Horizon と併用する場合の Unified Access Gateway の NIAP CSfC ガイドライン

Horizon と Unified Access Gateway の併用は NIAP/CSfC に準拠しており、検証には NIAP/CSfC 操作に必要な Unified Access Gateway アプライアンス内の特定の構成が必要です。

この構成の変更は次のとおりです。

1. Unified Access Gateway の FIPS バージョンを、VMware vSphere 7 以降にデプロイします。

2. デプロイ中に次のパラメータを構成します。

   **注：**これらのパラメータは、デプロイ時にのみ構成できます。デプロイ中に構成しない場合、Unified Access Gateway にはデフォルト値が含まれます。

   パラメータ	説明
   root パスワード管理ポリシー
   passwordPolicyMinLen	root パスワードの最小長。許容される範囲は 6 ～ 64 文字です。
   passwordPolicyMinClass	root パスワードの最小複雑性。許容される範囲は 1 ～ 4 です。
   rootPasswordExpirationDays	root パスワードが強制的にリセットされるまでの日数。
   passwordPolicyFailedLockout	root ユーザー アクセスが一時的にロックアウトされるまでのログイン試行の失敗回数。許容される範囲は 1 ～ 10 です。
   passwordPolicyUnlockTime	一時的なロックアウト後に root ユーザーのロックが解除されるまでの時間（秒）。許容される範囲は 1 ～ 3600 秒です。
   rootSessionIdleTimeoutSeconds	root ユーザーのアイドル セッションが期限切れになるまでの期間（秒）。
   管理者パスワード管理ポリシー
   adminpasswordPolicyMinLen	管理者パスワードの最小長。
   adminpasswordPolicyFailedLockoutCount	管理者ユーザー アクセスが一時的にロックアウトされるまでのログイン試行の失敗回数。許容される範囲は 1 ～ 100 です。
   adminpasswordPolicyUnlockTime	一時的なロックアウト後に管理者ユーザーのロックが解除されるまでの時間（秒）。許容される範囲は 1 ～ 9999 です。
   adminSessionIdleTimeoutMinutes	管理者ユーザーのアイドル セッションが期限切れになるまでの期間（秒）
   その他のパラメータ
   ログイン バナー テキスト	SSH または Web コンソール ログイン時に表示されるバナー テキスト
   SecureRandom ソース	パラメータは、/dev/random に設定する必要があります。

   これらのパラメータおよび値の詳細については、「デプロイするための PowerShell スクリプトの実行」を参照してください。

3. TLS 証明書の CSR を生成し、Unified Access Gateway 管理者インターフェイスとパブリック インターフェイスの署名証明書をバインドします。詳細については、「uagcertutil コマンドを使用した CSR とプライベート キーの生成」を参照してください。

**注：**チェーン内のすべての証明書に SHA-384 署名があることを確認します。[システム設定] の証明書と TLS 構成で署名アルゴリズムの不一致が発生すると、TLS ハンドシェイクに失敗し、サーバへのアクセスが失われる可能性があります。

4. 管理ユーザー インターフェイスの [システム構成] セクションで、次のパラメータを構成します。

   1. [TLS サーバ暗号スイート] を TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 に構成します。

   2. [TLS クライアント暗号スイート] を以下に構成します。

      TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_CBC_SHA256,TLS_DHE_RSA_WITH_AES_128_CBC_SHA256,TLS_AES_128_GCM_SHA256,TLS_AES_256_GCM_SHA384
      

   3. [SSL プロバイダ] を JDK に構成します。

   4. TLS 名前付きグループを secp256r1,secp384r1,secp521r1,ffdhe2048,ffdhe3072,ffdhe4096,ffdhe6144,ffdhe8192 に構成します。

   5. [TLS 署名スキーム] を rsa_pkcs1_sha384 に構成します。

   6. [管理者の免責事項のテキスト] を構成します。

   7. [ホストとの時刻同期] トグルをオンにします。

   8. [拡張されたサーバ証明書検証] トグルをオンにします。

      **注：**Unified Access Gateway は CRL の LDAP URL をサポートしていません。http URL のみがサポートされています。

5. TLS プロトコルを使用して Syslog サーバ設定を構成します。

   **注：**Syslog サーバ証明書には、extendedKeyUsage が critical extension としてマークされている必要があります。

   •   1.  **[選択]** をクリックして、**[TLS Syslog クライアントの証明書]** と **[TLS Syslog クライアントの証明書キー]** をアップロードします。
     

6. [Syslog にシステム メッセージを含める] トグルをオンにします。

7. [Syslog エントリを追加] をクリックして、次の詳細情報を含む新しい Syslog エントリをテーブルに追加します。

   1. [カテゴリ] を All Events に設定します。
   2. [プロトコル] を TLS に設定します。
   3. Syslog サーバの [ホスト] と [ポート] を追加します。

8. [選択] をクリックして、信頼できる [CA 証明書] をアップロードします。

9. [追加] をクリックして新しいエントリを保存し、[保存] をクリックして Syslog 設定を保存します。

10. X509 証明書認証の設定を構成して有効にします。これらの設定の詳細については、「証明書認証の構成」を参照してください。

    1. [認証設定] で X.509 証明書の構成を開きます。
    2. [X.509 証明書を有効にする] トグルをオンにします。
    3. [選択] をクリックして、クライアントの信頼される [ルートおよび中間 CA 証明書] を PEM 形式でアップロードします。
    4. [証明書の失効] トグルをオンにします。
    5. CRL ベースの証明書失効チェックを構成します。URL を構成して CRL を取得するか、証明書チェーン自体から詳細を読み取るように構成できます。
    6. X.509 証明書認証設定の構成を保存します。

11. SAML ID プロバイダ設定を生成し、SAML サービス プロバイダ設定を構成します。

    1. SAML 設定を開き、SAML ID プロバイダ設定を展開します。
    2. [プライベート キー] と [証明書チェーン]（RSA+SHA384 アルゴリズムで署名）をアップロードして、ID プロバイダの設定を生成します。
    3. Unified Access Gateway の外部 [ホスト名] を指定して、生成された ID プロバイダ設定の XML をダウンロードします。
    4. Connection Server で XML ファイルをアップロードし、SAML メタデータ XML をダウンロードします。
    5. SAML 設定を開き、SAML サービス プロバイダ設定を展開します。
    6. [サービス プロバイダ名] を入力し、SAML の [メタデータ XML] コンテンツを貼り付けます。詳細については、「サービス プロバイダ SAML メタデータのコピー」を参照してください。
    7. SAML サービス プロバイダの設定を保存します。