6.6 Webクライアントを設定する

Webコンソールをスマートカードまたは多要素認証を使用して認証するように設定したり、独自のロゴやアプリケーションタイトルを使ったブランディングでカスタマイズしたりすることもできます。

6.6.1 Webコンソールの起動

Webコンソールは、Webブラウザを実行していれば、どのコンピュータからでも、iOSやAndroidのデバイスからでも起動できます。コンソールを起動するには、適切なURLをWebブラウザのアドレスフィールドに指定してください。たとえば、WebコンポーネントをHOUserverというコンピュータにインストールした場合は、Webブラウザのアドレスフィールドにhttps://HOUserver/draclientとタイプ入力します。

メモ:アカウントとMicrosoft Exchangeに関する最新の情報をWebコンソールに表示するには、キャッシュされているページにそれより新しいバージョンがあるかどうかをアクセスのたびにチェックするようにWebブラウザを設定してください。

6.6.2 自動ログアウト

何もせずに時間が経過したらWebコンソールを自動的にログアウトするように時間を設定することができます。 また、自動ログアウトしないように設定することもできます。

Webコンソールで自動ログアウトを設定するには、［管理］>［構成］>［自動ログアウト］の順に選択します。

6.6.3 DRAサーバへの接続

Webコンソールで3つのオプションのうち1つを設定してログイン時のDRAサーバへの接続オプションを定義することができます。設定されれば、Webコンソールにログインしたときの［オプション］ドロップダウンパネルでの接続設定は、管理者とアシスタント管理者の両方で同じになります。

  • DRAサーバのデフォルトの場所を常に使用する(［常に］)

  • DRAサーバのデフォルトの場所を常に使用しない(［なし］)

  • 選択されている場合のみ、DRAサーバのデフォルトの場所を使用する(［選択した場合のみ］)

各オプションでのログイン時の振る舞いを以下に示します。

接続の設定

ログイン画面 - オプション

接続オプションの説明

常に

なし

オプションの設定が無効になります。

なし

自動ディスカバリの使用

DRAサーバを自動的に検出します。設定オプションはありません。

 

特定のDRAサーバに接続する

ユーザがサーバとポートを設定します。

 

特定のドメインを管理するDRAサーバに接続する

ユーザが管理対象ドメインを指定し、次の接続オプションから選択します。

  • 自動ディスカバリの使用(指定のドメイン内)

  • このドメインのプライマリサーバ

  • DRAサーバの検索(指定のドメイン内)

選択した場合のみ

自動ディスカバリの使用

DRAサーバを自動的に検出します。設定オプションはありません。

 

デフォルトのDRAサーバに接続する

デフォルトサーバが選択され、DRAサーバの設定は無効になっています。

 

特定のDRAサーバに接続する

ユーザがサーバとポートを設定します。

 

特定のドメインを管理するDRAサーバに接続する

ユーザが管理対象ドメインを指定し、次の接続オプションから選択します。

  • 自動ディスカバリの使用(指定のドメイン内)

  • このドメインのプライマリサーバ

  • DRAサーバの検索(指定のドメイン内)

WebコンソールでDRAサーバの接続を設定するには、［管理］>［構成］>［DRAサーバ接続］の順に選択します。

6.6.4 RESTサーバの接続

RESTサービスの接続設定には、デフォルトのサーバの場所および接続タイムアウト時間(単位は秒)の設定が含まれています。Webコンソールで3つのオプションのうち1つを設定してログイン時のRESTサービスへの接続オプションを定義することができます。設定されれば、Webコンソールにログインしたときの［オプション］ドロップダウンパネルでの接続設定は、管理者とアシスタント管理者の両方で同じになります。

  • RESTサービスのデフォルトの場所を常に使用する(［常に］)

  • RESTサービスのデフォルトの場所を常に使用しない(［なし］)

  • 選択されている場合のみ、RESTサービスのデフォルトの場所を使用する(［選択した場合のみ］)

各オプションでのログイン時の振る舞いを以下に示します。

接続の設定

ログイン画面 - オプション

接続オプションの説明

常に

なし

オプションの設定が無効になります。

なし

自動ディスカバリの使用

RESTサーバを自動で検出します。使用できる設定オプションはありません。

 

特定のRESTサーバに接続する

ユーザがサーバとポートを設定します。

 

特定のドメイン内のRESTサーバに接続する

ユーザが管理対象ドメインを指定し、次の接続オプションから選択します。

  • 自動ディスカバリの使用(指定のドメイン内)

  • RESTサーバの検索(指定のドメイン内)

