Cisco ASAゲートウェイを構成する

このタスクでは、RADIUSサーバープロファイルの定義、Okta RADIUS Agentの認証プロファイルの定義、ゲートウェイへのOkta RADIUS認証プロファイルの適用、Okta RADIUS認証プロファイルを使用するためのポータルの構成を行います。

手順

  1. AAAサーバーグループを定義する
  2. AAAサーバーグループにAAAサーバーを追加します。
  3. AAAサーバーグループを使用するようにAnyConnect接続プロファイルを変更する
  4. AnyConnectクライアントプロファイルを変更してタイムアウトを延長する

はじめに

  • 共通のUDPポートと秘密鍵の値が利用可能であることを確認します。

AAAサーバーグループを定義する

  1. 十分な権限でVPNアプライアンスのCisco ASDMコンソールにサインインします。
  2. 以下に示すように、［Configuration（構成）］>［Remote Access VPN（リモートアクセスVPN）］>［AAA/Local users（AAA/ローカルユーザー）］>［AAA server groups（AAAサーバーグループ）］に移動します。

  3. ［Add（追加）］をクリックし、新しいグループを作成します。下のような［Add AAA Server Group（AAAサーバーグループの追加）］画面が表示されます。

  4. 以下を除き、デフォルト設定のままにします。

    • ［AAA Server Group（AAAサーバーグループ）］：MFAサーバーのグループを識別する名前を指定します。

    • ［Protocol（プロトコル）］：必要に応じてRADIUSを選択します。

AAAサーバーグループにAAAサーバーを追加します。

  1. ［OK］をクリックして、上記の手順2に示したCisco ASDMコンソールに戻ります。
  2. ［Remote Access VPN（リモートアクセスVPN）］をクリックし、［AAA/Local Users（AAA/ローカルユーザー）］>［AAA Server Groups（AAAサーバーグループ）］に移動します。前の手順で作成したサーバーグループを選択します。
  3. ［Add（追加）］をクリックします。以下の画面が開きます。

  4. 以下を除き、デフォルト設定のままにします。
    • ［Interface Name（インターフェイス名）］： MFAサーバーとの通信を処理するインターフェイスを選択します。
    • ［Server Name or IP Address（サーバー名またはIPアドレス）］：Okta RADIUS Agentの名前またはIPアドレスを指定します。
    • ［Timeout (seconds)（タイムアウト（秒））］：60秒
    • ［Server Authentication Port（サーバー認証ポート）］：Oktaでアプリをセットアップする際、上記の手順3で構成したポート番号を入力します。この例ではポート1812を使用しています。
    • ［Server Accounting Port（サーバーアカウンティングポート）］：1646。この値は使用されませんが、セットアップを完了するには入力する必要があります。
    • ［Retry Interval（再試行間隔）］：デフォルトの60秒のままにします
    • ［Server Secret Key（サーバー秘密鍵）］：Oktaでアプリをセットアップする際に上記の手順3で定義したシークレットが入力されます。
    • ［Common Password（共通パスワード）］：空白のままにします
    • ［Microsoft CHAPv2 Capable（Microsoft CHAPv2を有効にする）］のチェックを外します（重要）。
  5. 完了したら、［OK］をクリックします。
  6. ［APPLY（適用）］をクリックして構成を保存します。

AAAサーバーグループを使用するようにAnyConnect接続プロファイルを変更する

この手順では、競合または矛盾している認可/認証/アカウンティング設定がないかについても確認します。

  1. VPNアプライアンスのCisco ASDMコンソールで、以下のように［Configuration（構成）］>［Remote Access VPN（リモートアクセスVPN）］>［Network (Client) Access（ネットワーク（クライアント）アクセス）］>［AnyConnect Connection Profiles（AnyConnect接続プロファイル）］に移動します。

