Versa IdPとは何ですか？

Versa IdPは、Versa Networks に組み込まれたIDプロバイダーであり、Titan PortalおよびSASE ゲートウェイのユーザー認証に使用されます。各デバイスが独自のローカルユーザーデータベースを管理する代わりに、Versa IdPがアカウントを一元管理します。管理者はVersa IdPユーザーを一度作成するだけで、そのIDをファイアウォール、復号化、およびトラフィック誘導ルールで直接参照できるようになります。

主なポイント

• Versa IdPは、Versaに組み込まれている、Titan Portalユーザー向けのIDプロバイダーです。
• デバイスごとのローカル認証を、一元化されたIDストアに置き換えます。
• Versa のIdPを新規に利用開始したユーザーには、ポータルのパスワードを設定するためのメールが届きます。
• Versa IdPプロファイルは、ファイアウォールおよびステアリングのマッチルールに直接適用されます。
• Okta や ADFS といった外部 IdP、あるいは VSPA 認証に代わる選択肢。

このページの内容： その重要性 ・ 仕組み ・ Versa のIdPの仕組み · Versa IdPとVersaONE プラットフォーム · よくある質問

Versa のIdPが重要なのはなぜですか？

SASE 環境には、多数のゲートウェイ、テナント、ポータルが存在します。もし各デバイスが独自のローカルユーザーリストを保持している場合、従業員のアクセス権の付与や解除を行うには、それらを個別に操作する必要があり、退職したユーザーのアクセス権は、取り消されなかった場所ではそのまま残ってしまう可能性があります。Versa IdPは、こうした複雑さを解消するために存在します。Titan ポータルで一度作成された単一のIDは、ユーザーやグループを参照するすべてのポリシーにおいて信頼できるものとなります。

この一元化は、セキュリティポリシーにおいて直接的な効果をもたらします。ファイアウォール、復号化、トラフィック誘導の各ルールは、すべてVersa IdPのユーザーまたはグループのIDに基づいて照合できるため、アクセス許可の決定は、ユーザーがたまたま使用しているデバイスではなく、ユーザー自身に基づいて行われます。特にSASE ゲートウェイおよびリモートアクセス認証においては、Versa IdPが、ゲートウェイがセッションを許可する前に確認を行う認証情報ストアとして機能し、IDがセキュリティポリシーの重要な要素となります。

Versa IdPとは何ですか？

Versa IdPは、Titan Portalがユーザーアカウント作成時に提供する3つのプラットフォームオプションのうちの1つであり、その他には「外部」（Okta、OneLogin、ADFSなどのサードパーティ製IdPへの認証ルーティング）および「VSPA（RAC/RAS）」（SASE ゲートウェイまたはリモートアクセスクライアント自体でのローカル認証）があります。Versa のIdPを選択すると、Versa独自のポータルデータベースにアカウントが作成され、新規ユーザーにはパスワード設定の手順が記載されたメールが送信されます。

ポータルへのログイン以外にも、Versa のIdPプロファイルは、ファイアウォール、復号、およびステアリングルールにおけるユーザーおよびグループの照合条件として選択可能であり、デバイステンプレートにおけるVSA/リモートアクセスVPNの認証には必須となります。新しく作成されたVersa のIdPユーザーは、そのプロファイルに反映されるまでに最大60分かかります。これは、Versa DirectorのLDAPキャッシュスケジューラが、デフォルトでその間隔ごとにVOSからユーザーおよびグループ情報を更新するためです。

Versa のIdPの仕組み

十分な権限を持つ管理者（オペレーター、ストア管理者、MSP、再販業者、またはエンタープライズ管理者）が、「ユーザー」ダッシュボードからユーザーを追加し、プラットフォームとして「Versa IDP」を選択します。Titan ポータルは、独自のデータベースにアカウントを作成し、ユーザーにパスワード設定用のリンクをメールで送信します。外部システムは一切関与しません。 テナントは1つのプラットフォームに限定されません。Versa IDP、外部、およびVSPA（RAC/RAS）をすべて同じ組織で同時に有効化できるため、ユーザーごとに異なる認証方法を選択できます。