選択した場合のみ

自動ディスカバリの使用

RESTサーバを自動で検出します。使用できる設定オプションはありません。

 

デフォルトのRESTサーバに接続する

デフォルトのRESTサーバが選択され、RESTサーバの設定は無効になっています。

 

特定のRESTサーバに接続する

ユーザがサーバとポートを設定します。

 

特定のドメイン内のRESTサーバに接続する

ユーザが管理対象ドメインを指定し、次の接続オプションから選択します。

  • 自動ディスカバリの使用(指定のドメイン内)

  • RESTサーバの検索(指定のドメイン内)

WebコンソールでRESTサービスの接続を設定するには、［管理］>［構成］>［RESTサービス接続］の順に選択します。

6.6.5 認証

このセクションには、Advanced Authenticationの統合を使用してスマートカード認証、Windows認証、および多要素認証を設定するための情報が記載されています。

スマートカード認証

スマートカードからのクライアント資格情報に基づいてユーザを受け入れるようにWebコンソールを設定するには、IIS (Internet Information Services)およびRESTサービスの設定ファイルを設定する必要があります。

重要:スマートカード上の証明書がWebサーバ上のルートの証明書ストアにもインストールされているか確認してください。IISがカードの証明書と一致する証明書を参照する必要があるためです。

  1. Webサーバで認証コンポーネントをインストールします。

    1. サーバマネージャを起動します。

    2. ［Web サーバ(IIS)］をクリックします。

    3. ［Role Services (役割サービス)］セクションに移動し、［Add Role Services (役割サービスを追加)］をクリックします。

    4. Securityという役割サービスのノードに移動し、［Windows Authentication (Windows認証)］>［Client Certificate Mapping Authentication (クライアント証明書割り付け認証)］の順に選択します。

  2. Webサーバで認証を有効にします。

    1. IIS Managerを起動します。

    2. ご使用のWebサーバを選択します。

    3. IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。

    4. 「Active Directoryクライアント証明書認証」と「Windows認証」を有効にします。

  3. DRAクライアントを設定します。

    1. ご使用のDRAクライアントを選択します。

    2. IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。

    3. 「Windows認証」を有効にし、「匿名認証」を無効にします。

  4. DRAクライアントに対しSSL証明書およびクライアント証明書を有効にします。

    1. IISセクションの下のSSLサービスのアイコンを見つけて、それをダブルクリックします。

    2. ［Require SSL (SSLを要求)］を選択し、クライアント証明書の下の［Require (要求する)］を選択します。

      ヒント:このオプションが使用可能な場合、［Require 128-bit SSL (128ビットSSLを要求)］を選択します。

  5. RESTサービスのWebアプリケーションを設定します。

    1. RESTサービスのWebアプリケーションを選択します。

    2. IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。

    3. 「Windows認証」を有効にし、「匿名認証」を無効にします。

  6. RESTサービスのWebアプリケーション上でSSL証明書およびクライアント証明書を有効にします。

    1. IISセクションの下のSSLサービスのアイコンを見つけて、それをダブルクリックします。

    2. ［Require SSL (SSLを要求)］を選択し、クライアント証明書の下の［Require (要求する)］を選択します。

      ヒント:このオプションが使用可能な場合、［Require 128-bit SSL (128ビットSSLを要求)］を選択します。

  7. WCFのWebサービスのファイルを設定します。

    1. RESTサービスのWebアプリケーションを選択し、Content Viewに切り替えます。

    2. .svcファイルを見つけて、それを右クリックします。

    3. ［Switch to Features View (フィーチャービューに切り替える)］を選択します。

    4. IISセクションの下にある認証アイコンを見つけて、それをダブルクリックします。

    5. 「匿名認証」を有効にし、その他の認証メソッドをすべて無効にします。

  8. RESTサービスの設定ファイルを編集します。

    1. C:\inetpub\wwwroot\DRAClient\rest\web.configというファイルをテキストエディタで開きます。

    2. その中の<authentication mode="None" />という行を見つけて、その行を削除します。

    3. 以下に指定されている行のコメントを外します。

      • <system.serviceModel>行の下:

        <services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>

      • <serviceDebug includeExceptionDetailInFaults="false"/>行の下:

        <serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>

      • <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />行の上:

        <bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>

  9. ファイルを保存して、IISサーバを再起動します。

Windows認証

WebコンソールでWindows認証を有効にするには、IIS (Internet Information Services)とRESTサービスの設定ファイルを設定する必要があります。