  2. ［Connection Profiles（接続プロファイル）］セクションで目的の接続プロファイルを反転表示し、プロファイル名のリストの上にある［Edit（編集）］をクリックします。以下の画面が開きます。

  3. ［Authentication（認証）］セクションで、［Method（方法）］を［AAA］に設定します。
  4. 以前に作成または変更したAAAサーバーグループを選択し、左側の列の［Advanced（詳細設定）］をクリックします。以下の画面が開きます。

  5. 左側の［Secondary Authentication（セカンダリ認証）］をクリックし、［Secondary Authentication Server Group（セカンダリ認証サーバーグループ）］が定義されていないことを確認します。

    現在の構成は「多段階認証」とも呼ばれます。

    ［Secondary Authentication Server Group（セカンダリ認証サーバーグループ）］を使用して、別のフローでMFAを実行する代替構成が存在します。この構成では、「セカンダリ」認証はメインのAAAサーバーグループのサーバーによって、RADIUSチャレンジ/レスポンスメッセージを使用して処理されます。

    その構成では、プライマリAAAサーバーグループは、1つのAAAサーバーグループに対してプライマリ認証（ユーザー名/パスワード）を実行するように構成されています。このAAAサーバーグループは、プライマリ認証を実行するためにのみ構成されているOkta RADIUS Server Agentに対して検証することができます。セカンダリAAAサーバーグループは、2番目のAAAサーバーグループに対してセカンダリ認証を行うように構成されています。このAAAサーバーグループは通常、プライマリ認証を実行しないように明示的に構成されているアプリを搭載したOkta RADIUS Serverであり、登録されている要素（プッシュ、Verify OTP、SMS OTPなど）を検証するためにのみ使用されます。

    この代替構成を使用する理由として、以下の2点が挙げられます。

    • プライマリ認証サーバーが、Oktaでは提供できない追加のアカウンティング、認可、または接続の詳細を提供している
    • コンプライアンス上の理由により、マルチステップ以外のMFAエクスペリエンスを使う必要がある
  6. 左側の［Authorization（認可）］をクリックし、以下のように［Server Group（サーバーグループ）］の値が［None（なし）］に設定されていることを確認します。

    別のAuthorization Serverグループを追加で利用する構成が存在する可能性がありますが、そうした構成はこのガイドのスコープ外となります。この設定が、Okta RADIUS Server Agentの情報が入力されたAAAサーバーグループを指していたために、Oktaで問題が発生したケースがありました。このような場合、余分なアクセスリクエストメッセージがOkta RADIUS Serverに送信されます。

  7. 左側の［Accounting（アカウンティング）］をクリックし、以下のように［Accounting Server Group（アカウンティングサーバーグループ）］の値が［None（なし）］に設定されていることを確認します。

    一意でわかりやすいアカウンティングサーバーグループが役立つ場合があります。Okta RADIUS Serverエージェントを使用するAAAサーバーグループは、RADIUSアカウンティングメッセージをサポートしていません。

  8. ［OK］をクリックして設定を保存します。

AnyConnectクライアントプロファイルを変更してタイムアウトを延長する

  1. Cisco ASA Admin Consoleで、［Configuration（構成）］ボタンをクリックし、［Remote Access VPN（リモートアクセスVPN）］ボタンをクリックします。
  2. 以下のように、［Network (Client) Access（ネットワーク（クライアント）アクセス）］>［AnyConnect Client Profile（AnyConnectクライアントプロファイル）］に移動し、目的のクライアントプロファイルをハイライト表示し、［Edit（編集）］をクリックします。

  3. 表示される画面で、以下のように［Preferences (Part 2)（設定（パート2））］を選択します。

  4. 下にスクロールして［Authentication Timeout (seconds)（認証タイムアウト（秒））］を探し、値を60に設定します。
  5. ［OK］をクリックして設定を保存します。
  6. ［Commit（コミット）］をクリックしてCisco ASA Admin ConsoleでOkta RADIUS構成を保存します。