Horizon Cloud ポッドのゲートウェイでの 2 要素認証設定の変更または無効化

[ポッドの編集] ワークフローを使用して、ポッドのゲートウェイの 2 要素認証設定を変更したり、2 要素認証を完全に無効にしたりできます。設定を変更するときは、基本的に 2 要素認証設定のセットに新しい名前を入力し、必要な新しい設定を入力し、特定のゲートウェイに新しい名前が選択されていることを確認して保存します。2 要素認証設定を変更するには、[ポッドの編集] ワークフローを使用します。

メモ: テナントが Universal Broker を使用するように構成され、ブローカの設定で 2 要素認証が有効になっている場合は、フリート内のすべてのポッドの外部ゲートウェイで同じ 2 要素認証タイプを設定する必要があります。このシナリオでは、これらの手順を実行して外部ゲートウェイに 2 要素認証を追加すると、ユーザー インターフェイスはブローカ設定での設定と一致する 2 要素認証タイプの選択を強制します。

前提条件

ゲートウェイの 1 つに対して 2 要素認証を有効なままにして、特定の設定を変更する場合は、次の情報があることを確認します。

• 2 要素認証サーバがオンプレミスの場合は、そのゲートウェイの Unified Access Gateway インスタンスがそのサーバへのルーティングを解決できるように、次のフィールドに関連する情報があることを確認します。

  オプション	説明
  addresses	オンプレミス認証サーバの名前を解決できる DNS サーバのアドレスを 1 つ以上指定します。
  ルート	ポッドの Unified Access Gateway インスタンスがネットワーク ルーティングをオンプレミス認証サーバに解決できるようにする 1 つ以上のカスタム ルートを指定します。 たとえば、オンプレミスの RADIUS サーバがその IP アドレスとして 10.10.60.20 を使用している場合、10.10.60.0/24 とデフォルト ルートのゲートウェイ アドレスをカスタム ルートとして使用することになります。この環境で使用している Express ルートまたは VPN 構成からデフォルト ルートのゲートウェイ アドレスを取得します。 カスタム ルートをカンマ区切りリストとして ipv4-network-address/bits ipv4-gateway-address の形式で指定します。たとえば、 192.168.1.0/24 192.168.0.1, 192.168.2.0/24 192.168.0.2 のようになります。

• 次の情報が認証サーバの構成で使用されていることを確認し、ポッドのデプロイ ウィザードの適切なフィールドに指定できるようにします。RADIUS 認証サーバを使用していて、プライマリ サーバとセカンダリ サーバの両方がある場合は、それぞれの情報を取得します。

  • RADIUS

    プライマリおよび補助 RADIUS サーバの両方の設定を構成している場合は、それぞれの情報を取得します。

    • 認証サーバの IP アドレスまたは DNS 名

    • 認証サーバのプロトコル メッセージの暗号化と復号化に使用される共有シークレット

    • 認証ポート番号(通常、RADIUS の場合は 1812/UDP)。

    • 認証タイプ認証タイプには、PAP(パスワード認証プロトコル)、CHAP(チャレンジ ハンドシェイク認証プロトコル)、MSCHAP1、MSCHAP2(Microsoft チャレンジ ハンドシェイク認証プロトコル、バージョン 1 および 2)があります。

      メモ: RADIUS ベンダーが推奨する認証プロトコルについては、RADIUS ベンダーのドキュメントを確認し、指定されたプロトコル タイプに従ってください。RADIUS による 2 要素認証をサポートするポッドの機能は、Unified Access Gateway インスタンスによって提供され、Unified Access Gateway は PAP、CHAP、MSCHAP1、および MSCHAP2 をサポートします。通常、PAP の安全性は MSCHAP2 よりも低くなります。また、PAP は MSCHAP2 よりもシンプルなプロトコルです。その結果、ほとんどの RADIUS ベンダーはよりシンプルな PAP プロトコルと互換性がありますが、一部の RADIUS ベンダーはより安全な PAP プロトコルとの互換性がありませんMSCHAP2。

  • RSA SecurID

    メモ: RSA SecurID タイプは、マニフェスト 3139.x 以降を実行している Horizon Cloud on Microsoft Azure デプロイでサポートされます。2022 年 3 月中旬以降、[ポッドの追加] ウィザードと [ポッドの編集] ウィザードで RSA SecurID タイプを指定するユーザー インターフェイス オプションが表示され、選択できるようになります。

    • RSA SecurID Authentication Manager サーバからのアクセス キー。
    • RSA SecurID 通信ポート番号。通常は 5555 で、RSA SecurID 認証 API の RSA 認証マネージャ システム設定で設定されます。
    • RSA SecurID Authentication Manager サーバのホスト名。
    • その RSA SecurID Authentication Manager サーバの IP アドレス。
    • RSA SecurID Authentication Manager サーバまたはそのロード バランサ サーバに自己署名証明書がある場合は、[ポッドの追加] ウィザードで CA 証明書を指定する必要があります。証明書は PEM 形式(ファイル タイプは .cer または .cert または .pem) である必要があります

手順

1. 編集 をクリックして、ポッドの詳細ページから [ポッドの編集] ウィンドウを開きます。

2. [ポッドを編集] ウィンドウで、 次へ をクリックして ゲートウェイ設定 の手順に移動します。

   この手順には、外部ゲートウェイ構成のセクションと内部ゲートウェイ構成のセクションが含まれます。ユーザー インターフェイスには、ポッドの現在の構成とすでに存在するゲートウェイ設定が反映されます。

3. 2 要素認証を変更するゲートウェイ タイプ(外部または内部)のウィンドウに移動します。

4. ゲートウェイで 2 要素認証を無効にするには、 2 要素認証を有効にする トグルをオフに切り替えてから、 手順 9 に移動して変更を保存します。

   他のゲートウェイでも 2 要素認証が有効になっていて、それを無効にする場合は、その他のゲートウェイのセクションでトグルをオフにします。

5. ゲートウェイに設定されている特定の 2 要素認証設定を変更するには、次の手順に進みます。

   新しい 2 要素認証値セットの新しい名前を作成し、ウィンドウのゲートウェイ セクションで選択した新しい名前を使用して構成を保存します。

6. 構成名 フィールドに、この構成の識別名を入力します。

7. プロパティ セクションで、アクセスの認証に使用するログイン画面でのエンド ユーザーの操作に関連する詳細を指定します。

   ウィザードには、Horizon Cloud on Microsoft Azure デプロイがゲートウェイ構成での使用をサポートする構成に基づいてフィールドが表示されます。フィールドは、選択した 2 要素認証タイプによって異なります。選択したタイプ(RADIUS または RSA SecurID)に対応する以下の表を参照してください。

   • RADIUS

     フィールドに入力するときに、プライマリ認証サーバの詳細を指定する必要があります。セカンダリ認証サーバがある場合は、 補助サーバ トグルを有効にして、そのサーバの詳細も指定します。

     オプション	説明
     表示名	このフィールドは空白のままにすることができます。このフィールドはウィザードに表示されますが、Unified Access Gateway 構成の内部名のみを設定します。この名前は Horizon Client では使用されません。
     表示のヒント	オプションで、RADIUS ユーザー名とパスコードの入力をユーザーに求められたときにエンドユーザー クライアントのログイン画面でエンド ユーザーに表示されるメッセージにテキスト文字列を入力します。指定したヒントは、エンド ユーザーに DisplayHint ユーザー名とパスコードを入力してください のように表示されます。ここで、DisplayHint はこのフィールドに指定するテキストです。 このヒントを参考にして、ユーザーは正しい RADIUS パスコードを入力することができます。たとえば、 Example Company user name and domain password below のようなフレーズを指定すると、エンド ユーザーに ユーザー名およびパスコードにExample Company user name and domain password below と入力してくださいというプロンプトが表示されます。
     名前 ID のサフィックス	この設定は、ポッドがシングル サインオンに TrueSSO を使用するように構成されている SAML シナリオで使用されます。オプションで、ポッド マネージャへの要求で送信される SAML アサーション ユーザー名に追加される文字列を指定します。たとえば、ユーザー名が user1 としてログイン画面に入力され、ここで @example.com の名前 ID サフィックスが指定された場合、 user1@example.com という SAML アサーション ユーザー名が要求で送信されます。
     反復回数	この RADIUS システムを使用してログインを試行するときに、ユーザーが認証に失敗することが許可される最大回数を入力します。
     ユーザー名を維持	このトグルを有効にすると、クライアント、Unified Access Gateway インスタンス、および RADIUS サービス間で発生する認証フロー中にユーザーの Active Directory ユーザー名が維持されます。有効にすると、次のようになります。 ユーザーは、Active Directory 認証と同じユーザー名認証情報を RADIUS でも利用できる必要があります。 ユーザーはログイン画面でユーザー名を変更できません。 このトグルをオフにすると、ユーザーはログイン画面で別のユーザー名を入力できます。 注: Horizon Cloudで ユーザー名を維持 を有効にすることとドメイン セキュリティ設定の関係については、 [全般設定] 画面でのドメイン セキュリティ設定 トピックを参照してください。
     ホスト名/IP アドレス	認証サーバの DNS 名または IP アドレスを入力します。
     共有シークレット	認証サーバと通信するためのシークレットを入力します。この値は、サーバで構成された値と同じである必要があります。
     認証	認証トラフィックを送受信するために認証サーバで構成されている UDP ポートを指定します。デフォルトは 1812 です。
     アカウント ポート	オプションで、アカウンティング トラフィックを送受信するために認証サーバで構成されている UDP ポートを指定します。デフォルトは 1813 です。
     メカニズム	指定された認証サーバでサポートされ、デプロイされたポッドで使用する認証プロトコルを選択します。
     サーバ タイムアウト	ポッドが認証サーバからの応答を待機する秒数を指定します。この秒数が経過した後、サーバが応答しない場合は再試行が送信されます。
     再試行の最大回数	ポッドが認証サーバへの失敗した要求を再試行する最大回数を指定します。
     レルム プリフィックス	オプションとして、名前が認証サーバに送信されるときに、システムによってユーザー名の先頭に付けられる文字列を指定します。ユーザー アカウントの場所はレルムと呼ばれます。 たとえば、ユーザー名がログイン画面で user1 として入力され、 DOMAIN-A\ の領域プレフィックスがここで指定された場合、システムは認証サーバーに DOMAIN-A\user1 を送信します。レルムのプリフィックスを指定しない場合、入力したユーザー名だけが送信されます。
     レルムのサフィックス	オプションとして、名前が認証サーバに送信されるときにシステムによってユーザー名の後に追加される文字列を指定します。たとえば、ユーザー名がログイン画面に user1 として入力され、レルムのサフィックスとして @example.com がここで指定された場合、システムは認証サーバに user1@example.com を送信します。

   • RSA SecurID

     オプション	説明
     アクセス キー	システムの RSA SecurID 認証 API 設定で取得した、RSA SecurID システムのアクセス キーを入力します。
     サーバ ポート	通信ポートに対するシステムの RSA SecurID 認証 API 設定で構成された値を指定します。通常はデフォルトで 5555 です。
     サーバ ホスト名	認証サーバの DNS 名を入力します。
     サーバ IP アドレス	認証サーバの IP アドレスを入力します。
     反復回数	ユーザーが 1 時間ロックアウトされるまでに許可される認証試行の最大失敗回数を入力します。デフォルトは 5 回です。
     CA 証明書	この項目は、RSA SecurID Authentication Manager サーバまたはそのロード バランサが自己署名証明書を使用する場合に必要です。この場合、CA 証明書をコピーしてこのフィールドに貼り付けます。このページで説明したように、証明書情報は PEM 形式で指定する必要があります。 サーバにパブリック認証局 (CA) によって署名された証明書がある場合、このフィールドはオプションです。
     認証タイプ	タイムアウトになるまでに、Unified Access Gateway インスタンスと RSA SecurID 認証サーバ間で認証を試行できる秒数を指定します。デフォルトは 180 秒です。

8. 必要な設定をすべて完了したら、 保存して終了 をクリックします。

   確認メッセージが表示され、ワークフローの開始を確認するよう求められます。

9. はい をクリックしてワークフローを開始します。

タスクの結果

システムがポッドへの新しい構成のデプロイを完了するまで、2 要素認証を追加したゲートウェイのポッドのサマリ ページのセクションには、保留中 ステータスが表示されます。

ワークフローが完了すると、ステータスに 準備完了 と表示され、ゲートウェイの 2 つの認証設定がページに表示されます。

メモ: Microsoft Azure China のポッドに対してこのワークフローを実行する場合、プロセスが完了するまでに 1 時間以上かかることがあります。このプロセスは地理的なネットワークの問題の影響を受け、バイナリがクラウド制御プレーンからダウンロードされるときにダウンロード速度が低下する可能性があります。

次のタスク

重要: ゲートウェイの 2 要素認証設定の値を新しいものに変更する場合、エンド ユーザーが新しい 2 要素認証値を持つゲートウェイの使用を再開する前に、次のタスクを実行する必要があります。

• ポッドの外部ゲートウェイに 2 要素認証が構成されていて、ゲートウェイの Unified Access Gateway インスタンスがデプロイされているのと同じ VNet トポロジ内で 2 要素認証サーバにアクセスできない場合は、ゲートウェイ構成で指定した 2 要素認証サーバが、外部ゲートウェイのロード バランサの IP アドレスからの通信を許可していることを確認します。

  このシナリオでは、ゲートウェイのデプロイと同じ VNet トポロジ内で 2 要素認証サーバにアクセスできないため、Unified Access Gateway インスタンスは、そのロード バランサ アドレスを使用してそのサーバとの接続を試みます。その通信トラフィックを許可するには、その外部ゲートウェイのリソース グループにあるロード バランサ リソースの IP アドレスが、2 要素認証サーバの構成で許可されたクライアントまたは登録されたエージェントとして指定されていることを確認します。その通信を許可する方法の詳細については、2 要素認証サーバのドキュメントを参照してください。

• 同じ VNet トポロジ内で 2 要素認証サーバにアクセスできる場合は、Microsoft Azure のデプロイの Unified Access Gateway インスタンス用に作成された適切な NIC からの通信を許可するように 2 要素認証サーバが構成されていることを確認します。

  ネットワーク管理者は、展開に使用される Azure VNet トポロジとそのサブネットに対する 2 要素認証サーバのネットワーク可視性を決定します。2 要素認証サーバは、ネットワーク管理者が 2 要素認証サーバにネットワーク可視性を与えたサブネットに対応する Unified Access Gateway インスタンスの NIC の IP アドレスからの通信を許可する必要があります。

  Microsoft Azure のゲートウェイのリソース グループには、そのサブネットに対応する 4 つの NIC があり、そのうち 2 つが 2 つの Unified Access Gateway インスタンスに対して現在アクティブです。もう 2 つはアイドル状態で、ポッドとそのゲートウェイが更新を完了した後にアクティブになります。

  実行中のポッド操作のため、および各ポッドの更新後のために、ゲートウェイと 2 要素認証サーバ間の通信トラフィックをサポートするには、これらの 4 つの NIC の IP アドレスが、そのサーバの構成で許可されたクライアントまたは登録されたエージェントとして指定されていることを確認します。その通信を許可する方法の詳細については、2 要素認証サーバのドキュメントを参照してください。

これらの IP アドレスを取得する方法については、 必要な Horizon Cloud ポッド ゲートウェイ情報を使用した 2 要素認証システムの更新を参照してください。