チュートリアル: ヘッダーベースのシングルサインオン用に F5 BIG-IP Access Policy Manager を構成する

[アーティクル]
04/18/2024

F5 BIG-IP 詳細構成を使用して、ヘッダーベースのアプリケーションへのシングルサインオン (SSO) によるセキュアハイブリッドアクセス (SHA) を実装する方法について学習します。 BIG-IP 公開アプリケーションと Microsoft Entra 構成には、次のような利点があります:

Microsoft Entra 事前認証と条件付きアクセスによるゼロトラストガバナンスの改善
- 「条件付きアクセスとは」を参照してください。
- 「ゼロトラストセキュリティ」を参照してください
Microsoft Entra ID と BIG-IP の公開済みサービス間の完全な SSO
マネージド ID と 1 つのコントロールプレーンからのアクセス
- 「Microsoft Entra 管理センター」を参照してください

詳細情報:

シナリオの説明

このシナリオでは、HTTP 認可ヘッダーを使用して保護されたコンテンツへのアクセスを制御するレガシアプリケーションがあるとします。理想的には、Microsoft Entra ID がアプリケーションアクセスを管理します。ただし、レガシには最新の認証プロトコルがありません。最新化には労力と時間がかかりますが、ダウンタイムのコストとリスクが発生します。代わりに、パブリックインターネットと内部アプリケーションの間に BIG-IP をデプロイして、アプリケーションへの受信アクセスをゲートします。

アプリケーションの前に BIG-IP を置くことにより、Microsoft Entra の事前認証およびヘッダーベース SSO をサービスにオーバーレイできます。この構成により、アプリケーションのセキュリティ態勢が向上します。

シナリオのアーキテクチャ

このシナリオのためのセキュアハイブリッドアクセスソリューションは、次のもので構成されます。

アプリケーション - Microsoft Entra SHA によって保護される BIG-IP 公開サービス
Microsoft Entra ID - ユーザーの資格情報、条件付きアクセス、BIG-IP に対する SSO を検証する Security Assertion Markup Language (SAML) ID プロバイダー (IdP)
- SSO を使用すると、Microsoft Entra ID により、ユーザー識別子を含むBIG-IP必須の必要なセッション属性が提供されます
BIG-IP - アプリケーションに対するリバースプロキシおよび SAML サービスプロバイダー (SP)。バックエンドアプリケーションへのヘッダーベースの SSO の前に認証を SAML IdP に委任します

次の図は、Microsoft Entra ID、BIG-IP、APM、アプリケーションを使ったユーザーフローを示しています。

ユーザーがアプリケーションの SAML SP エンドポイント (BIG-IP) に接続します。
BIG-IP APM アクセスポリシーは、ユーザーを Microsoft Entra ID (SAML IdP) にリダイレクトします。
Microsoft Entra によってユーザーの事前認証が行われ、ConditionalAccess ポリシーが適用されます。
ユーザーは BIG-IP (SAML SP) にリダイレクトされ、発行された SAML トークンを使用して SSO が実行されます。
BIG-IP によって、Microsoft Entra 属性がアプリケーションへの要求のヘッダーとして挿入されます。
アプリケーションが要求を承認し、ペイロードを返します。

前提条件

このシナリオでは、以下が必要です。

Azure サブスクリプション
- お持ちでない場合は、Azure 無料アカウントを取得してください。
次のいずれかのロール: クラウドアプリケーション管理者、アプリケーション管理者
BIG-IP、または Azure に BIG-IP Virtual Edition (VE) をデプロイします
- 「F5 BIG-IP Virtual Edition 仮想マシンを Azure にデプロイする」を参照してください
次のいずれかの F5 BIG-IP ライセンス:
- F5 BIG-IP® Best バンドル
- F5 BIG-IP Access Policy Manager™ (APM) スタンドアロンライセンス
- BIG-IP F5 BIG-IP® Local Traffic Manager™ (LTM) に対する F5 BIG-IP Access Policy Manager™ (APM) アドオンライセンス
- 90 日間の BIG-IP 全機能試用版ライセンス。無料試用版に関するページを参照してください。
オンプレミスのディレクトリから Microsoft Entra ID に同期されたユーザー ID
- Microsoft Entra Connect 同期: 同期を理解してカスタマイズする
HTTPS でサービスを公開するための SSL 証明書。または、テスト中は既定の証明書を使用します
- 「SSL プロファイル」を参照してください
ヘッダーベースのアプリケーション、またはテスト用の IIS ヘッダーアプリ

