Citrix ADC

nFactor 認証の要素として事前認証エンドポイント分析スキャンを設定する

October 7, 2021

寄稿者:

Citrix Gateway では、エンドポイント分析（EPA）を設定して、ユーザーデバイスが特定のセキュリティ要件を満たしているかどうかを確認し、それに応じてユーザーに内部リソースへのアクセスを許可することができます。エンドポイント分析プラグインは、ユーザーがCitrix Gateway に初めてログオンするときに、ユーザーデバイスにダウンロードおよびインストールされます。ユーザーがエンドポイント分析プラグインをユーザーデバイスにインストールしない場合、またはスキャンをスキップした場合、ユーザーはCitrix Gateway プラグインを使用してログオンできません。必要に応じて、ユーザは隔離グループに配置され、ユーザは内部ネットワークリソースへのアクセスが制限されます。

nFactor 認証または多要素認証での EPA スキャン

このトピックでは、EPA スキャンは nFactor 認証または多要素認証の初期チェックとして使用されます。

ユーザーがCitrix Gateway の仮想IPアドレスに接続します。EPA スキャンが開始されます。EPA スキャンが成功すると、RADIUS または OTP ベースの認証用のユーザ名とパスワードフィールドを含むログインページが表示されます。それ以外の場合は、ユーザーはログインページとともにレンダリングされますが、今回はLDAPまたはAD（Active Directory）ベースの認証を使用して認証されます。ユーザーが指定した資格情報の成功または失敗に基づいて、ユーザーはアクセスを許可されます。

EPA後のこのロジックを実装する：

EPAスキャンが成功すると、ユーザーはデフォルトのユーザー・グループに配置されるか、タグ付けされます。
EPA スキャンが失敗した場合、ユーザーは隔離グループに配置されるか、またはタグ付けされます。
次の認証方法（RADIUS または LDAP）は、最初の 2 つの手順で決定されたユーザグループメンバシップに基づいて選択されます。

前提条件

次の設定が行われていることを確認します。

VPN 仮想サーバーまたはGateway および認証仮想サーバーの構成
認証、承認、監査ユーザーグループ（デフォルトおよび隔離ユーザーグループ用）および関連するポリシー
LDAPおよびRADIUSサーバの設定および関連ポリシー

次の図は、ポリシーとポリシーラベルのマッピングを示しています。これは設定に使用されるアプローチですが、右から左にアプローチします。

この例でのポリシーとポリシーラベルのマッピング

注：セットアップは、Citrix ADCバージョン13.0以降で利用可能なnFactorビジュアライザを使用して作成することもできます。

ビジュアライザーでのこの設定の表現

CLI を使用して、次の操作を実行します

quarantined_group メンバシップをチェックし、特定の LDAP サーバで認証するように設定された LDAP ポリシーに関連付けるように LDAP 認証ポリシーを設定します。次のサンプルコマンドでは、ldap-authは認証ポリシーの名前で、 ldap_server1は作成された LDAP アクションの名前です。
```
add authentication Policy ldap-auth -rule "AAA.USER.IS_MEMBER_OF ("quarantined_group")" -action ldap_server1

```
default_group メンバシップをチェックし、特定の RADIUS サーバで認証するように設定された RADIUS ポリシーに関連付けるように Radius-auth ポリシーを設定します。次のコマンド例では、 radius-auth は認証ポリシーの名前で、 radius_server1 は作成された RADIUS アクションの名前です。
```
add authentication Policy radius-auth -rule "AAA.USER.IS_MEMBER_OF("default_group")" -action radius_server1

```
ポリシーラベル postepa-usergroup-check をログインスキーマとともに設定し、単一ファクタのユーザ名とパスワードを取得します。
```
add authentication policylabel post-epa-usergroup-check -loginSchema lschema_single_factor_deviceid

```
注: 組み込みスキーマ lschema_single_factor_deviceid を使用しない場合は、要件に従ってスキーマに置き換えることができます。

ステップ 1 および 2 で設定したポリシーを、ステップ 3 で設定したポリシーラベルに関連付けます。

bind authentication policylabel post-epa-usergroup-check -policyName radius-auth -priority 100 -gotoPriorityExpression END

bind authentication policylabel post-epa-usergroup-check -policyName ldap-auth -priority 110 -gotoPriorityExpression END
<!--NeedCopy-->

