モバイル SSO（Apple 版）認証を設定するには、Omnissa Access コンソールでモバイル SSO（Apple 版）証明書ベースの認証設定を構成し、証明書ベースの認証用の発行者証明書をアップロードします。
Omnissa Access モバイル SSO（Apple 版）認証方法は、Workspace ONE UEM により管理される iOS デバイス (MDM) 向けの証明書による認証方法の実装です。証明書は UEM デバイス プロファイルに展開され、デバイスがデバイス管理に加入するとデバイスにインストールされます。ユーザーが社内アプリケーションやリソースにアクセスすると、証明書が自動的に表示されるため、自分のデバイスでアプリケーションを開くために認証情報を再入力する必要がなくなります。
クラウドベースの認証方法は、Omnissa Access コンソールの [統合] > [認証方法] ページで構成します。認証方法を構成したら、[統合] > [ID プロバイダ] ページでその認証方法を Omnissa Access 組み込み ID プロバイダに関連付け、[リソース] > [ポリシー] ページで認証方法に適用するアクセス ポリシー ルールを作成します。Workspace ONE UEM Console で、Apple SSO 拡張設定を使用して Apple デバイス プロファイルを構成し、Apple iOS デバイスに展開する UEM 証明書のタイプを定義します。
モバイル SSO（Apple 版）認証のすべてのコンポーネントをインストールして構成する方法については、「Workspace ONE UEM により管理される Apple モバイル デバイス向けの Omnissa Access モバイル SSO（Apple 版）認証の実装」ガイドを参照してください。
**注：**モバイル SSO（Apple 版）認証方法は、iOS デバイスでの使用に推奨される Omnissa Access 認証方法です。iOS 版モバイル SSO 認証を使用している場合は、モバイル SSO（Apple 版）に移行できます。詳細については、「Omnissa Access モバイル SSO（iOS 版）からモバイル SSO（Apple 版）認証方法に移行する方法」を参照してください。
モバイル SSO（Apple 版）の証明書認証の構成
前提条件
-
モバイル SSO（Apple 版）認証用にアップロードする発行者証明書を保存します。Workspace ONE UEM 証明書を使用している場合は、Workspace ONE UEM Console の [システム] > [エンタープライズ統合] > [Omnissa Access] > [構成] ページからルート証明書をエクスポートして保存します。
-
（オプション）証明書認証のための有効な証明書ポリシーのオブジェクト識別子 (OID) のリスト。
-
失効チェックのための、CRL のファイルの場所および OCSP サーバの URL。
-
（オプション）OCSP 応答署名証明書ファイルの場所。
-
（オプション）構成する生体認証を選択します。
-
SSL 接続に TLS 1.3 を使用する場合は、ナレッジベースの記事 KB6000726 を参照して、オプションを有効にする前に完了する必要がある前提条件を確認してください。
手順
-
Omnissa Access コンソールで、[統合] > [認証方法] ページに移動し、[モバイル SSO (Apple 版)] を選択します。
-
[構成] をクリックし、証明書認証設定を構成します。
オプション 説明 証明書アダプタを有効にする トグルを [はい] に切り替えると、証明書認証が有効になります。 SSL 接続に TLS 1.3 を使用する [はい] に切り替えて、SSL 接続で TLS 1.3 を有効にします。TLS 1.3 は、セキュリティの強化とパフォーマンスの向上を提供します。デフォルトでは、TLS 1.2 が使用されます。
注意：このオプションを有効にする前に、[ナレッジベースの記事 KB6000726](https://kb.omnissa.com/s/article/6000726) を参照してください。TLS 1.3 に使用される Certificate Authentication Service (CAS) ホスト名は、TLS 1.2 で使用されるホスト名とは異なります。TLS 1.3 オプションを有効にすると、新しい CAS ホスト名をサポートするためにネットワーク構成（プロキシおよびファイアウォール構成）とデバイス プロファイルの更新が必要になる場合もあります。TLS 1.3 の使用と必要な操作の詳細については、ナレッジベースの記事を参照してください。ルートおよび中間 CA 証明書
アップロードされた CA 証明書保存したルート証明書を Workspace ONE UEM Console から選択してアップロードします。 アップロードされた証明書ファイルがここに表示されます。 ユーザー ID の検索順序 証明書内のユーザー ID を特定する検索順序を選択します。 モバイル SSO（Apple 版）認証の場合、ID 属性の値は、Omnissa Access サービスと Workspace ONE UEM サービスの両方で同じ値にする必要があります。そうしないと、Apple SSO が失敗します。 - upn：サブジェクト代替名の UserPrincipalName の値。
- email：サブジェクト代替名のメール アドレス。
- subject：サブジェクトの UID 値。サブジェクト DN に UID が見つからない場合、CN テキスト ボックスが構成されている場合は、CN テスト ボックスの UID 値が使用されます。
- クライアント証明書の生成に Workspace ONE UEM 認証局 (CA) を使用している場合、ユーザー ID の検索順序は [サブジェクト] | [UPN] にする必要があります。
