次の方法で共有

Microsoft Entra ID でシングル サインオン用に FortiWeb Web Application Firewall を構成する

この記事では、FortiWeb Web Application Firewall と Microsoft Entra ID を統合する方法について説明します。 Microsoft Entra ID と FortiWeb Web Application Firewall を統合すると、次のことができます:

  • FortiWeb Web Application Firewall にアクセスできるユーザーを Microsoft Entra ID で制御します。
  • ユーザーが自分の Microsoft Entra アカウントを使用して FortiWeb Web Application Firewall に自動的にサインインできるようにします。
  • 1 つの中央の場所でアカウントを管理します。

[前提条件]

この記事で説明するシナリオでは、次の前提条件が既にあることを前提としています。

  • FortiWeb Web Application Firewall でのシングル サインオン (SSO) が有効なサブスクリプション。

注

この統合は、Microsoft Entra 米国政府クラウド環境から利用することもできます。 このアプリケーションは、Microsoft Entra 米国政府クラウドのアプリケーション ギャラリーにあり、パブリック クラウドの場合と同じように構成できます。

シナリオの説明

この記事では、テスト環境で Microsoft Entra SSO を構成してテストします。

  • FortiWeb Web Application Firewall では、 SP によって開始される SSO がサポートされます。

FortiWeb Web Application Firewall の Microsoft Entra ID への統合を構成するには、ギャラリーからマネージド SaaS アプリの一覧に FortiWeb Web Application Firewall を追加する必要があります。

  1. Microsoft Entra 管理センターに、少なくともクラウド アプリケーション管理者としてサインインします。
  2. Entra ID>エンタープライズ アプリ>新しいアプリケーションにアクセスしてください。
  3. [ギャラリーからの追加] セクションで、検索ボックスに「FortiWeb Web Application Firewall」と入力します。
  4. 結果パネルから FortiWeb Web Application Firewall を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、 エンタープライズ アプリ構成ウィザードを使用することもできます。 このウィザードでは、テナントにアプリケーションを追加したり、ユーザー/グループをアプリに追加したり、ロールを割り当てたり、SSO 構成を確認したりできます。 Microsoft 365 ウィザードの詳細を確認します。

FortiWeb Web Application Firewall の Microsoft Entra SSO の構成とテスト

B.Simon というテスト ユーザーを使用して、FortiWeb Web Application Firewall に対する Microsoft Entra SSO を構成してテストします。 SSO が機能するためには、Microsoft Entra ユーザーと FortiWeb Web Application Firewall の関連ユーザーとの間にリンク関係を確立する必要があります。

FortiWeb Web Application Firewall に対して Microsoft Entra SSO を構成してテストするには、次の手順を行います:

  1. Microsoft Entra SSO を構成 する - ユーザーがこの機能を使用できるようにします。
    1. Microsoft Entra テスト ユーザーの作成 - B.Simon で Microsoft Entra のシングル サインオンをテストします。
    2. Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra シングル サインオンを使用できるようにします。
  2. FortiWeb Web Application Firewall の SSO の構成 - アプリケーション側でシングル サインオン設定を構成します。
    1. FortiWeb Web Application Firewall のテストユーザーを作成する - Microsoft Entra における B.Simon に対応するユーザーを FortiWeb Web Application Firewall で作成し、その B.Simon とリンクさせます。
  3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

Microsoft Entra SSO を有効にするには、次の手順に従います。

  1. Microsoft Entra 管理センターに、少なくともクラウド アプリケーション管理者としてサインインします。

  2. Entra ID>Enterprise apps>FortiWeb Web Application Firewall>シングルサインオンにアクセスします。

  3. [ シングル サインオン方法の選択 ] ページで、[SAML] を選択 します。

  4. [ SAML でのシングル サインオンの設定 ] ページで、[ 基本的な SAML 構成 ] のペン アイコンを選択して設定を編集します。

    基本的な SAML 構成の編集

  5. [ 基本的な SAML 構成] セクションで、次のフィールドの値を入力します。

    1. [ 識別子 (エンティティ ID)] テキスト ボックスに、次のパターンを使用して URL を入力します。 https://www.<CUSTOMER_DOMAIN>.com

    2. [ 応答 URL ] テキスト ボックスに、次のパターンを使用して URL を入力します。 https://www.<CUSTOMER_DOMAIN>.com/<FORTIWEB_NAME>/saml.sso/SAML2/POST

    3. [ サインオン URL ] テキスト ボックスに、次のパターンを使用して URL を入力します。 https://www.<CUSTOMER_DOMAIN>.com

    4. [ ログアウト URL ] テキスト ボックスに、次のパターンを使用して URL を入力します。 https://www.<CUSTOMER_DOMAIN>.info/<FORTIWEB_NAME>/saml.sso/SLO/POST