  1. IIS Managerを開きます。

  2. ［接続］ペインで、RESTサービスのWebアプリケーションを見つけて、それを選択します。

  3. 右側のペインで、IISセクションに移動し、［認証］をダブルクリックします。

  4. Windows認証を有効にし、その他の認証メソッドをすべて無効にします。

  5. C:\inetpub\wwwroot\DRAClient\rest\web.configというファイルをテキストエディタで開き、<authentication mode="None" />という行を探します。

  6. 値の"None"を"Windows"に変更し、ファイルを保存します。

  7. IISサーバを再起動します。

Advanced Authentication による多要素認証

AAF (Advanced Authentication Framework)は、単純なユーザ名とパスワードから、より安全に機密情報を保護できる多要素認証方式へと移行できるようにする、弊社のプレミアソフトウェアパッケージです。

Advanced Authenticationでは、セキュリティ向上のために次に示す通信プロトコルをサポートしています。

  • TLS 1.2 (デフォルト設定)、TLS 1.1、TLS 1.0

  • SSL 3.0

多要素認証とは、ユーザ本人であることを検証するために、カテゴリの異なる資格情報による2種類以上の認証メソッドを必要とするコンピュータアクセス制御手法です。

次に示すように、認証には3種類のカテゴリ(要素)があります。

  • 知識: このカテゴリでは、パスワードまたはアクティベーションコードなど、特定の情報を知っている必要があります。

  • 所有物: このカテゴリでは、スマートカードまたはスマートフォンなど、認証デバイスを用意する必要があります。

  • 身体: このカテゴリでは、指紋など、体の一部を検証手段として使用することが必要です。

各認証要素には、少なくとも1つの認証メソッドが含まれています。認証メソッドとはユーザの識別に使用できる特定の技法であり、指紋を使用したりパスワードを要求するといった手法があります。

たとえば、パスワードとともに指紋を要求する場合のように、2つ以上の認証メソッドを使用すると、認証プロセスが強いとみなすことができます。

Advanced Authenticationでサポートされるのは、次に示す認証メソッドです。

  • LDAPパスワード

  • RADIUS (Remote Authentication Dial-In User Service)

  • スマートフォン

    ヒント:スマートフォンメソッドでは、ユーザがiOSまたはAndroidのアプリをダウンロードする必要があります。詳細については、『Advanced Authentication - Smartphone Applications User Guide』を参照してください。このガイドは、NetIQのマニュアルWebサイトから入手できます。

以降のセクションの情報を使用して、多要素認証が使用できるようにWebコンソールを設定してください。

重要:次のセクションの手順には、Webコンソール内部で行われるものもありますが、多要素認証の環境設定プロセスの多くでAAFへのアクセスが必要です。これらの手順では、AAFがすでにインストール済みで、AAFのヘルプマニュアルにアクセスできるユーザを対象にしています。

Advanced Authentication Frameworkへのリポジトリの追加

最初のステップは、DRA管理者およびDRAで管理されるアシスタント管理者を含んでいるActive Directoryドメインのすべてを、多因子認証を使ってAAFに追加できるようにWebコンソールを設定することです。これらのドメインはリポジトリと呼ばれ、認証対象のユーザおよびグループのID属性が含まれています。

  1. 管理者レベルのユーザ名とパスワードを使ってAAFの管理ポータルにログインします。

  2. 左側のパネルに移動し、［リポジトリ］をクリックします。

  3. ［追加］をクリックします。

  4. フォームを記入します。

    ヒント:LDAPタイプはADです。

    ヒント:対応するフィールドに管理者レベルのユーザ名とパスワードを入力します。

  5. ［サーバを追加］をクリックします。

  6. LDAPサーバのIPアドレスを［アドレス］フィールドに入力します。

  7. ［保存］をクリックします。

  8. DRAによって管理される他のすべてのADリポジトリにも、手順3から7を繰り返し実行してください。

  9. ［リポジトリ］ページに表示されている各リポジトリに対し、［Sync now (今すぐ同期化)］をクリックしてAAFサーバと同期化します。

認証チェーンの作成

認証チェーンには、少なくとも1つの認証メソッドが含まれています。チェーンに追加された順序で、チェーン内のメソッドが呼び出されます。ユーザが認証されるためには、ユーザがチェーン内のすべてのメソッドを渡す必要があります。たとえば、LDAPパスワードメソッドとSMSメソッドを含むチェーンが作成されているとしましょう。この場合、ユーザがこのチェーンを使用して認証を試みたときに、このユーザはまず自分のLDAPパスワードを使用して認証する必要があります。そしてパスワード認証に続いて、1回限り使用可能なパスワードが記載されたテキストメッセージがそのユーザの携帯電話に送信されます。このユーザがそのパスワードを入力したら、チェーン内のすべてのメソッドが履行されたことになり、認証が成功します。認証チェーンは、特定のユーザまたはグループに割り当てることができます。