BIG-IP の構成方法

次の手順は、SHA を実装するための柔軟な方法である高度な構成方法です。 BIG-IP 構成オブジェクトを手動で作成します。ガイド付き構成テンプレートに含まれていないシナリオでは、この方法を使用します。

注意

サンプルの文字列または値は、実際の環境のものに置き換えてください。

Microsoft Entra ギャラリーから F5 BIG-IP を追加する

ヒント

この記事の手順は、開始するポータルによって若干異なる場合があります。

SHA を実装するには、最初の手順として、BIG-IP APM と Microsoft Entra ID の間に SAML フェデレーション信頼を設定します。この信頼により、公開サービスへのアクセスを許可する前に BIG-IP が、あらかじめ事前認証と条件付きアクセスを Microsoft Entra ID に引き継ぐための統合が確立されます。

詳細情報: 条件付きアクセスとは

クラウドアプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズアプリケーション]>[すべてのアプリケーション] に移動します。
上部のリボンで、[+ 新規アプリケーション] を選択します。
ギャラリーで「F5」を検索します。
[F5 BIG-IP APM Microsoft Entra ID 統合] を選びます。
アプリケーションの名前を入力します。
[追加/作成] を選択します。
名前にはサービスが反映されます。

Microsoft Entra SSO の構成

新しい F5 アプリケーションのプロパティが表示されます
[管理]>[シングルサインオン] を選択します
[シングルサインオン方式の選択] ページで、 [SAML] を選択します。
シングルサインオンの設定を保存するかどうかを確認するメッセージをスキップします。
[いいえ、後で保存します] を選択します。
[SAML によるシングルサインオンのセットアップ] で [基本的な SAML 構成] のペンアイコンを選択します。
[識別子] URL を、BIG-IP で公開されたサービス URL に置き換えます。たとえば、https://mytravel.contoso.com のように指定します。
[応答 URL] を繰り返し、APM SAML エンドポイントパスを含めます。たとえば、https://mytravel.contoso.com/saml/sp/profile/post/acs のように指定します。

Note

この構成では、SAML フローは IdP モードで動作します。アプリケーションの BIG-IP サービスエンドポイントへのリダイレクトの前に、Microsoft Entra ID がユーザーに SAML アサーションを発行します。 BIG-IP APM では、IdP モードと SP モードがサポートされています。
[ログアウト URI] には、サービスホストヘッダーが前についた BIG-IP APM シングルログアウト (SLO) エンドポイントを入力します。 SLO URI を使用すると、Microsoft Entra のサインアウト後にユーザー BIG-IP APM セッションが終了します。例えば、 https://mytravel.contoso.com/saml/sp/profile/redirect/slr

Note

Traffic Management Operating System (TMOS) v16 以降、SAML SLO エンドポイントは /saml/sp/profile/redirect/slo に変更されました。
[保存] を選択します。
SAML 構成を終了します。
SSO テストプロンプトをスキップします。
[ユーザー属性とクレーム] > [+ 新しいクレームの追加] を編集するには、ペンアイコンを選択します。
[名前] で [Employeeid] を選択します。
[ソース属性] で [user.employeeid] を選択します。
[保存] を選びます。

[要求の管理] ダイアログの [名前] と [ソース属性] の入力のスクリーンショット。

[+ グループ要求を追加する] を選択します
[アプリケーションに割り当てられているグループ]>[ソース属性]>[sAMAccountName] を選択します。

[グループ要求] ダイアログの [ソース属性] の入力のスクリーンショット。

構成の [保存] を選択します。
ビューを閉じます。
[ユーザー属性とクレーム] セクションのプロパティを確認してください。 Microsoft Entra ID によって BIG-IP APM 認証とバックエンドアプリケーションへの SSO のためのユーザープロパティが発行されます。

ユーザー属性とクレーム情報 (姓、メールアドレス、ID など) のスクリーンショット。

Note

BIG-IP 公開アプリケーションがヘッダーとして想定するその他の要求を追加します。 Microsoft Entra ID では、より明確に定義された要求が発行されます。要求を発行する前に、 Microsoft Entra ID でディレクトリメンバーシップとユーザーオブジェクトを定義します。 Microsoft Entra ID を使用してアプリケーションのグループ要求を構成するを参照してください。

