RADIUS シングルサインオンを有効化する

RADIUS シングルサインオン（RSSO）により、ワイヤレスアクセスポイントなどの RADIUS を使用して RADIUS クライアントにより認証を受けたユーザーは Firebox で自動的に認証されます。RADIUS SSO の仕組みおよび RADIUS クライアントの要件の詳細については、次を参照してください：RADIUS シングルサインオンについて。

RADIUS SSO を有効化すると、RADIUS SSO ユーザー グループおよび RADIUS SSO ユーザーを許可 ポリシーが自動的に作成され、RADIUS SSO を介して認証されたユーザーからのアウトバウンド接続が許可されます。このグループを使用するか、または RADIUS サーバーのユーザーグループ名に一致する新規グループを作成することができます。

RADIUS サーバーから Firebox への RADIUS アカウンティングトラフィックを許可するために、RADIUS SSO サービスを許可 ポリシーも自動的に作成されます。

RADIUS SSO が正常に機能するためには、RADIUS クライアントまたはアクセスポイントで RADIUS アカウンティングを有効にする必要があります。

開始する前に

Firebox で RADIUS SSO を有効化する前に、以下の情報を取得しておく必要があります：

IP アドレス — RADIUS サーバーの IP アドレス
シークレット — RADIUS サーバーと Firebox 間の RADIUS メッセージを検証するために使用される共有シークレット (大文字と小文字を区別)
グループ属性 — RADIUS アカウンティングメッセージからグループ名を取得するために使用される RADIUS 属性番号

セッションタイムアウトおよびアイドルタイムアウト

RADIUS SSO の場合、ユーザーセッションタイムアウトは、グローバル認証タイムアウトではなく、RADIUS SSO タイムアウトに基づいています。RADIUS SSO 設定には 2 つのタイムアウト値が含まれています。

セッションタイムアウト

ユーザーが外部ネットワークにトラフィックを送信できる最長の時間。このフィールドを 0 秒、0 分、0 時間、または 0 日に設定した場合、セッションは期限切れせず、ユーザーはいつまでも接続状態のままでいられます。

アイドルタイムアウト

アイドル状態 (一切のトラフィックを外部ネットワークに送信しない) のときにユーザーが認証された状態でいられる最長の時間。このフィールドを 0 秒、0 分、0 時間、または 0 日に設定した場合、アイドル状態のときにセッションタイムアウトは発生せず、ユーザーはいつまでもアイドル状態のままでいられます。

タイムアウト制限に達する前にユーザーが切断された場合は、ユーザー名とクライアント IP アドレスが含まれる RADIUS 停止アカウンティングメッセージを Firebox が受信すると、セッションが削除されます。RADIUS アカウンティングメッセージの詳細については、次を参照してください：RADIUS シングルサインオンについて。

RADIUS サーバーを構成する

RADIUS SSO を有効化するには、ポート 1813 で Firebox IP アドレスにRADIUS アカウンティングパケットを転送する RADIUS サーバー、および RADIUS サーバーと Firebox 間の通信に使用される共有シークレットを構成する必要があります。

Firebox を構成する

Firebox でシングルサインオン（SSO）の設定を有効化して構成する際に、RADIUS サーバーの IP アドレスを指定する必要があります。また、SSO から除外する IP アドレス（または範囲）を指定することができます。

RADIUS SSO を有効化するには、Fireware Web UI から以下の手順を実行します：

認証 > シングルサインオン の順に選択します。
Active Directory タブが選択された状態で、シングルサインオンページが表示されます。
RADIUS タブを選択します。

