サイトWebプロキシ(EA)でトラフィックをルーティングする

注: これは限られたリリースでのみ利用可能な早期利用 (EA) 機能です。 詳細については、Cato Networksの担当者にお問い合わせいただくか、ea@catonetworks.comまで電子メールを送信してください。

Entra SCIMプロビジョニングスキーマを拡張し、以下の属性をMicrosoft Entra IDからCato SCIMアプリケーションに同期する:

• onPremisesSamAccountName: レガシーのWindowsログオン名。 Windows認証とsAMAccountName属性を必要とするレガシーアプリケーションで使用されます

• onPremisesDomainName: ユーザーアカウントに関連付けられたOn-Premises Active Directory ドメインの完全修飾ドメイン名(FQDN)。 Kerberos認証中にユーザーを識別するためにonPremisesSamAccountNameと共に使用されます。

注:

• この設定は、ユーザープロビジョニングを開始する前に適用される必要があります。 設定が不可能な場合、Cato SCIMアプリケーションへの同期を再試行してください。

• スキーマを編集する前に、JSONドキュメントのコピーを保存することをお勧めします。 これにより、エラーが発生した場合に元の設定を復元することができます。

• 非認証トラフィックのプロキシインスタンスのみを設定している場合、このステップは不要です。

ユーザーID属性をマッピングするには:

1. Entra管理センターに移動し、エンタープライズアプリケーションに進んでください。

2. Cato Networks SCIM アプリケーションを開きます。

3. プロビジョニングをクリックしてプロビジョニングを編集を選択します。

4. マッピングセクションを展開してAzure Active Directoryユーザーのプロビジョニングをクリックし、高度なオプションを表示を選択します。

5. ここでスキーマをレビューをクリックしてください。
   JSONスキーマドキュメントが開きます。

6. Entraソース属性を公開してプロビジョニングマッピングで使用できるようにするには、Ctrl+Fを使って"name": "Microsoft Entra ID'を検索してください。

7. "attributes"配列(directories[] > "Microsoft Entra ID" > objects[] > User > attributes[])を識別し、最終属性オブジェクトはonPremisesSecurityIdentifierです。

8. 最終属性の後にコンマを追加し、次のエントリを閉じる]の前に貼り付けます。
   {
   "anchor": false,
   "caseExact": false,
   "defaultValue": null,
   "flowNullValues": false,
   "multivalued": false,
   "mutability": "ReadWrite",
   "name": "onPremisesSamAccountName",
   "required": false,
   "type": "String",
   "apiExpressions": [],
   "metadata": [],
   "referencedObjects": []
   },
   {
   "anchor": false,
   "caseExact": false,
   "defaultValue": null,
   "flowNullValues": false,
   "multivalued": false,
   "mutability": "ReadWrite",
   "name": "onPremisesDomainName",
   "required": false,
   "type": "String",
   "apiExpressions": [],
   "metadata": [],
   "referencedObjects": []
   }

9. 対応するターゲットSCIM拡張属性をCato SCIMスキーマに追加するには、Ctrl+Fを使って"name: "Cato Networks Provisioning"を検索してください。

10. "attributes"配列(directories[] > "Microsoft Entra ID" > objects[] > User > attributes[])を識別し、最終属性オブジェクトはdirSyncEnabledです。

11. 最終属性の後にコンマを追加し、次のエントリを閉じる]の前に貼り付けます。
    {
    "anchor": false,
    "caseExact": false,
    "defaultValue": null,
    "flowNullValues": false,
    "multivalued": false,
    "mutability": "ReadWrite",
    "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
    "required": false,
    "type": "String",
    "apiExpressions": [],
    "metadata": [],
    "referencedObjects": []
    },
    {
    "anchor": false,
    "caseExact": false,
    "defaultValue": null,
    "flowNullValues": false,
    "multivalued": false,
    "mutability": "ReadWrite",
    "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
    "required": false,
    "type": "String",
    "apiExpressions": [],
    "metadata": [],
    "referencedObjects": []
    }

