Secure Web Access との連携設定¶

docomo business RINK IDaaS と Secure Web Access との連携設定方法について説明します。※Flexible Secure Gateway Web無害化オプションは除きます。

連携設定を行うことで認証を強化して Secure Web Access をご利用いただくことができます。また、docomo business RINK IDaaSに登録されているグループ情報を連携することで、Secure Web Accessに設定されたグループポリシーを割り当てることができます。(グループ情報の連携について弊社で動作確認をしておりますが、ご利用にあたってはお客様でのご検証をお願いいたします。)

Secure Web Accessから起動を行う場合のSAML認証フローイメージ

1. 事前準備¶

連携設定作業を行うには、以下の環境を事前に準備いただく必要があります。

Secure Web Access のお申込みを完了していること。
- Secure Web Access のお申込み方法はこちら
- Secure Web Access のポータル等のご利用方法はこちら
docomo business RINK IDaaS に SAML連携したいメンバーが登録されていること。
- メンバーの登録方法はこちら
Secure Web Accessに、docomo business RINK IDaaS の宛先をプロキシ除外しておくこと。
- docomo business RINK IDaaS で利用するドメイン一覧　のうち、お客様がご利用になる機能に関して、除外する設定を入れてください。
- プロキシ除外の設定方法はこちら

2. docomo business RINK IDaaS上の設定¶

ここでは docomo business RINK IDaaS上の Secure Web AccessとのSAML連携設定の手順を記載します。

(1) docomo business RINK IDaaSのトップ画面で [管理] を選択します。

(2) 管理画面で [アプリ] を選択します。

(3) アプリ管理画面で [SAMLアプリ登録] を選択します。

(4) 企業アプリ登録画面で、アプリケーション名に任意の名前を入力し、IDプロバイダーURL と発行者エンティティID をメモしてから、[証明書を取得] をクリックします。（メモした内容と証明書は Secure Web Access上の設定で使用します）

　　ダウンロード先のフォルダにて、証明書がダウンロードされたことを確認します。

(5) サービスプロバイダの設定で、各項目について以下を指定します。
　　・ ログインURL：　https://safe.menlosecurity.com/account/login
　　・ エンティティID：　https://safe.menlosecurity.com/safeview-auth-server/saml/metadata
　　・ サービスへのACS URL：　https://safe.menlosecurity.com/safeview-auth-server/saml

(6) Secure Web Accessでグループを使用する場合は、[カスタム属性を指定] をクリックし、カスタム属性にグループを指定する作業を実施します。

※ グループを使用しない場合は、本項 (6) は実施せず、(7) へスキップしてください。

Secure Web Accessで管理しているグループを指定します。

注釈

グループ設定を行うことで、docomo business RINK IDaaSに登録されているグループ情報をSecure Web Accessに連携することができます。グループ情報を連携することで、Secure Web Access上に設定されたグループポリシーを適用し、所属グループに応じたアクセス制御を行うことができます。なお、グループ情報の連携について弊社で動作確認をしておりますが、グループ情報の連携に関する動作保証は行っておりません。ご利用にあたっては、お客様でのご検証をお願いいたします。

　　　　1. [カスタム属性を指定] をクリックします。

　　　　2. [SAML属性を追加] をクリックします。

　　　　3. 以下のとおり指定します。

① 属性指定名に「groups」を指定します。
② 属性種類に「Basic」を選択します。
③ 属性名に「group」を指定します。
属性値に以下を指定します。
④ 「グループ」を選択します。
⑤ docomo business RINK IDaaS側に登録しているグループを選択します。
⑥ 複数のグループをSecure Web Accessへ渡す場合は、「＋」をクリックして追加します。
最後のグループも「＋」をクリックして完了させます。
※ グループはdocomo business RINK IDaaSにてあらかじめ追加されていることを前提としています。グループの登録方法は こちら

(7) 画面の最上部へスクロールし、[登録] をクリックします。

3. Secure Web Access上の設定¶

3-1. SAML連携設定¶

ここではSecure Web Access上の設定手順を記載します。

(1) Secure Web Access管理画面へログインします。

(2) Secure Web Access管理画面で、[Settings] をクリックします。

(3) [Single Sign On] を選択して、[Edit] をクリックします。

(4) 下図のとおり設定し、[Add Certificate] をクリックします。

(5) docomo business RINK IDaaSからダウンロードした証明書ファイルをメモ帳で開き、表示された文字列をコピーして画面に貼り付けたら、[Save] をクリックします。

証明書が登録されたことを確認します。

(6) 画面上部にある [Save] をクリックします。

(7) もう一度、 [Save] をクリックします。

3-2. 連携グループの利用例¶

docomo business RINK IDaaS と Secure Web Accessのグループ情報連携によるアクセス制御について説明します。docomo business RINK IDaaSから連携されたグループ情報をもとにSecure Web Accessでポリシーを割り当てることができ、メンバーのグループ情報をもとにアクセス制御を行うことができます。設定は任意のため、必要に応じてご対応ください。

以下を前提に説明します。
1. docomo business RINK IDaaS にて「sales」と「public_relations」の2つのグループを定義します。
2. Secure Web Access 側で、宛先Aに対してアクセスをNGとするポリシーを全メンバー・全グループに適用する設定をします。
3. Secure Web Access 側で、「public_relations」グループに属しているメンバーに対して宛先Aへのアクセスを許可する設定をします。

イメージは以下の図の通りです。

これにより「public_relations」に所属するメンバーのみ宛先Aにアクセスできるようになり、その他のメンバーはアクセス不可となります。以降では宛先Aを「ntt.com」とした際の、Secure Web Access側の設定例を説明します。

注釈

グループ設定機能をご利用の際は、Secure Web Access側でアクセス先をグループごとに許可するホワイトリスト方式をご利用いただくことをお勧めいたします。ホワイトリスト方式は、上記の図のようにデフォルト（全メンバー・全グループ）ではアクセスを拒否しておき、必要なグループのみ許可する方式です。ホワイトリスト方式を採用することで、万が一グループ連携が機能しない場合でも、許可されていないグループに対して想定外のアクセスを許可しないようにすることができます。

(1) 最初に「ntt.com」へのアクセスを全メンバー・全グループでブロックするポリシーを作成します。[Policy] をクリックします。