Fireware Web UI における RADIUS シングルサインオン設定のスクリーンショット

RADIUS によるシングルサインオン (SSO) を有効化する チェックボックスを選択します。
IP アドレス テキストボックスに、RADIUS サーバーの IP アドレスを入力します。
シークレット テキストボックスに、RADIUS サーバーに構成した共有シークレットを入力します。
共有シークレットは大文字と小文字が区別され、Firebox および RADIUS サーバー上で同じものでである必要があります。
シークレットの確認 テキストボックス内に、共有シークレットを再び入力します。
グループ属性 テキストボックスに、グループメンバーシップに関する情報が含まれる RADIUS 属性番号を指定します。
ほとんどの場合、この目的ではフィルタ ID 属性（11）が使用されます。これが既定値です。
セッションタイムアウト テキストボックスに、セッションがタイムアウトになるまでに、ユーザーが認証された状態を維持できる最大時間を入力または選択します。
アイドルタイムアウト テキストボックスに、セッションがタイムアウトになるまでに、ユーザーがアイドル状態を維持できる最大時間を入力または選択します。
RADIUS SSO を使用できないアドレスを指定するために、SSO 例外 セクションで、RADIUS SSO から除外する IP アドレスまたは範囲を追加または削除します。
RADIUS SSO 例外の詳細については、SSO 例外の定義セクションを参照してください。
保存をクリックします。

RADIUS SSO を有効化するには、Policy Manager から以下の手順を実行します：

設定 > 認証 > 認証設定 の順に選択します。
ファイアウォール認証タブが選択された状態で、認証設定ダイアログボックスが表示されます。
[シングルサインオン] タブを選択します。

Policy Manager における RADIUS シングルサインオン構成

RADIUS によるシングルサインオン (SSO) を有効化する チェックボックスを選択します。
IP アドレス テキストボックスに、RADIUS サーバーの IP アドレスを入力します。
シークレット テキストボックスに、RADIUS サーバーに構成した共有シークレットを入力します。
共有シークレットは大文字と小文字が区別され、Firebox および RADIUS サーバー上で同じものでである必要があります。
シークレットの確認 テキストボックス内に、共有シークレットを再び入力します。
グループ属性 テキストボックスに、グループメンバーシップに関する情報が含まれる RADIUS 属性番号を指定します。
ほとんどの場合、この目的ではフィルタ ID 属性（11）が使用されます。これが既定値です。
セッションタイムアウト テキストボックスに、セッションがタイムアウトになるまでに、ユーザーが認証された状態を維持できる最大時間を入力または選択します。
アイドルタイムアウト テキストボックスに、セッションがタイムアウトになるまでに、ユーザーがアイドル状態を維持できる最大時間を入力または選択します。
OK をクリックします。

RADIUS SSO ポリシーおよびグループ

RADIUS SSO（RSSO）を有効化すると、Firebox 構成に 2 つのポリシーが自動的に追加されます。

RADIUS SSO サービスを許可 — Firebox と RADIUS サーバー間の RADIUS アカウンティングトラフィックを許可する
RADIUS SSO ユーザーを許可 — RADIUS SSO 認証ユーザーのアウトバウンド TCP および UDP トラフィックを許可する

RADIUS アカウンティングメッセージには、認証ユーザーのグループメンバーシップに関する情報が含まれています。Firebox の RADIUS SSO ユーザー グループには、Firebox に存在するグループのメンバーでないすべてのユーザーが自動的に含まれます。これらのユーザーのアウトバウンドトラフィックは、RADIUS SSO ユーザーを許可 ポリシーにより許可されます。

RADIUS SSO を介して認証されたユーザーが RADIUS サーバーのグループのメンバーである場合は、Firebox で同じグループを作成し、ポリシーのグループ名を使用することができます。RADIUS SSO を介して認証されたユーザーが Firebox に存在するグループのメンバーである場合は、そのユーザーは RADIUS SSO ユーザー グループのメンバーではありません。したがって、そのユーザーまたはグループのトラフィックを許可するポリシーを作成する必要があります。

詳細については、ユーザーおよびグループをポリシーで使用するを参照してください。

RADIUS SSO 例外を定義する

RADIUS SSO から特定のデバイスを除外する場合は、それを RADIUS SSO 例外 リストに追加できます。RADIUS SSO 例外 リストに載っている IP アドレスを含む RADIUS アカウンティングメッセージを Firebox が受信すると、Firebox ではそのユーザーのファイアウォール認証セッションが作成されません。

SSO 例外 リストにエントリーを追加する際、ホスト IP アドレス、ネットワーク IP アドレス、サブネット、ホスト DNS 名 (Policy Manager からのみ)、またはホスト範囲の追加を選択することができます。

SSO 例外 リストからエントリーを編集またはサポートすることもできます。

RADIUS シングル サインオンを有効化する