F5 BigIP APMを構成する

Okta RADIUS Server AgentをAPMおよびVPNアプリ用のOkta Integration Network(OIN)F5 BIG IP RADIUSとともに使用するようにF5 BIG IP APMを構成します。

統合でSAML 2.0を使用するには:

  1. Okta Admin Consoleで、[Applications(アプリケーション)]>[Applications(アプリケーション)]に移動します。
  2. [Browse App Catalog(アプリカタログを参照)]をクリックします。
  3. F5 BIG IP SAML for APM and VPNを検索します。
  4. [Add Integration(統合を追加)]をクリックします。

開始する前に

Okta RADIUS agentをインストールする前に、以下のネットワーク接続要件を満たしてください。

ソース 宛先 ポート/プロトコル 説明
Okta RADIUS Agent Okta Identity Cloud TCP/443

HTTP

構成および認証トラフィック。
クライアントゲートウェイ Okta RADIUS Agent UDP/1812 RADIUS(デフォルト。RADIUSアプリをインストールおよび構成する際に変更できます) ゲートウェイ(クライアント)とRADIUS Agent(サーバー)間のRADIUSトラフィック。

制限事項

1つのOkta Verifyデバイスのみ登録します。それより多くのOkta Verifyを追加すると、未定義の、または予期しない動作が発生する可能性があります。

サポートされる要素

多数のオーセンティケーターの登録をユーザーに許可した場合、RADIUSプロンプトに対してチャレンジメッセージのサイズが大きくなりすぎることがあります。Oktaでは、一定期間に登録するオーセンティケーターを8個までにすることを推奨しています。

OktaではRADIUSアプリ用に次のオーセンティケーターをサポートしています。

MFAオーセンティケーター

パスワード認証プロトコル(PAP) 拡張認証プロトコル - Generic Token Card(EAP-GTC) 拡張認証プロトコル - Tunneled Transport Layer Security(EAP-TTLS)
Duo(プッシュ、SMS、パスコードのみ) サポート サポート Duoパスコードのみ。

メール

サポート

サポート

文字列「EMAIL」が最初に送信された場合にサポートされます。
「関連する注意事項」を参照してください。

RADIUSは、メールによるインライン登録をサポートしていません。インライン登録を使用する場合は、メールを無効にするか、メール設定で[Password reset(パスワードリセット)]を指定します。

Google認証システム

サポート サポート サポート - チャレンジが回避される限り。
たとえば、MFAのみ、または「パスワード、パスコード」。

Okta Verify(TOTPおよびPUSH)

サポート サポート サポート - チャレンジが回避される限り。
例:
TOTPの場合、MFAのみ、または「パスワード、MFA」。
プッシュチャレンジは帯域外で送信されるため、プッシュはプライマリ認証 + MFAで機能します。

Okta Verify(番号チャレンジ)

サポート対象外

サポート対象外

サポート対象外

電話(SMSおよび音声通話)

サポート サポート 文字列「CALL」が送信された場合にサポートされます。
「関連する注意事項」を参照してください。

YubiKey OTP

サポート サポート サポート - チャレンジが回避される限り。
たとえば、MFAのみ、または「パスワード、パスコード」。

RADIUSは、次の3つの認証方法をサポートしています。

  • パスワード + MFA:パスワードを使用したプライマリ認証が行われ、その後、ユーザーは認証を完了するための要素を選択するよう求められます。
  • MFAのみ:パスワードの代わりに、ユーザーはワンタイムパスコードを入力するか、「EMAIL」、「SMS」、「CALL」、「PUSH」(大文字と小文字を区別しない)のいずれかを入力します。
  • パスワード、パスコード:リクエストでパスワード入力の直後にパスコード。
    同じリクエスト内に存在する必要があります。例:「Abcd1234,879890」または「Abcd1234,SmS」。

次の認証方法がプロトコルではサポートされています。

プロトコル サポート
PAP パスワードとMFA、MFA、「パスワードとパスコード」。
EAP-TTLS MFAのみ、「パスワードとパスコード」。
EAP-GTC パスワードとMFA、MFAのみ、「パスワードとパスコード」。

指定された文字列「EMAIL/SMS/CALL」を送信する必要があります。最初は失敗が返されます。これにより、指定された方法を使用して提供されるワンタイムパスコード(OTP)が生成されます。提供されたOTPは、認証に使用できます。

EAP-TTLSは登録をサポートしていません

EAP-TTLSが有効になっていて、Okta Verifyまたは電話が必須登録ポリシーとして指定されており、ユーザーがそのオーセンティケーターに登録されていない場合、認証は予期せず失敗します。

U2FセキュリティおよびWindows Hello MFA要素は、RADIUS対応の実装と互換性がありません。「OktaでRADIUSアプリケーションを構成する」を参照してください。

パスワードなしの認証

RADIUS認証では、プライマリ認証メカニズムとしてパスワードが使用されます。従来のRADIUS認証は、パスワードを持たないユーザーでは実行できません。アプリケーション設定プロパティの[Okta performs primary authentication(Oktaでプライマリ認証を実施)]がクリアされている場合は、RADIUSで認証のためにほかの要素を使用できます。詳細については、「OktaのRADIUSアプリケーション」「2FAのみ(パスワードレスモード)」を参照してください。

パスワードなしの認証について詳しくは、「パスワードなしサインインエクスペリエンスをセットアップする」を参照してください。

一般的なワークフロー

タスク

説明

RADIUS Agentをダウンロードする
Okta RADIUS Agentをインストールする
  • 環境に応じて、WindowsまたはLinux RADIUS Agentをインストールします。
アプリケーションを構成する
ゲートウェイを構成する
オプション設定を構成する
テスト

関連項目