注： END は、そのレッグの認証メカニズムの終了を示します。

EPA スキャンを実行するアクションを作成し、EPA スキャンポリシーに関連付けます。
```
add authentication epaAction EPA-client-scan -csecexpr "sys.client_expr("app_0_MAC- BROWSER_1001_VERSION_<=_10.0.3")||sys.client_expr("os_0_win7_sp_1")"  -defaultEPAGroup default_group -quarantineGroup quarantined_group

```
default_group と Quarantined_group は、事前に設定されたユーザグループです。手順 5 の式は、macOS ユーザーのブラウザのバージョンが 10.0.3 未満であるか、または Windows 7 ユーザーに Service Pack 1 がインストールされているかどうかをスキャンします。
```
add authentication Policy EPA-check -rule true -action EPA-client-scan

```
EPA スキャンポリシーを認証、承認、および監査仮想サーバーに関連付けます。次の手順では、ポリシーラベル postepa-usergroup-check を指します。これは、認証の次のステップを実行するためです。
```
bind authentication vserver MFA_AAA_vserver -policy EPA-check -priority 100 - nextFactor post-epa-usergroup-check -gotoPriorityExpression NEXT

```

nFactor ビジュアライザーを使用した構成

セキュリティ > AAA アプリケーショントラフィック > nFactor ビジュアライザー > nFactor フローに移動し 、 追加をクリックします。
+ をクリックして nFactor フローを追加します。
係数を追加します。入力する名前は nFactor フローの名前です。

注：最初の要素にはスキーマは必要ありません。
[ポリシーの追加] をクリックし、[追加] をクリックして、EPA チェック用の認証ポリシーを作成します。
「 アクション」 フィールドで、「 追加」 をクリックしてEPAアクションを追加します。

EPA の詳細については、「高度なエンドポイント分析スキャンの構成」を参照してください。
EPA_nFactor ブロックの緑の + 記号をクリックして、EPA ユーザグループチェックの次のファクタを追加します。
[スキーマの追加] をクリックして、2 番目の要素のスキーマを追加します。スキーマの「単一ファクタデバイス ID」を選択します。
[ポリシーの追加] をクリックして、LDAP 認証のポリシーを選択します。

LDAP のポリシーは、ユーザーが隔離グループの一部であるかどうかをチェックします。LDAP 認証の作成の詳細については、「LDAP 認証の設定」を参照してください。
EPA_nFactor ブロックの青い + 記号をクリックして、2 番目の認証を追加します。
[Add] をクリックして、RADIUS 認証のポリシーを選択します。RADIUS 認証の作成の詳細については、「RADIUS 認証の設定」を参照してください。

LDAP のポリシーは、ユーザーがデフォルトグループの一部であるかどうかをチェックします。
［完了］ をクリックします。
nFactor フローが完了したら、このフローを認証、承認、および監査仮想サーバーにバインドします。[認証サーバにバインド] をクリックし、[作成] をクリックします。

nFactor フローのバインドを解除する

nFactor フローを選択し、[ バインドを表示] をクリックします。
認証仮想サーバーを選択し、[ バインド解除] をクリックします。

このコンテンツの正式なバージョンは英語で提供されています。Citrixドキュメントのコンテンツの一部は、お客様の利便性のみを目的として機械翻訳されています。Citrixは機械翻訳されたコンテンツを管理していないため、誤り、不正確な情報、不適切な用語が含まれる場合があります。英語の原文から他言語への翻訳について、精度、信頼性、適合性、正確性、またはお使いのCitrix製品またはサービスと機械翻訳されたコンテンツとの整合性に関する保証、該当するライセンス契約書またはサービス利用規約、あるいはCitrixとのその他すべての契約に基づき提供される保証、および製品またはサービスのドキュメントとの一致に関する保証は、明示的か黙示的かを問わず、かかるドキュメントの機械翻訳された範囲には適用されないものとします。機械翻訳されたコンテンツの使用に起因する損害または問題について、Citrixは責任を負わないものとします。

nFactor 認証の要素として事前認証エンドポイント分析スキャンを設定する

October 7, 2021

寄稿者:

October 7, 2021

寄稿者: