Universal Broker 環境で 2 要素認証を実装する際のベスト プラクティス

このトピックでは、Universal Broker サービスへの 2 要素認証を構成するために使用できる手順の概要とベスト プラクティスについて説明します。

Universal Broker での 2 要素認証の仕組み

デフォルトでは、Universal Broker は Active Directory のユーザー名とパスワードのみを使用してユーザーを認証します。追加の認証サービスを指定することで、オプションの 2 要素認証を実装できます。

サービス リリース バージョン 2203 の時点で、Universal Broker は Horizon デプロイと Horizon Cloud on Microsoft Azure デプロイの両方で次の 2 要素認証サービスをサポートしています。

• RADIUS
• RSA SecurID

メモ: Horizon Cloud on Microsoft Azure デプロイで RSA SecurID をサポートするには、それらのポッドがマニフェスト 3139.x 以降を実行している必要があります。これらのポッドで [ポッドを編集] を実行すると、[ゲートウェイ設定] で選択する RSA SecurID オプションが表示されます。

Universal Broker は、ネットワーク ユーザーの 2 要素認証を実行するときに、参加している各ポッド内の外部 Unified Access Gateway インスタンスの構成に依存します。内部 Unified Access Gateway インスタンスを構成して内部ネットワーク ユーザーの認証とルーティングを処理することもできますが、Universal Broker は外部 Unified Access Gateway インスタンスで構成されている認証サービスに基づいて 2 要素認証を行います。

メモ: 参加しているすべてのポッドの外部 Unified Access Gateway インスタンスで適切な 2 要素認証サービスを構成する必要があります。参加しているポッド内のすべての外部 Unified Access Gateway インスタンスの構成は互いに一致する必要があり、他のすべての参加しているポッドの外部 Unified Access Gateway インスタンスの構成と同じである必要があります。そうしないと、Universal Broker サービスへの認証が失敗します。

たとえば、Universal Broker で構成された Horizon ポッドに RADIUS 認証を使用する場合は、参加しているすべての Horizon ポッドのすべての外部 Unified Access Gateway インスタンスで同じ RADIUS サービスを構成する必要があります。一部の参加しているポッドで RADIUS を構成し、他の参加しているポッドで RSA SecurID を構成することはできません。

外部ネットワークと内部ネットワークの両方でユーザーの 2 要素認証を有効にする場合

1. Universal Broker 環境内のポッドごとに、少なくとも 1 つの外部 Unified Access Gateway インスタンスを構成します。すべてのポッドにわたって、すべての外部 Unified Access Gateway インスタンスで同じ 2 要素認証サービスを構成します。

   特定の使用事例の構成ガイドラインに従います。テナントのフリートに次のものがある場合:

   • Horizon ポッドのみ

     すべてのポッドにわたって、すべての外部 Unified Access Gateway インスタンスで RADIUS または RSA SecurID サービスを構成します。

   • Horizon Cloud on Microsoft Azure のデプロイのみ

     すべてのポッドにわたって、すべての外部 Unified Access Gateway インスタンスで同じ 2 要素認証サービスを構成します。すべてのポッドがマニフェスト 3139.x 以降で、ポッドで [ポッドの編集] ウィザードを実行するときに 2 要素認証設定で RSA SecurID オプションが使用可能な場合、RSA SecurID タイプを使用するようにすべてのポッドを構成するオプションがあります。それ以外の場合は、RADIUS タイプを使用できます。

   • Horizon ポッドと Horizon Cloud on Microsoft Azure デプロイの混在

     混合フリートで使用可能なオプションは、Horizon Cloud on Microsoft Azure のデプロイが RSA SecurID オプションを使用するための条件を満たしているかどうかによって異なります。

     • Horizon Cloud on Microsoft Azure のデプロイが RSA SecurID タイプを構成する条件を満たしていない場合は、フリート内のすべてのポッドにわたって、すべての外部 Unified Access Gateway インスタンスで RADIUS サービスを構成できます。
     • Horizon Cloud on Microsoft Azure のデプロイが RSA SecurID タイプを構成するための条件を満たしている場合は、フリート内のすべてのポッドにわたって、すべての外部 Unified Access Gateway インスタンスで RSA SecurID または RADIUS のいずれかを構成できます。 Horizon ポッドについては、 Unified Access Gateway のドキュメント およびHorizon 8 のドキュメントを参照してください。

   For Horizon Cloud pods in Microsoft Azure, see Add a Gateway Configuration to a Deployed Horizon Cloud Pod and Enable Two-Factor Authentication on a Horizon Cloud Pod's Gateways.

2. オプションで、各ポッドの内部 Unified Access Gateway インスタンスを構成します。ユーザー トラフィックを内部および外部の DNS サーバにそれぞれルーティングするには、次のいずれかを実行します。

   • ポッドの内部および外部 Unified Access Gateway インスタンスに個別の FQDN を構成します。
   • ポッドの内部および外部の Unified Access Gateway インスタンスに同じ FQDN を構成します。次に、ポッドのロード バランサの FQDN にスプリット DNS ゾーンを構成します。

3. (Horizon ポッドのみ)Universal Broker に必要なトンネル サーバとプロトコルのリダイレクトをサポートするように、各 Unified Access Gateway インスタンスで JSON Web Token 設定を構成します。Horizon ポッド - Universal Broker で使用するための Unified Access Gateway の構成を参照してください。

4. Universal Broker 構成ウィザードの 認証 ページで、次の設定を指定します。

   1. 2 要素認証 トグルを有効にします。
   2. タイプ には、ポッド全体のすべての外部 Unified Access Gateway インスタンスで構成した認証サービスを選択します。
   3. 2 要素認証をスキップ トグルをオフの位置に設定します。 Universal Broker 設定の構成を参照してください。

外部ネットワーク上のユーザーに対してのみ 2 要素認証を有効にする場合

1. 前のユースケース「外部ネットワークと内部ネットワークの両方でユーザーの 2 要素認証を有効にする場合」の説明に従って、手順 1 から 3 までを完了します。

2. ブローカ ページの ネットワーク範囲 タブで、内部ネットワークを表すパブリック IP アドレス範囲を定義します。Universal Broker の内部ネットワーク範囲の定義を参照してください。

3. Universal Broker 構成ウィザードの 認証 ページで、次の設定を指定します。

   1. 2 要素認証 トグルを有効にします。
   2. タイプ には、ポッド全体のすべての外部 Unified Access Gateway インスタンスで構成した認証サービスを選択します。
   3. 2 要素認証をスキップ トグルを有効にします。 Universal Broker 設定の構成を参照してください。