サイト Web プロキシ (EA) によるトラフィックルーティング

Entra SCIM プロビジョニングスキーマを拡張し、以下の属性を Microsoft Entra ID から Cato SCIM アプリケーションに同期します:

• onPremisesSamAccountName: 従来の Windows ログオン名。 これは、sAMAccountName 属性を必要とする Windows 認証およびレガシーアプリケーションで使用されます。

• onPremisesDomainName: ユーザー アカウントの関連付けられたオンプレミスの Active Directory ドメインの完全修飾ドメイン名（FQDN）。 これは、Kerberos 認証中にユーザーを識別するためにonPremisesSamAccountNameと共に使用されます。

注記:

• ユーザープロビジョニングが開始される前にこの設定を適用する必要があります。 もしこれが不可能な場合は、設定が適用された後にCato SCIMアプリケーションに同期を実行します

• スキーマを編集する前に、JSON ドキュメントのコピーを保存することをお勧めします。 これにより、エラーが発生した場合、元の設定を復元できます。

• 非認証トラフィック用のプロキシインスタンスのみを設定している場合、このステップは不要です。

• スキーマに表示される正確な名前は、Microsoft Entraプロビジョニングテンプレートのバージョンによって異なる場合があります。 以下の例をリファレンスとして使用し、スキーマ内の対応するEntraのソース、Catoのターゲット、およびユーザープロビジョニングマッピングオブジェクトを特定します。

ユーザー アイデンティティ属性をマップするには:

1. Entra 管理センター に移動し、エンタープライズアプリケーションに進みます。

2. Cato Networks SCIM アプリケーションを開きます。

3. プロビジョニング をクリックし、プロビジョニングの編集を行います。

4. マッピング セクションを展開し、Azure Active Directory ユーザーのプロビジョニング をクリックして、詳細オプションを表示 を選択します。

5. スキーマをここで閲覧 をクリックします。
   JSON スキーマドキュメントが開きます。

6. "name": "Microsoft Entra ID'を検索し、Entra ソース属性をプロビジョニング マッピングに使用できるようにするために、Ctrl+F を使用して検索します。

7. "attributes" 配列を特定します (directories[] > "Microsoft Entra ID" > objects[] > User > attributes[])、最終的な属性オブジェクトは onPremisesSecurityIdentifier です。

8. 最後の属性にコンマを追加し、以下のエントリを閉じる ] の前に貼り付けます。

   Entra ソース属性を公開するためのエントリ

   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesSamAccountName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   },
   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesDomainName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   }

9. Cato SCIMスキーマに対応するターゲットSCIM拡張属性を追加するには、Catoのターゲットディレクトリを見つけます。 "name": \"Cato Networks Provisioning\"または"name": \"CatoNetworks\"を検索します。 いずれも存在しない場合は、"catonetworks"を検索し、Catoユーザーオブジェクトのattributes配列を見つけます。

10. 最後の属性にコンマを追加し、以下のエントリを閉じる ] の前に貼り付けます。

    SCIM 拡張属性に対応するターゲットを追加するためのエントリ

    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    },
    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    }

11. Entra属性とCato SCIM属性間の同期マッピングを作成するには、Microsoft Entra IDからCatoへのユーザープロビジョニングマッピングを見つけます。 "Provision Azure Active Directory Users"または"Provision Microsoft Entra ID Users"を検索し、そのオブジェクトのattributeMappings配列を見つけます。

12. その配列の末尾に最後の }, を見つけて、以下のエントリを閉じる ] の前にコンマを追加して貼り付けます。

    Entra と Cato SCIM 属性間のマッピングを同期するためのエントリ

    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "source": {
        "expression": "[onPremisesSamAccountName]",
        "name": "onPremisesSamAccountName",
        "type": "Attribute",
        "parameters": []
      }
    },
    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "source": {
        "expression": "[onPremisesDomainName]",
        "name": "onPremisesDomainName",
        "type": "Attribute",
        "parameters": []
      }
    }

