認証プロファイルとは何ですか？

認証プロファイルとは、 Versa の設定オブジェクトの一種であり、ユーザーやデバイスの認証方法（LDAP、RADIUS、SAML、Versa ディレクトリ、または証明書ベース）、キャッシュの動作、およびセッションやクッキーの有効期限を定義するものです。認証ルールはこのプロファイルを参照し、Secure Access ポータルおよびゲートウェイは、ネットワークへのアクセス権を誰に付与するかを決定するために、このプロファイルを直接適用します。

主なポイント

• 認証方法、キャッシュモード、およびセッションの有効期限を定義します。
• LDAP、RADIUS、SAML、Versa ディレクトリ、および証明書ベースの認証に対応しています。
• 認証ルールおよびNGFWポリシーは、設定済みのプロファイルを参照します。
• SASE セキュアアクセスポータルおよびゲートウェイは、プロファイルを直接紐付けます。
• テナントはデフォルトのプロファイルを設定し、メールドメインごとに上書き設定を行います。

このページの内容： その重要性 ・ 仕組み ・ 種類 · 認証プロファイルとVersa · よくある質問

認証プロファイルはなぜ重要なのでしょうか？

Versa の導入環境におけるすべてのアクセス決定は、誰がリクエストを行っているかを把握することから始まります。認証プロファイルは、「このユーザーを検証する」という処理を、具体的かつ再現可能な手順に変換します。具体的には、どのディレクトリやIDプロバイダーを確認するか、再確認を行うまでの回答の有効期間、および検証に失敗した際の処理などが定義されます。これがなければ、認証はルールごとやデバイスごとにハードコーディングされることになり、組織全体で一貫したセッション、キャッシュ、またはCookieの挙動が確保できなくなります。

その重要性は、1つのモデルですべてのアクセス対象を網羅している点にもあります。NGFWのユーザー識別ポリシー、SSEのユーザーおよびデバイス認証ルール、SASE のセキュアアクセスポータルおよびゲートウェイの基盤となるのは、すべて同じプロファイルオブジェクトです。そのため、セキュリティチームはIDソース（LDAP、SAML、RADIUS、Versa ディレクトリ、または証明書）を一度定義するだけで、機能ごとにディレクトリ統合を再実装することなく、アクセス判断が行われるあらゆる場面でそれらを再利用できます。

認証プロファイルとは何ですか？

認証プロファイルとは、認証メソッドが参照し、さらに認証ルールやポリシーが参照する、名前付きのオブジェクトのことです。その設定は一連のプロセスとなります。まず、ID ソース（LDAP サーバー、SAML ID プロバイダー、RADIUS サーバー、または証明書認証プロファイル）を定義し、それを認証メソッドでラップします。次に、そのメソッドを基に認証プロファイルを構築し、キャッシュの有効期限、および SSE の場合はクッキーの有効期限とキャッシュモードを追加します。

キャッシュとクッキーの設定により、認証が成功してからユーザーが再認証を求められるまでの有効期間が制御されます。キャッシュの有効期限はデフォルトで10分、SSEクッキーの有効期限はデフォルトで720分となっており、設定されるとクッキーの有効期限がキャッシュの有効期限よりも優先されます。テナントは、ユーザー向けのデフォルトの認証プロファイルを指定できます。また、ドメインごとに異なる方法でIDフェデレーションを行う組織の場合、メールドメインごとに追加のプロファイルを割り当てることも可能です。

認証プロファイルの種類

1つの認証プロファイルには、5つのID情報源が紐付けられています。LDAPは、バインド認証情報とベースDNを使用して検索範囲を指定し、Active DirectoryまたはOpenLDAPサーバーに対して検証を行います。RADIUSは、外部のRADIUSサーバーに対して認証情報を照合します。Versa では、エンタープライズごとに1つのRADIUSプロファイルがサポートされています。SAMLは、外部のIDプロバイダー（Okta、Microsoft Entra ID、Google IAM、PingIdentity、またはOffice 365）と連携し、ブラウザベースのシングルサインオンを実現します。Versa ディレクトリは、ローカルにアップロードされたユーザーおよびグループのリストに対して認証を行い、エンタープライズごとに1つのプロファイルのみが許可されます。証明書ベースのプロファイル（デバイスおよびユーザー）は、パスワードの代わりに、SASE クライアントの登録時またはゲートウェイ接続時に提示された証明書を検証します。