- サードパーティのエンタープライズ CA を使用する場合は、ユーザー ID の検索順序を [UPN] | [E メール] | [サブジェクト] にして、証明書テンプレートには、サブジェクト名 CN={DeviceUid}:{EnrollmentUser} が含まれている必要があります。必ずコロン (:) を含めるようにしてください。
UPN フォーマットを検証 トグルを [はい] に切り替えて、[UserPrincipalName] テキスト ボックスの形式を検証します。 要求のタイムアウト 応答を待機する時間を秒単位で入力します。ゼロ (0) を入力すると、システムは応答を無期限に待機します。 承認された証明書ポリシー 証明書ポリシー拡張機能で受け入れられるオブジェクト識別子のリストを作成します。 証明書発行ポリシーの objectID 番号 (OID) を入力します。[追加] をクリックして、OID を追加します。 証明書の失効を有効にする トグルを [はい] に切り替えると、証明書の失効チェックが有効になります。 失効チェックにより、ユーザー証明書が失効したユーザーは認証されなくなります。 証明書の CRL を使用する 証明書を発行した CA が公開する証明書失効リスト (CRL) を使用して証明書のステータス（失効しているかどうか）を確認するには、トグルを [はい] に切り替えます。 CRL の場所 証明書失効リストを取得するサーバ ファイル パスまたはローカル ファイル パスを入力します。 OCSP の失効を有効にする 証明書検証プロトコルとして Online Certificate Status Protocol (OCSP) を使用して、証明書の失効ステータスを設定するには、トグルを [はい] に切り替えます。 OCSP の障害時に CRL を使用する CRL と OCSP の両方を設定した場合、OCSP チェック オプションが使用できない場合に CRL を使用するようにフォールバックするには、このトグルを有効にします。 OCSP Nonce を送信する 応答で OCSP 要求の一意の識別子を送信する場合は、このトグルを有効にします。
注：軽量 OCSP (RFC 5019) レスポンダでは、Nonce の送信はサポートされていません。OCSP の URL OCSP による失効を有効にした場合は、失効チェック用の OCSP サーバ アドレスを入力します。 OCSP URL のソース 失効チェックに使用するソースを選択します。 - OCSP URL のテキスト ボックスで指定した OCSP URL を使用して証明書の失効チェックを実行し、証明書チェーン全体を検証するには、[構成のみ] を選択します。
- チェーン内の各証明書の AIA (Authority Information Access) 拡張機能にある OCSP URL を使用して証明書の失効チェックを実行するには、[証明書のみ (必須)] を選択します。チェーン内のすべての証明書には OCSP URL が定義されている必要があります。定義されていない場合、証明書失効チェックは失敗します。
- 証明書の AIA 拡張機能にある OCSP URL のみを使用して証明書の失効チェックを実行するには、[証明書のみ (オプション)] を選択します。証明書の AIA 拡張機能に OCSP URL がない場合は、失効チェックを実行しません。
- OCSP URL が使用可能なときに、チェーン内の各証明書の AIA 拡張機能から抽出された OCSP URL を使用して証明書の失効チェックを実行するには、[構成へのフォールバック付き証明書] を選択します。 OCSP URL が AIA 拡張機能にない場合、フォールバックは OCSP URL テキスト ボックスで構成された OCSP URL を使用して失効を確認することです。OCSP URL のテキスト ボックスには、OCSP サーバ アドレスを設定する必要があります。
OCSP レスポンダの署名証明書
アップロードされた OCSP 署名証明書アップロードする OCSP レスポンダ署名証明書ファイルを選択します。 アップロードされた OCSP レスポンダ署名証明書ファイルがここに表示されます。 発行者 CA 証明書 必要に応じて、このオプションを使用して、モバイル SSO（Apple 版）認証方法で認証するときにユーザーに提示される証明書の数を制限できます。
[ファイルの選択] をクリックし、[ルートおよび中間 CA 証明書] にアップロードされた証明書のサブセットをアップロードして発行者証明書として使用します。アップロードされた [発行者 CA 証明書] によって直接発行された ID 証明書のみがユーザー認証に使用できます。ユーザーがデバイス上で初めて Apple モバイル SSO 認証方法を使用して認証を行う場合（アプリケーションの起動など）、ユーザーはインストールされている ID 証明書のリストから証明書を選択するように求められます。リストには、[発行者 CA 証明書] によって直接発行された証明書のみが含まれます。
[発行者 CA 証明書] に証明書がアップロードされていない場合は、[ルートおよび中間 CA 証明書] にアップロードされたすべての証明書によって発行された ID 証明書がユーザーに提示されます。
重要：[発行者 CA 証明書] は、[ルートおよび中間 CA 証明書] のサブセットである必要があります。
デバイス認証タイプ モバイル SSO（Apple 版）は、デバイス上の証明書を使用して Omnissa Access による認証を実行する前に、生体認証メカニズム（FaceID または TouchID）またはパスコードを使用してデバイスに対してユーザーを認証することを要求する仕組みをサポートしています。ユーザーがパスコードを使用して生体認証または生体認証をバックアップとして検証する必要がある場合は、正しいオプションを選択します。それ以外の場合は、[なし] を選択します。 -
[保存] をクリックします。
構成設定は、モバイル SSO（Apple 版）認証方法ページに表示されます。
次のステップ
組み込み ID プロバイダでモバイル SSO（Apple 版）認証方法を関連付けます。
モバイル SSO（Apple 版）のデフォルトのアクセス ポリシー ルールを構成します。
このページは役に立ちましたか?