[SAML 署名証明書] セクションで、[ダウンロード] を選択します。
フェデレーションメタデータ XML ファイルがコンピューターに保存されます。

Microsoft Entra ID によって作成された SAML 署名証明書の有効期間は 3 年です。

Microsoft Entra 承認

既定では、Microsoft Entra ID で、サービスへのアクセスが許可されているユーザーにトークンが発行されます。

アプリケーションの構成ビューで、 [ユーザーとグループ] を選択します
[ユーザーの追加] を選択し、[割り当ての追加] で [ユーザーとグループ] を選択します。
[ユーザーとグループ] ダイアログで、ヘッダーベースのアプリケーションへのアクセス権限を持つユーザーグループを追加します。
[選択] を選択します。
[割り当て] を選択します。

Microsoft Entra SAML フェデレーション信頼が完了しました。次に、BIG-IP APM を設定して Web アプリケーションを発行し、プロパティを構成して SAML 事前認証の信頼を完了します。

詳細な構成

SAML、ヘッダー SSO、アクセスプロファイルなどを構成するには、次のセクションを使用します。

[SAML 構成]

公開アプリケーションを Microsoft Entra ID とフェデレーションするには、BIG-IP SAML サービスプロバイダーと対応する SAML IdP オブジェクトを作成します。

[Access](アクセス)>[Federation](フェデレーション)>[SAML Service Provider](SAML サービスプロバイダー)>[Local SP Services](ローカル SP サービス)>[Create](作成) の順に選択します。
[名前] を入力します。
Microsoft Entra ID で定義した [エンティティ ID] を入力します。
[SP 名の設定] は、エンティティ ID が公開 URL のホスト名と一致しない場合に選択します。または、通常のホスト名ベースの URL 形式でない場合に選択します。エンティティ ID が urn:mytravel:contosoonline の場合は、外部スキームとアプリケーションのホスト名を指定します。
下にスクロールして、新しい SAML SP オブジェクトを選択します。
[IdP コネクタのバインドまたはバインド解除] を選択します。
[新しい IdP コネクタの作成] を選択します。
ドロップダウンから、[メタデータから] を選択します。
ダウンロードしたフェデレーションメタデータ XML ファイルを参照します。
外部 SAML IdP の APM オブジェクトの [ID プロバイダー名] を入力します。たとえば、MyTravel_EntraID のように指定します。

[新しい SAML IdP コネクタの作成] の [ファイルの選択] と [ID プロバイダー名] 入力を示すスクリーンショット。

[新しい行の追加] を選択します。
新しい SAML IdP コネクタを選択します。
[更新] を選択します。

[SAML IdP コネクタ] の [更新] オプションのスクリーンショット。

[OK] を選択します。

保存された設定のスクリーンショット

ヘッダー SSO の構成

APM SSO オブジェクトを作成します。

[Access](アクセス)>[Profiles/Policies](プロファイルまたはポリシー)>[Per-Request Policies](要求ごとのポリシー)>[Create](作成) の順に選択します。
[名前] を入力します。
少なくとも 1 つの受け入れ可能な言語を追加します。
[完了] を選択します。
新しい要求ごとのポリシーの場合は、[編集] を選択します。
ビジュアルポリシーエディターが起動します。
[フォールバック] の下で + 記号を選択します。
[汎用] タブで、[HTTP ヘッダー]>[項目の追加] の順に選択します。
[新しいエントリの追加] を選択します。
3 つの HTTP およびヘッダー変更エントリを作成します。
[ヘッダー名] に「upn」と入力します。
[ヘッダー値] に「%{session.saml.last.identity}」と入力します。
[ヘッダー名] に「employeeid」と入力します。
[ヘッダー値] に「%{session.saml.last.attr.name.employeeid}」と入力します。
[ヘッダー名] に「group_authz」と入力します。
[ヘッダー値] に「%{session.saml.last.attr.name.http://schemas.microsoft.com/ws/2008/06/identity/claims/groups}」と入力します。

