Citrix ADC

nFactor認証の要素として認証前および認証後のEPAスキャンを構成

Citrix Gateway では、エンドポイント分析(EPA)を構成して、ユーザーデバイスが特定のセキュリティ要件を満たしているかどうかを確認し、それに応じてユーザーに内部リソースへのアクセスを許可できます。エンドポイント分析プラグインは、ユーザーがCitrix Gateway に初めてログオンするときに、ユーザーデバイスにダウンロードおよびインストールされます。ユーザーがエンドポイント分析プラグインをユーザーデバイスにインストールしない場合、ユーザーはCitrix Gateway プラグインを使用してログオンできません。

nFactorのEPAの概念については、 NetScaler によるnFactor認証におけるEPAに使用される概念およびエンティティを参照してください

このトピックでは、nFactor 認証または多要素認証の初期チェックとして EPA スキャンを使用し、ログインと EPA スキャンを最終チェックとして使用します。

nFactor または多要素認証の初期チェックとして使用される EPA スキャンの表現

ユーザーはCitrix Gateway 仮想IPアドレスに接続します。EPA スキャンが開始されます。EPA スキャンが成功すると、LDAP または AD (Active Directory) ベースの認証用のユーザー名とパスワードフィールドを含むログインページが表示されます。ユーザクレデンシャルの成功に基づいて、ユーザは次の EPA ファクタにリダイレクトされます。

この構成に関連する高レベルの手順

  1. スキャンが成功すると、ユーザーはデフォルトのユーザーグループに配置されるか、タグ付けされます。

  2. 次の認証方法 (LDAP) が選択されます。

  3. 認証の結果に基づいて、ユーザーには次のスキャンのセットが表示されます。

前提条件

次の設定が行われていると仮定します。

  • VPN 仮想サーバ/ゲートウェイおよび認証仮想サーバの設定
  • 認証、承認、および監査ユーザーグループ(デフォルトおよび検疫済みユーザーグループ用)および関連ポリシー
  • LDAP サーバの設定と関連付けられたポリシー

CLI を使用した設定

  1. EPA スキャンを実行するアクションを作成し、EPA スキャンポリシーに関連付けます。

    add authentication epaAction SecondEPA_client_scan -csecexpr "sys.client_expr("proc_0_firefox")"
    <!--NeedCopy-->
    

    上記の式は、Firefox プロセスがクライアントマシンで実行されているかどうかをスキャンします。

    add authentication Policy SecondEPA_check -rule true -action SecondEPA_client_scan
    <!--NeedCopy-->
    
  2. EPA スキャンのポリシーをホストするポリシーラベル post-epa-scan を構成します。

    add authentication policylabel post-epa-scan -loginSchema LSCHEMA_INT
    <!--NeedCopy-->
    

    注: LSCHEMA_INT は、スキーマなし (スキーマなし) の組み込みスキーマです。つまり、このステップでは追加のウェブページはユーザーに表示されません。

  3. ステップ 1 で設定したポリシーを、ステップ 2 で設定したポリシーラベルに関連付けます。

    bind authentication policylabel post-epa-scan -policyName SecondEPA_check - priority 100 -gotoPriorityExpression END
    <!--NeedCopy-->
    

    END は、認証メカニズムの終了を示します。

  4. ldap-auth ポリシーを設定し、特定の LDAP サーバで認証するように設定された LDAP ポリシーに関連付けます。

    add authentication Policy ldap-auth -rule true -action ldap_server1
    
    ldap_server1 is LDAP policy and ldap-auth is policy name
    <!--NeedCopy-->
    
  5. 単一要素のユーザー名とパスワードを取得するためのログインスキーマを使用して、ポリシーラベル ldap-factor を設定します。

    add authentication policylabel ldap-factor -loginSchema LoginSchema/SingleAuth.xml
    <!--NeedCopy-->
    

    注: ビルドされたスキーマ LoginSchema/SingleAuth.xml で使用したくない場合に備えて、必要なスキーマに置き換えてください。

  6. ステップ 4 で設定したポリシーを、ステップ 5 で設定したポリシーラベルに関連付けます。

    bind authentication policylabel ldap-factor -policyName ldap-auth -priority 100 -gotoPriorityExpression END -nextFactor post-epa-scan
    <!--NeedCopy-->
    