13. 「保存」をクリックします。 スキーマテキストエディタ保存完了メッセージが表示されます。
    

14. Cato Networks SCIM アプリケーションで、プロビジョニングの後にプロビジョニングの編集をクリックします。

15. マッピング セクションを展開し、Azure Active Directory ユーザーのプロビジョニング をクリックして、詳細オプションを表示 を選択します。

16. 数分後、これらのマッピングが表示されることを確認します:

    • sAMAccountName → onPremisesSamAccountName

    • onPremisesDomainName → onPremisesDomainName

プロキシインスタンスはサイト、エンドポイント、および認証方法を定義します。 サポートされている認証オプションは次のとおりです:

• Kerberos: プロキシはデバイスの Kerberos チケット内のアイデンティティに対して各リクエストを認証し、すべてのセッションを特定のユーザーに結び付けます。 これにより、ユーザー ベースのポリシーを適用できます。
  Kerberos認証を使用するには、Kerberos Key Distribution Center (KDC) で KEYTAB ファイルを生成します。 KEYTAB ファイルは、Cato PoP が Kerberos チケットを検証し、ユーザーのアイデンティティを確認することを可能にする秘密を含んでいます。

• 認証なし: プロキシはユーザー認証を適用しません。 ユーザーベースのポリシーは適用されません。

プロキシインスタンスを作成するには：

1. From the navigation menu, select Resources > Site Web Proxy.

2. 新規、次に新規プロキシをクリックします。

3. プロキシインスタンスの名前を追加し、プロキシに関連付けするサイトを選択します。

4. デバイスがプロキシに接続するために使用するFQDNとプロキシインスタンス用のポートを入力します。注: DNS解決のための対応するIPが表示されます。
   

5. 認証方法を選択します。
   

6. Kerberos が 認証方法 として選択された場合、KEYTAB ファイルをアップロードします。 非認証プロキシインスタンスを作成する場合は、このステップは不要です。

7. 適用してルールを作成をクリックします。
   プロキシインスタンスが作成されました。

プロキシインスタンスが作成されたら、ネットワークルールを定義します。 各ルールはソース、宛先、およびアクションから構成されています。 利用可能なアクションはプロキシインスタンスの認証方法に依存します。

• Kerberosプロキシインスタンスは以下のアクションをサポートします：

  • 認証: トラフィックは Kerberos 認証を必要とします

  • 許可: トラフィックは認証なしで許可されます。 特定のデバイス、サービス、または宛先が認証をバイパスできるときは、許可ルールを使用します。 許可するルールは、すべての認証ルールの上に配置する必要があります。
    注: 許可アクションは Kerberos 認証を指します。 非認証トラフィックはセキュリティエンジンによって検査され、セキュリティポリシーによってブロックされる可能性があります。

• 非認証プロキシインスタンスの場合、許可アクションのみが利用可能です

サイトWebプロキシルールベースのいずれのルールにも一致しないトラフィックは、最終システムルールによってブロックされます。

ネットワークルールを定義するには：

1. From the navigation menu, select Resources > Site Web Proxy.

2. 新規、次に新規プロキシルールをクリックします。 新しいプロキシルールパネルが開きます。 注: プロキシインスタンスを作成した直後にネットワークルールを定義する場合、新しいプロキシルールパネルが自動的に表示されます。

3. ルールの名前を入力し、ルールが適用されるプロキシを選択し、ルールベース内のルールの位置を選択します。

4. ルールで施行されるソースを追加します。 サポートされているソースは IPアドレスまたはネットワーク サブネットです。
   注: すべてのソースにルールを適用するには、このセクションを空白のままにします。

5. ルールが適用される宛先を定義します。 注: ルールをすべての宛先に適用する場合、このセクションを空白のままにします。

6. ルールによって適用されるアクションを選択します。

7. 適用 をクリックします。

8. 公開をクリックします。

9. サイトWebプロキシトグルを有効に設定します。

デバイスのプロキシ設定を構成して、Web トラフィックをサイト Web プロキシに送信します。 推奨される方法は PAC ファイルを使用することですが、手動でも行うことができます。