オプション設定を構成する
Palo Alto Network Gatewayでは、いくつかのオプション設定がサポートされます。
クライアントIPレポートを構成する
Palo Alto Networksの次世代ファイアウォール(NGFW)は、クライアントIPの送信に31(Calling-Station-Id)などの標準の属性値ペア(AVP)を使用しません。データの送信には、代わりにベンダー固有の属性(VSA)が使用されます。
ソースクライアントのIPに基づいて解析、レポート、ポリシー適用を行うようにOktaを構成するには、次の手順に従います。
-
Admin Consoleで に移動します。
- アプリケーションのリストでOkta Palo Alto Radius Appを探します。
- [高度なRADIUS設定]セクションで[Report Client IP(クライアントIPをレポート)]を選択します。
- [RADIUSエンドユーザーIP属性]では、[26 Vendor-Specific(26ベンダー固有)]を選択して7を入力します。
- [Save(保存)]をクリックします。
- Palo Alto Networksの管理シェルを開き、次のコマンドを実行します。
set authentication radius-vsa-on client-source-ip
グループ応答オプションを構成する
Palo Alto Network Gatewayは、グループの受信に11(Filter-Id)と25(Class)の標準のAVPを使用しません。代わりにVSAを使用します。
ベンダー固有の属性でRADIUSグループ情報を送信するようにアプリを構成するには、次の手順を完了します。
- Admin Consoleで に移動します。
- [Search(検索)]フィールドを使ってアプリケーションを探し、検索結果で名前をクリックします。
- [サインオン]タブを選択します。
- [Advanced RADIUS Settings(高度なRADIUS設定)]セクションまでスクロールし、[Edit(編集)]をクリックします。
- [グループ応答]セクションで次のオプションを設定します。
- [Include groups in RADIUS response(RADIUS応答にグループを含める)]を選択します。
- [RADIUS属性]サブセクションで[26-Vendor specific(26-ベンダー固有)]を選択します。
- [Vendor Specific ID(ベンダー固有ID)]フィールドに製品のベンダーIDの数値コードを入力します。
- Cisco ASA-Group-Policy:3076
- Citrix Group-Names:3845
- Fortinet Group-Name:12356
- Palo Alto User-Group:25461
ベンダー固有のIDがここに表示されないときは、製品のドキュメントで探します。
- [Attribute ID(属性ID)]フィールドに製品の属性IDの数値を入力します。
- Cisco ASA-Group-Policy:25
- Citrix Group-Names:16
- Fortinet Group-Name:1
- Palo Alto User-Group:5
属性IDがここに表示されないときは、製品のドキュメントでグループポリシー属性を探します。
- [Save(保存)]をクリックします。
グループメンバーシップ値の最大長さは247バイトです。グループ名の長さがこの制限を上回る場合、切り捨てられた部分的な値が返されます。単一の区切りリストを使用する代わりに、属性の繰り返しセットとして応答を構成します。
GlobalProtectで資格情報の二重プロンプトを回避する
Okta RADIUSで構成されている場合、GlobalProtectは特定の状況で資格情報の入力を2回求めます。これは、GlobalProtectサインインプロセスのcookieを有効にすることで回避できます。ユーザーのサインイン後にGlobalProtectポータルはcookieを生成します。RADIUSゲートウェイは、このcookieを短時間(通常は60秒以内)受け入れます。
GlobalProtectポータルでcookieの生成を有効にする
- GlobalProtectポータルに接続します。
- に移動します。
- [Portal Profile(ポータルプロファイル)]をクリックします。
- [エージェント]タブを選択し、[Agent Config(エージェント構成)]をクリックします。
- [Generate cookie for authentication override(認証上書きのためにcookieを生成)]を有効化します。
- [cookieのライフタイム]に秒単位のライフタイムを入力します。RADIUSでは、通常は60~90秒です。
- [cookieの暗号化/復号]で証明書を選択します。
GlobalProtect Gatewayでcookieの受け入れを有効にする
- に移動します。
- [Gateway Profile(ゲートウェイプロファイル)]を開きます。
- [エージェント]タブを選択します。
- [Client Settings(クライアント設定)]をクリックし、[Client Config(クライアント構成)]をクリックします。
- [認証の上書き]タブを選択し、[Accept cookie for authentication override(認証上書きのためにcookieを受け入れ)]を有効にします。
- [cookieのライフタイム]に秒単位のライフタイムを入力します。RADIUSでは、通常は60~90秒です。
- [cookieの暗号化/復号]で証明書を選択します。「GlobalProtectポータルでcookieの生成を有効にする」で選択したものと同じ証明書を選択します。