認証チェーンを作成するには:

  1. 管理者レベルのユーザ名とパスワードを使ってAAFの管理ポータルにログインします。

  2. 左側のパネルに移動し、［チェーン］をクリックします。右側のパネルに現在使用可能なチェーンがリスト表示されます。

  3. ［追加］をクリックします。

  4. フォームを記入します。すべてのフィールドが必須です。

    重要:メソッドは、実動作で呼び出されるべき順序で追加してください。つまり、最初にユーザにLDAPパスワードを入力させたい場合は、最初にLDAPパスワードをチェーンに追加します。

    重要:［Apply if used by endpoint owner (エンドポイント所有者が使用する場合に適用)］がオフになっていることを確認します。

  5. ［Is enabled (有効)］をオンにします。

  6. ［Roles & Groups (役割とグループ)］フィールドに、認証リクエストの対象となる役割またはグループの名前を入力します。

    ヒント:チェーンをすべてのユーザに適用させたい場合は、［Roles & Groups (役割とグループ)］フィールドに 「all users」と入力し、ドロップダウンリストから［All Users (すべてのユーザ)］を選択します。

    選択したユーザまたはグループが［Roles & Groups (役割とグループ)］フィールドの下に追加されます。

  7. ［保存］をクリックします。

認証イベントの作成

認証イベントは、ユーザ認証を行うアプリケーション(この場合はWebコンソール)がトリガとなって開始します。そのイベントに少なくとも1つの認証チェーンが割り当てられる必要があります。そうすることで、イベントの発生時にそのイベントに関連付けられたチェーン内のメソッドがユーザ認証するために呼び出されます。

エンドポイントとは、コンピュータやスマートフォンのような、認証イベントのトリガとなるソフトウェアを実行している実際のデバイスです。DRAはイベント作成後にAAFでエンドポイントを登録します。

エンドポイントのホワイトリストボックスを使用すると、イベントへのアクセスを特定のエンドポイントに制限することができます。また、イベントへのアクセスをすべてのエンドポイントに許可することもできます。

認証イベントを作成するには:

  1. 管理者レベルのユーザ名とパスワードを使ってAAFの管理ポータルにログインします。

  2. 左側のパネルに移動し、［イベント］をクリックします。右側のパネルに、現在使用可能なイベントのリストが表示されます。

  3. ［追加］をクリックします。

  4. フォームを記入します。すべてのフィールドが必須です。

    重要:［Is enabled (有効)］というスイッチがONになっていいることを確認します。

  5. 特定のエンドポイントにアクセスを制限する場合は、エンドポイントのホワイトリストセクションに移動し、対象となるエンドポイントを［Available (使用可能)］リストから［Used (使用済み) ］リストに移動させます。

    ヒント:［Used (使用済み)］リストにエンドポイントがない場合、そのイベントはすべてのエンドポイントで使用可能になります。

Webコンソールの有効化

チェーンとイベントの設定後、Webコンソールに管理者でログインし、Advanced Authenticationを有効にできます。

認証が有効になると、すべてのユーザがWebコンソールへのアクセス権を得る前にAAFで認証を行う必要があります。

重要:Webコンソールを有効にする前に、Webコンソールがユーザ認証に使用する認証メソッドに登録済みである必要があります。認証メソッドへの登録方法については、『Advanced Authentication Framework User Guide』を参照してください。

Advanced Authenticationを有効にするには、Webコンソールにログインし［管理］>［設定］>［Advanced Authentication］の順に選択します。［Enabled (有効)］チェックボックスを選択し、各フィールドに用意された説明に従ってフォームを構成します。

ヒント:設定を保存した後に、エンドポイントがAAFに作成されます。表示または編集するには、管理者レベルのユーザ名とパスワードでAAF管理ポータルにログオンし、左側のペインの［エンドポイント］をクリックします。

最後のステップ

  1. 管理者レベルのユーザ名とパスワードでAAF管理ポータルにログオンし、左側のペインの［イベント］をクリックします。

  2. Webコンソールのイベントをそれぞれ編集します。

    1. 編集するイベントを開きます。

    2. ［エンドポイント］ホワイトリストのセクションに移動し、Webコンソールを設定したときに作成したエンドポイントを［Available (使用可能)］リストから［Used (使用済み)］リストに移動します。これにより、Webコンソールのみがこれらのイベントを使用できるようになります。

  3. ［保存］をクリックします。