Versa のIdP IDが作成されると、Versa Directorがユーザーやグループ情報を解決するあらゆる場所でそのIDが利用可能になります。最も直接的な例としては、ファイアウォール、復号化、およびステアリングルールにおけるVersa のIdPプロファイルが挙げられます。

Versa IdP と「VersaONE 」プラットフォーム

Versa IdPは、Secure SD-WAN のブランチデバイス、組織、およびユーザーの展開、設定、管理に使用されるクラウドダッシュボードである「Titan Portal」内に組み込まれています。IdPが作成するID情報は、下流の「Versa Director」によって利用され、VOSデバイスにプッシュされるファイアウォール、復号化、トラフィックステアリングのルールで利用可能な「ユーザー」および「グループ」の照合条件に変換されます。これには、リモートアクセス認証を適用するSASE ゲートウェイも含まれます。

Versa IdPは、必須の依存関係ではなく、意図的にいくつかの選択肢の一つとして位置づけられています。すでに外部IdPを運用しているテナントは、代わりにそちらへ認証をルーティングすることができ、また「Versa 」の「Secure Private Access」を提供するSASE ゲートウェイは、VSPAを通じてリモートアクセスクライアントをローカルで認証することができます。ユーザーの身元が確認されると、これら3つはすべて、Directorによって管理される同一のポリシー領域に統合されます。

よくある質問

Versa のIdPと外部のIDプロバイダーとの違いは何ですか？

Versa IdPは、Versa独自のポータルデータベースにアカウントを作成・保存し、Titan ポータルからユーザーにパスワード設定の案内メールを送信します。一方、外部IdP（Okta、OneLogin、ADFS、Ping）は、ユーザー認証を自ら行います。Titan ポータルは、ログインリクエストをそのIdPに転送し、返されたアサーションを取り込みます。

Titan ポータルで、Versa のIdPユーザーを作成するにはどうすればよいですか？

「ユーザー」ダッシュボードから「ユーザーの追加」をクリックし、ユーザー名とメールアドレスを入力して、プラットフォームとして「Versa IDP」を選択し、「エンタープライズ管理者」や「エンタープライズユーザー」などの役割を指定します。Titan ポータルがアカウントを作成し、パスワードの設定手順をユーザーにメールで送信します。

テナントは、複数のIDプラットフォームを同時に利用することはできますか？

はい。Versa のIDP、External、およびVSPA（RAC/RAS）は、すべて同じ組織内で同時に有効化できます。管理者は、アカウントの作成または編集時にユーザーごとにプラットフォームを選択するため、1つのテナント内の異なるユーザーが、それぞれ異なる認証方法を並行して利用することができます。

Versa のIdPの新規ユーザーが、一致条件に表示されるまでに時間がかかるのはなぜですか？

Versa Directorは、VOSから取得したユーザーおよびグループ情報をキャッシュし、デフォルトで60分ごとのLDAPキャッシュスケジューラ間隔で更新します。Versa のIdPユーザーの作成や削除、あるいは新しい組織に対するVersa IdPの有効化は、その更新が完了して初めてポリシーに反映されます。

Versa のIdPは、SASE ゲートウェイでも動作しますか、それともTitan ポータルのユーザーのみに対応していますか？

両方です。Versa IdPは、Titan のポータル管理者アカウントおよびユーザーアカウントの認証を行います。また、Versa IdPプロファイルは、デバイステンプレート内のSASE ゲートウェイおよびリモートアクセスVPN認証の照合条件として、同じゲートウェイ向けのVSPAや外部IdPオプションと併せて選択することも可能です。

Versa IdPの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

Versa IdP についてお読みの方は、次に以下の内容もぜひご参照ください。