注意

中かっこ内の APM セッション変数では、大文字と小文字が区別されます。属性は小文字で定義することをお勧めします。

[プロパティ] タブの [HTTP ヘッダーの変更] の下にあるヘッダー入力を示すスクリーンショット。

[保存] を選択します。
ビジュアルポリシーエディターを閉じます。

ビジュアルポリシーエディターを示すスクリーンショット。

アクセスプロファイル構成

アクセスプロファイルは、アクセスポリシー、SSO 構成、UI 設定など、BIG-IP 仮想サーバーへのアクセスを管理する多くの APM 要素をバインドします。

[Access] (アクセス)>[Profiles/Policies] (プロファイル/ポリシー)>[Access Profiles (Per-Session Policies)] (アクセスプロファイル (セッションごとのポリシー))>[Create] (作成) を選択します。
[名前] に「MyTravel」と入力します。
[プロファイルの種類] では、[すべて] を選択します。
[Accepted Language](受け入れ可能な言語) では、少なくとも 1 つの言語を選択します。
[完了] を選択します。
作成したセッションごとのプロファイルに対して [編集] を選択します。
ビジュアルポリシーエディターが起動します。
[フォールバック] の下で + 記号を選択します。
[認証]>[SAML 認証]>[項目の追加] を選択します。
[SAML 認証 SP] の構成で、[AAA サーバー] ドロップダウンから、作成した SAML SP オブジェクトを選択します。
[保存] を選択します。

AAA サーバーの選択を示すスクリーンショット。

属性マッピング

以下の手順は省略可能です。 LogonID_Mapping 構成では、BIG-IP アクティブセッションの一覧に、セッション番号ではなく、サインインしたユーザープリンシパル名 (UPN) が含まれます。このデータは、ログの分析やトラブルシューティングを行うときに使用します。

[SAML Auth](SAML 認証) の [Successful](成功) ブランチの + 記号を選択します。

$[SAML Auth]$SAML 認証$ の [Successful]$成功$ ブランチのプラス記号を示すスクリーンショット。$
ポップアップで [Assignment](割り当て)>[Variable Assign](変数の割り当て)>[Add Item](項目の追加) の順に選択します。
名前を入力する
[Variable Assign](変数の割り当て) セクションで、[Add new entry](新しいエントリの追加) > [change](変更) を選択します。たとえば、「LogonID_Mapping」と入力します。
[カスタム変数] に session.saml.last.identity を設定します。
[セッション変数] に session.logon.last.username を設定します。
[完了] を選択します。
[保存] を選択します。
アクセスポリシーの [成功] ブランチで、[拒否] ターミナルを選択します。
[許可] を選択します。
[保存] を選択します。
[Apply Access Policy] (アクセスポリシーの適用) を選択します。
ビジュアルポリシーエディターを閉じます。

バックエンドプール構成

BIG-IP がクライアントトラフィックを正しく転送できるようにするには、アプリケーションをホストしているバックエンドサーバーを表す APM ノードオブジェクトを作成します。ノードを APM プールに配置します。

[ローカルトラフィック] > [プール] > [プールの一覧] > [作成] を選択します。
サーバープールオブジェクトの [名前] を入力します。たとえば、「MyApps_VMs」と入力します。
プールメンバーオブジェクトを追加します。
[ノード名] には、バックエンド Web アプリケーションをホストするサーバーの名前を入力します。
[アドレス] には、アプリケーションをホストするサーバーの IP アドレスを入力します。
[サービスポート] には、アプリケーションがリッスンする HTTP/S ポートを入力します。
[追加] を選択します。

注意

詳細については、my.f5.com にアクセスして、K13397: BIG-IP DNS システム用の HTTP 正常性モニター要求の書式設定の概要に関するページを参照してください。

仮想サーバーの構成

仮想サーバーは、アプリケーションに対するクライアント要求をリッスンする仮想 IP アドレスで表される BIG-IP データプレーンオブジェクトです。受信したトラフィックが処理され、仮想サーバーに関連付けられている APM アクセスプロファイルに照らして評価されます。トラフィックはポリシーに従って送信されます。

[ローカルトラフィック]>[仮想サーバー]>[仮想サーバーの一覧]>[作成] の順に選択します。
仮想サーバーの [名前] を入力します。
[宛先アドレス/マスク] で、[ホスト] を選択します
クライアントトラフィックを受信するために BIG-IP に割り当てられる未使用の IP (IPv4 または IPv6) を入力します。
[サービスポート] で、[ポート]、[443]、[HTTPS] を選択します。
[HTTP プロファイル (クライアント)] では、[http] を選択します。
[SSL プロファイル (クライアント)] では、作成したクライアント SSL プロファイルを選択するか、テスト用の既定値のままにします。
[Source Address Translation](ソースアドレス変換) では、[Auto Map](自動マップ) を選択します。
[アクセスポリシー] では、以前作成したアクセスプロファイルを選択します。このアクションにより、Microsoft Entra SAML 事前認証プロファイルとヘッダー SSO ポリシーが仮想サーバーにバインドされます。
[要求ごとのポリシー] では、[SSO_Headers] を選択します。

