編集ページの ポータル認証設定 タブに移動します。前のステップでコピーした情報を以下のフィールドに貼り付けます。

      発行者—IDプロバイダー発行者

      SSO URL—IDプロバイダーのシングルサインオンURL

      証明書—X.509証明書

      Editing screen for configuring NAC Onboarding Portal under Portal Authorization tab, with fields for IdP issuer, Name ID format, signing algorithm, X.509 certificate, SSO URL, portal SSO URL, and buttons to delete, save, or cancel.

      「保存」をクリックします。

    9. アプリケーション>ユーザーをアプリに割り当て、ユーザーを割り当てるに移動します。

      Okta Admin Console interface showing Assign Applications screen with navigation sidebar and main section displaying apps and users for assignment.

    10. ユーザーとアプリケーションを選択し、[ 次へ]をクリックします。

    11. 割り当ての確認をクリックします。

Marvis ClientアプリとWi-Fiプロファイルをダウンロードする

NACポータルを設定し、Oktaと統合したら、ユーザーはOkta SSOを使用してNACポータルにログインし、Marvisクライアントアプリを介してWi-Fiプロファイルをインストールできます。ここでは、例としてiOSデバイスを使用しました。

  1. iOSデバイスで、NACオンボーディングポータルの編集ページのポータル 設定 タブにあるNACポータルURLにアクセスし、Okta SSO認証情報を使用してサインインします。

  2. アプリの ダウンロードとインストール をクリックして、Marvisクライアントアプリをインストールします。

    デバイスが Windows または macOS を実行している場合、アプリは自動的にダウンロードされ、ダウンロード プロセスが完了したらアプリをインストールできます。

    Android および iOS の場合は、アプリをダウンロードするために Google または Apple Play ストアにリダイレクトされます。

  3. Marvisクライアントアプリをインストールした後(またはアプリをすでにインストールしている場合)、NACポータルページに切り替えて、[ アプリはすでにありますか? ]をクリックしてプロファイルをインストールします。

    Marvisクライアントアプリにリダイレクトされ、Wi-Fiプロファイルがインストールされます。

  4. インストールをクリックします。

  5. ジュニパー Mistポータルで、[証明書]ページを開き、[内部]セクションでクライアント発行証明書の詳細を確認します。

ネットワークへのクライアント接続の確認

デバイスがMarvisクライアントアプリを通じてプロビジョニングされたクライアント証明書を介してAccess アシュアランスネットワークに接続していることを確認します。

  1. ジュニパー Mistポータルの左側のメニューから、 組織> アクセス>認証ポリシー を選択し、デバイスに必要な認証ポリシールールを設定します。

    Auth Policies page in Juniper Mist dashboard for managing user authentication policies with options to add rules, create labels, and view policy details in a table format including rule number, name, match criteria, access policy, assigned policies, and hit count. Includes navigation sidebar and save or cancel buttons.

  2. デバイスをネットワークに接続し、認証が成功したことを確認します。

  3. 監視>サービスレベル>インサイトページに移動し、クライアントイベントセクションに移動します。NACクライアント認証イベントを確認します。