    END はそのレッグの認証メカニズムの終了を示し、nextFactor は認証に続く次の要素を示します。

  7. EPA スキャンを実行するアクションを作成し、EPA スキャンポリシーに関連付けます。

    add authentication epaAction FirstEPA_client_scan –csecexpr “sys.client_expr("os_0_win7_sp_1")" -defaultEPAGroup default_group
    <!--NeedCopy-->
    

    ここで、default_group は事前設定されたユーザーグループです。

    上記の式は、Windows 7 ユーザーに Service Pack 1 がインストールされているかどうかをスキャンします。

    add authentication Policy FirstEPA-check -rule true -action FirstEPA_client_scan
    <!--NeedCopy-->
    
  8. EPA スキャンポリシーを認証、承認、および監査仮想サーバーに関連付けて、次の手順でポリシーラベル ldap-factor を指し、認証の次のステップを実行します。

    bind authentication vserver MFA_AAA_vserver -policy FirstEPA-check -priority 100 -nextFactor ldap-factor -gotoPriorityExpression NEXT
    <!--NeedCopy-->
    

GUI を使用した設定

  1. [ セキュリティ] > [AAA アプリケーショントラフィック] > [ポリシー] > [認証] > [高度なポリシー] > [アクション] > [EPA]

    最初の EPA スキャンで Windows の自動更新と既定のグループを確認する

    最初の EPA スキャンの作成

    Firefox ブラウザを確認するための 2 回目の EPA スキャン

    2 回目の EPA スキャンの作成

  2. EPA ポリシーを作成します。[ セキュリティ] > [AAA アプリケーショントラフィック] > [ポリシー] > [認証] > [高度なポリシー] > [ポリシー ] に移動し、ステップ 1 で作成されたアクションをバインドします。

    最初の EPA スキャンのポリシー

    最初の EPA スキャンのポリシーの作成

    2 回目の EPA スキャンのポリシー

    2 回目の EPA スキャンのポリシーを作成

    詳細な EPA の詳細については、「 高度なエンドポイント分析スキャン」を参照してください。

  3. nFactor フローを作成します。 セキュリティ > AAA アプリケーショントラフィック > nFactor ビジュアライザー > nFactor フローに移動し追加をクリックします

    クリックして nFactor を追加

    注: nFactor ビジュアライザーは、ファームウェア 13.0 以降で使用できます。

  4. 係数を追加します。入力する名前は nFactor フローの名前です。

    ファクター名の追加

    EPA スキャンにスキーマは必要ありません。

  5. [ ポリシーの追加 ] をクリックして、第 1 要素のポリシーを追加します。

    クリックしてポリシーを追加します

  6. ステップ 2 で作成した [最初の EPA ポリシー] を選択します。

    クリックして、最初の EPA ポリシーを選択

  7. 緑色の+記号をクリックし 、次の要素、つまり LDAP 認証を追加します。

    クリックして次の要素を追加

  8. [ スキーマの追加 ] をクリックし、[ 追加 ] をクリックして 2 番目の要素のスキーマを追加します。

    クリックしてスキーマを追加

  9. スキーマ (この例では Single_Auth) を作成し、このスキーマを選択します。

    1 つの認証スキーマを作成する

    認証スキーマを 1 つ選択する

  10. [ ポリシーの追加 ] をクリックして、認証用の LDAP ポリシーを追加します。

    認証用の LDAP ポリシーの追加

    LDAP 認証の作成の詳細については、「LDAP 認証の設定」を参照してください。

  11. 認証後のEPAスキャン用の次の要素を作成します。

    認証後の EPA スキャンの次の要素を作成する

  12. [ ポリシーの追加] をクリックし、手順 2 で作成した secondEPa_Check ポリシーを選択して、[ 追加] をクリックします。

    クリックしてポリシーを追加します

  13. [完了] をクリックします。

  14. [ 認証サーバーにバインド] をクリックし、nFactor フローを選択して、[ 作成] をクリックします。

    フローを認証仮想サーバーにバインドする

nFactor フローのバインドを解除する

  1. nFactor フローを選択し、[ バインドを表示] をクリックします。

  2. 認証仮想サーバーを選択し、[ バインド解除] をクリックします。

    認証仮想サーバーからフローのバインドを解除する

nFactor認証の要素として認証前および認証後のEPAスキャンを構成