[既定のプール] では、作成したバックエンドプールオブジェクトを選択します。
[完了] を選択します。

[リソース] の [既定のプール] オプションを示すスクリーンショット。

セッションの管理

BIG-IP セッション管理設定を使用して、ユーザーセッションの終了または継続の条件を定義します。 [アクセスポリシー]>[アクセスプロファイル] を使用してポリシーを作成します。一覧からアプリケーションを選択します。

SLO 機能に関して、Microsoft Entra ID の SLO URI により、MyApps ポータルからの IdP によって開始されたサインアウトによって、クライアントと BIG-IP APM の間のセッションが終了することが保証されます。インポートされたアプリケーションフェデレーションの metadata.xml は、SP によって開始されるサインアウトの Microsoft Entra SAML サインアウトエンドポイントを APM に提供します。そのため、APM はユーザーがいつサインアウトしたかを把握できます。

BIG-IP Web ポータルがない場合、ユーザーはサインアウトするよう APM に指示できません。ユーザーがアプリケーションからサインアウトした場合、BIG-IP ではアクションが認識されません。アプリケーションセッションは、SSO を使用して復帰できます。そのため、SP によって開始されるサインアウトは慎重に検討する必要があります。

セッションが安全に終了するようにするには、SLO 関数をアプリケーションの [サインアウト] ボタンに追加します。そこからクライアントを Microsoft Entra SAML のサインアウトエンドポイントにリダイレクトできるようにします。テナントの SAML サインアウトエンドポイントについては、[アプリの登録]>[エンドポイント] にアクセスします。

アプリを変更できない場合は、BIG-IP でアプリのサインアウト呼び出しをリッスンして SLO をトリガーするようにできます。詳細については、以下を参照してください。

support.f5.com にアクセスして、「K42052145: URI 参照ファイル名に基づく自動セッション終了 (ログアウト) の構成」を参照してください
my.f5.com にアクセスして、「K12056: ログアウト URI インクルードオプションの概要」を参照してください

デプロイ

設定をコミットするには、[Deploy] (デプロイ) を選びます。
アプリケーションがテナントに表示されていることを確認します。
アプリケーションが発行され、その URL、または Microsoft ポータルで、SHA を介してアクセスできるようになります。

テスト

ユーザーとして次のテストを実行します。

アプリケーションの外部 URL を選ぶか、MyApps ポータルでアプリケーションアイコンを選びます。
Microsoft Entra ID に対して認証を行います。
アプリの BIG-IP 仮想サーバーにリダイレクトされ、SSO でサインインされます。
挿入されたヘッダー出力は、ヘッダーベースのアプリケーションによって表示されます。

セキュリティを強化するには、BIG-IP 経由のパスを適用して、アプリケーションへの直接アクセスをブロックします。

トラブルシューティング

トラブルシューティングには、次のガイダンスを使用します。

ログの詳細

BIG-IP ログには、認証や SSO の問題の切り分けに役立つ情報があります。次の手順を実行して、ログの詳細レベルを上げます。

[Access Policy](アクセスポリシー)>[Overview](概要)>[Event Logs](イベントログ) に移動します。
[設定] を選択します。
発行されたアプリケーションの行を選択します。
次に、[編集]>[システムログへのアクセス] を選択します。
SSO の一覧から [デバッグ] を選びます。
[OK] を選択します。
問題を再現します。
ログを確認します。
完了したら、設定を元に戻します。

BIG-IP のエラーメッセージ

リダイレクト後に BIG-IP のエラーが表示される場合は、Microsoft Entra ID から BIG-IP への SSO に関連する問題が発生している可能性があります。

[アクセスポリシー]>[概要] に移動します。
[Access reports] (レポートへのアクセス) を選びます。
直近 1 時間のレポートを実行します。
ログに手がかりがないか確認します。
セッションの場合は、[セッション変数の表示] リンクを選択します。
APM が Microsoft Entra ID から期待される要求を受け取るかどうかを確認します。

BIG-IP エラーメッセージなし

BIG-IP のエラーメッセージが表示されない場合、問題は、BIG-IP からバックエンドアプリケーションへの SSO に関係している可能性が高くなります。

[アクセスポリシー]>[概要] に移動します。
[アクティブセッション] を選びます。
アクティブなセッションのリンクを選択します。
[変数の表示] リンクを選択して、SSO の問題を特定します。
BIG-IP APM が失敗するか成功するかを確認して、正しいユーザーとドメインの識別子を取得します。