多くの企業では、複数の認証方式を組み合わせています。Versa では、証明書認証がディレクトリ認証やフェデレーション認証に取って代わるものではなく、それらと併用して実行できるため、LDAPやSAMLプロファイルと証明書ベースのプロファイルを組み合わせるケースがよく見られます。

認証プロファイルとVersa

認証プロファイルは、プラットフォームの 3 つの領域で活用されます。NGFW のユーザーおよびグループポリシーでは、プロファイルによって、認証方法（SAML、Kerberos、LDAP、RADIUS、証明書、またはローカルデータベース）が、ポリシーが適用される前にトラフィックが認証されるかどうかを決定するユーザー識別ルールに関連付けられます。 SSEでは、ユーザーおよびデバイスの認証プロファイルによって、テナントのSSEクライアントのデフォルトの認証プロファイルが設定されます。また、異なるメールドメインを異なるIDプロバイダーにルーティングする組織に対しては、ドメインごとの上書き設定が可能です。

SASE のリモートアクセスにおいて、 SASE クライアント向けの証明書ベースの認証では、エンドツーエンドの完全なチェーンが表示されます。つまり、証明書認証プロファイルが認証メソッドに情報を提供し、そのメソッドが認証プロファイルに紐付けられ、そのプロファイルがSecure AccessポータルとSecure Accessゲートウェイの両方に関連付けられます。これにより、クライアントの登録およびその後のすべてのゲートウェイ接続において、同一の身元確認が適用されます。

よくある質問

認証プロファイルでは、どのような認証方法を使用できますか？

認証プロファイルは、LDAP、RADIUS、SAML、Versa ディレクトリ、またはデバイス証明書やユーザー証明書を用いた証明書ベースの認証に基づいて構築できます。今後のリリースでは、同一のエンタープライズ内で証明書ベースの認証とLDAPまたはSAMLプロファイルを組み合わせることが可能になり、両方の認証チェックが適用されるようになります。

認証プロファイルと認証方式の違いは何ですか？

認証メソッドは、単一の識別情報ソース（LDAPサーバープロファイル、SAMLプロファイル、証明書認証プロファイルなど）をラップします。認証プロファイルは、認証ルールやポリシーが実際に参照する上位レベルのオブジェクトであり、1つ以上のメソッドを指し示します。

Versa の認証セッションは、再確認が行われるまでどのくらいの間有効ですか？

これは、プロファイルのキャッシュおよびCookieの有効期限設定によって異なります。キャッシュの有効期限はデフォルトで10分です。SSE Cookieの有効期限はデフォルトで720分であり、一度設定されると、再認証が行われるまでのセッションの有効期間については、キャッシュの有効期限よりも優先されます。

1人のテナントが、ユーザーごとに異なる認証プロファイルを使用することは可能ですか？

はい。テナントは、SSEクライアントのデフォルトのユーザーおよびデバイス認証プロファイルを設定し、メールドメインごとに追加のプロファイルを定義することができます。これにより、異なるドメインのユーザーは、同じテナント内で異なるLDAP、SAML、またはその他のIDソースに対して認証を行うことができます。

認証プロファイルは、証明書ベースの認証でも機能しますか？

はい。証明書ベースの認証プロファイルは、SASE のクライアント登録時またはゲートウェイ接続時に提示されるデバイス証明書またはユーザー証明書を検証します。また、Versa では、証明書ベースのプロファイルを、互いに排他的な認証オプションとして扱うのではなく、同じエンタープライズ内のLDAPプロファイルやSAMLプロファイルと組み合わせて使用することができます。

認証プロファイルの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

認証プロファイルについてお読みになっているなら、次はこれらもぜひチェックしてみてください。