GlobalProtectでのSAML認証（Extic連携）

GlobalProtectでSAML認証の設定を行ってみます。今回もExticとの連携を行います。基本的にPrisma AccessのSAML認証（Extic編）とやることは同じです。

はじめてのGlobalProtect設定で構築した構成を利用します。

Exticの設定

ユーザー作成

今回は、Prisma AccessのSAML認証（Extic編）で作成したユーザーを流用します。

SAML設定（アプリケーション設定）

今回は、GPがSPとなりますので、新たな

  • 「アプリケーション」タブ → 「使用可能」タブ をクリックします。
  • リストの下の方に、「シングルサインオン（SAML）」という項目があるので、右側の「使用する」をクリックします。
  • 以下の設定を行います。
    • 表示名（任意）を設定します。
    • SAMLの設定は以下を設定します。
      • SAML エンティティID：https://<ポータルURL>:443/SAML20/SP
      • SAML SP エンドポイント URL：https://<ポータルURL>:443/SAML20/SP/ACS
この記載方法はPAシリーズのお作法として覚えておいてください。
なお、＜ポータルURL＞は、GP PortalのURL(IP=今回の構成では10.0.10.254)です。
  • 保存をクリックします。
  • 「使用中」タブに、今回追加登録したSAML Single Sign-onアプリケーション（GP-SAML）が表示されます。
  • 右側のダウンロードボタンをクリックして、「SAML Idp メタデータ」をダウンロードします。

ユーザーへのアプリケーションの割り当て

作成したユーザーに、SAMLアプリケーションを登録します。

  • 「ユーザー」タブで、ユーザー（saml-user001）の右側の「編集」をクリックします。
  • 「アプリケーション」タブに移動すると、今回新たに作成した「GP-SAML」が表示されますので、「使用しない」になっているトグルスイッチ部分をクリックして「使用する」に変更します。
  • 「更新する」をクリックして設定を反映します。

ここまでは、Prisma Accessの設定のときとやることは同じですね。

PA側の設定

続いて、PA側の認証設定を行います。基本的な設定方法はPrisma Accessと同じです。

SAMLサーバープロファイルの作成

  • PAにログインし、左メニューから「DEVICEタブ」→「サーバープロファイル」→「SAMLアイデンティティ プロバイダ」 を選択します。
  • 画面下の「インポート」 をクリックし、以下の設定を行います。
    • プロファイル名：任意の名前
    • アイデンティティ プロバイダ メタデータの右側の「参照」をクリックし、先ほどEXTICからダウンロードしたメタデータファイルを指定します。
    • アイデンティティプロバイダ証明書の検証のチェックを外します。
    • 「OK」をクリックします。
社内運用等でIdP（Entra IDやOktaなど）の信頼性が担保されており、ファイアウォール側での厳密なルート証明書チェーンの検証が不要な場合は、チェックを外すのが一般的？のようです。もちろん厳格に証明書の検証を行うことも可能です。その場合はIdpからルートCA証明書をダウンロードし、証明書プロファイルを作成してください。
  • EXTICのSAML Idpのサーバープロファイルが作成されました。

認証プロファイルの作成

  • 「DEVICE タブ」→「認証プロファイル」に移動して、追加をクリックします。
  • 認証プロファイルで、以下の設定を行います。
    • 名前：任意の名前を設定します。（SAML-EXTIC）
    • 認証タブ
      • タイプ：SAMLを選択
      • Idpサーバープロファイル：先ほど作成したサーバープロファイルを選択（SAML-EXTIC）
  • 詳細タブ
    • 「追加」をクリックし、SAML認証を許可するユーザーを選択します。（今回は「all」を選択します。）
  • EXTICのSAMLの認証プロファイルが作成されました。

GP Portalの認証設定の変更

  • 「DEVICEタブ」→「Global Protect」→「ポータル」に移動し、「GP-PORTAL」をクリックします。
  • 「GlobalProtectポータルの設定」で「認証タブ」を選択し、クライアント認証に設定した「ANY-OS」をクリックします。
  • 「クライアント認証」で、認証プロファイルを先ほど作成した「SAML-EXTIC-PROFILE」に変更し、「OK」をクリックしてウィンドウを全て閉じます。

GP Gatewayの認証設定の変更

GP Portalと同じことをGatewayでも実施します。

  • 「DEVICEタブ」→「Global Protect」→「ゲートウェイ」に移動し、「GP-GATEWAY」をクリックします。
  • 「GlobalProtectゲートウェイ設定」で「認証タブ」を選択し、クライアント認証に設定した「ANY-OS」をクリックします。
  • 「クライアント認証」で、認証プロファイルを先ほど作成した「SAML-EXTIC-PROFILE」に変更し、「OK」をクリックしてウィンドウを全て閉じます。

接続確認

PCのGP AgentからVPN接続を行います。

  • GP Portal のアドレスを確認して「接続」をクリックします。

すると、extic（SAML）の認証画面が表示されます。

  • ユーザー名、パスワードを入力して「次へ」をクリックします。
  • 無事接続されました。
タイトルとURLをコピーしました