12. Entra属性とCato SCIM属性間の同期マッピングを作成するには、Ctrl+Fを使って"Provision Azure Active Directory Users"を検索してください。

13. そのオブジェクト内で、"attributeMappings"配列を識別してください。

14. その配列の最後に、最後の }, を見つけ、コンマを追加し、次のエントリを閉じる]の前に貼り付けます。
    {
    "defaultValue": "",
    "exportMissingReferences": false,
    "flowBehavior": "FlowWhenChanged",
    "flowType": "Always",
    "matchingPriority": 0,
    "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
    "source": {
    "expression": "[onPremisesSamAccountName]",
    "name": "onPremisesSamAccountName",
    "type": "Attribute",
    "parameters": []
    }
    },
    {
    "defaultValue": "",
    "exportMissingReferences": false,
    "flowBehavior": "FlowWhenChanged",
    "flowType": "Always",
    "matchingPriority": 0,
    "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
    "source": {
    "expression": "[onPremisesDomainName]",
    "name": "onPremisesDomainName",
    "type": "Attribute",
    "parameters": []
    }
    }
     

15. 保存をクリックします。 スキーマテキストエディター保存成功メッセージが表示されています。
    

     

16. Cato Networks SCIMアプリケーション内で、プロビジョニングをクリックしてプロビジョニングを編集を選択します。

17. マッピングセクションを展開してAzure Active Directoryユーザーのプロビジョニングをクリックし、高度なオプションを表示を選択します。 

18. 数分後、これらのマッピングが表示されることを確認してください:

    1. sAMAccountName → onPremisesSamAccountName

    2. onPremisesDomainName → onPremisesDomainName

ステップ2: プロキシインスタンスの作成

プロキシインスタンスはサイト、エンドポイント、および認証方法を定義します。 サポートされている認証オプションは以下の通りです:

• Kerberos: プロキシはデバイスのKerberosチケット内のアイデンティティに対して各リクエストを認証し、各セッションを特定のユーザーに関連付けます。 これにより、ユーザーに基づくポリシーを適用することができます。 
  Kerberos認証を使用するには、Kerberosキー配布センター（KDC）でKEYTABファイルを生成してください。 KEYTABファイルには、Cato PoPがKerberosチケットを検証し、ユーザーのアイデンティティを確認するための秘密が含まれています。

• 認証なし: プロキシはユーザー認証を適用しません。 ユーザーに基づくポリシーは適用されません。

   

プロキシインスタンスを作成するには:

1. {{snippet.Site Web Proxy path}}

2. 新規をクリックし、新規プロキシを選択します。

3. プロキシインスタンスの名前を追加し、プロキシに関連付けるサイトを選択します。

4. デバイスがプロキシに接続するために使用するFQDNとプロキシインスタンスのポートを入力します。
   注: DNS解決のために対応するIPが表示されます。 
   

    

5. 認証方法を選択します。
   

    

6. Kerberosが認証方法として選択された場合、KEYTABファイルをアップロードします。 非認証プロキシインスタンスを作成する場合、このステップは不要です。 

7. 適用してルールを作成をクリックします。 
   プロキシインスタンスが作成されました。

プロキシインスタンスが作成されたら、そのネットワークルールを定義します。 各ルールはソース、宛先、およびアクションで構成されます。 利用可能なアクションはプロキシインスタンスの認証方法に依存します。

• Kerberosプロキシインスタンスは、これらのアクションをサポートします:

  • 認証: トラフィックはKerberos認証を必要とします

  • 許可: トラフィックは認証なしで許可されます。 特定のデバイス、サービス、または宛先が認証をバイパスできる場合、許可ルールを使用します。 許可ルールはすべての認証ルールの上に順序を付けなければなりません
    注: 許可アクションはKerberos認証を指します。 非認証トラフィックはセキュリティエンジンで検査され、セキュリティポリシーによってブロックされる可能性があります。

• 非認証プロキシインスタンスには、許可アクションのみが利用可能です。

サイトWebプロキシのルールベース内でルールに一致しないトラフィックは、最終システムルールによってブロックされます。

ネットワークルールを定義するには:

1. {{snippet.Site Web Proxy path}}

2. 新規をクリックし、新規プロキシルールを選択します。 
   新規プロキシルールパネルが開きます。 
   注: プロキシインスタンスを作成した直後にネットワークルールを定義する場合、新規プロキシルールパネルが自動的に表示されます。

3. ルールの名前を入力し、ルールの適用先のプロキシを選択し、ルールベース内のルールの位置を選択します。

4. ルールによって施行されるソースを追加します。 サポートされているソースはIPアドレスまたはネットワークサブネットです。
   注: ルールをすべてのソースに適用するには、このセクションを空白にしておきます。

5. ルールが適用される宛先を定義します。 
   注: ルールをすべての宛先に適用するには、このセクションを空白にしておきます。

6. ルールによって適用されるアクションを選択します。

7. 適用をクリックします。

8. 公開をクリックします。

9. サイトWebプロキシトグルを有効に設定します。