    注

    <FORTIWEB_NAME> は、後で FortiWeb に構成を指定するときに使用される名前識別子です。 実際の URL 値を取得するには、 FortiWeb Web Application Firewall サポート チーム に問い合わせてください。 「 基本的な SAML 構成 」セクションに示されているパターンを参照することもできます。

  6. [ SAML でのシングル サインオンの設定 ] ページの [ SAML 署名証明書 ] セクションで、 フェデレーション メタデータ XML を探し、[ ダウンロード ] を選択して証明書をダウンロードし、コンピューターに保存します。

    証明書のダウンロード リンク

Microsoft Entra テスト ユーザーの作成と割り当て

ユーザー アカウントの作成と割り当ての クイックスタートのガイドラインに従って、B.Simon というテスト ユーザー アカウントを作成します。

FortiWeb Web Application Firewall の SSO の構成

  1. https://<address>:8443 に移動します。ここで <address> は、FortiWeb VM に割り当てられている FQDN またはパブリック IP アドレスです。

  2. FortiWeb VM のデプロイ中に指定された管理者資格情報を使用してサインインします。

  3. 次のページで、以下の手順を実行します。

    SAML サーバー ページのスクリーンショット

    ある。 左側のメニューで、[ユーザー] を選択 します。

    b。 [ユーザー] で [ リモート サーバー] を選択します。

    c. [SAML サーバー] を選択します。

    ｄ。 [ 新規作成] を選択します。

    え [ 名前 ] フィールドで、[Microsoft Entra ID の構成] セクションで使用する <fwName> の値を指定します。

    f. [ エンティティ ID ] ボックスに、 識別子 (エンティティ ID) の値を入力します(例: https://www.<CUSTOMER_DOMAIN>.com/samlsp

    ジー [ メタデータ] の横にある [ ファイルの選択 ] を選択し、ダウンロードした フェデレーション メタデータ XML ファイルを選択します。

    h. [ OK] を選択します。

サイト公開ルールの作成

  1. https://<address>:8443 に移動します。ここで <address> は、FortiWeb VM に割り当てられている FQDN またはパブリック IP アドレスです。

  2. FortiWeb VM のデプロイ中に指定された管理者資格情報を使用してサインインします。

  3. 次のページで、以下の手順を実行します。

    サイト発行規則のスクリーンショット

    ある。 左側のメニューで、[ アプリケーション配信] を選択します。

    b。 [ アプリケーションの配信] で、[ サイトの発行] を選択します。

    c. [ サイトの発行] で、[ サイトの発行] を選択します。

    ｄ。 サイト公開ルールを選択します。

    え [ 新規作成] を選択します。

    f. サイト公開ルールの名前を指定します。

    ジー [発行済みサイトの種類] の横にある [正規表現] を選択します。

    一. [発行済みサイト] の横に、発行する Web サイトのホスト ヘッダーと一致する文字列を指定します。

    j. [パス] の横に /を指定します。

    ケー [ クライアント認証方法] の横にある [ SAML 認証] を選択します。

    l. [SAML サーバー] ドロップダウンで、先ほど作成した SAML サーバーを選択します。

    m. [ OK] を選択します。

サイト公開ポリシーの作成

  1. https://<address>:8443 に移動します。ここで <address> は、FortiWeb VM に割り当てられている FQDN またはパブリック IP アドレスです。

  2. FortiWeb VM のデプロイ中に指定された管理者資格情報を使用してサインインします。

  3. 次のページで、以下の手順を実行します。

    サイト発行ポリシーのスクリーンショット

    ある。 左側のメニューで、[ アプリケーション配信] を選択します。

    b。 [ アプリケーションの配信] で、[ サイトの発行] を選択します。

    c. [ サイトの発行] で、[ サイトの発行] を選択します。

    ｄ。 サイト発行ポリシーを選択します。

    え [ 新規作成] を選択します。

    f. サイト公開ポリシーの名前を指定します。

    ジー [ OK] を選択します。

    h. [ 新規作成] を選択します。

    一. [ ルール ] ドロップダウンで、先ほど作成したサイト発行ルールを選択します。

    j. [ OK] を選択します。

Web 保護プロファイルの作成と割り当て

  1. https://<address>:8443 に移動します。ここで <address> は、FortiWeb VM に割り当てられている FQDN またはパブリック IP アドレスです。

  2. FortiWeb VM のデプロイ中に指定された管理者資格情報を使用してサインインします。

  3. 左側のメニューで、[ポリシー] を選択 します。

  4. [ ポリシー] で、[ Web 保護プロファイル] を選択します。

  5. [ インライン標準保護 ] を選択し、[ 複製 ] を選択します。

  6. 新しい Web 保護プロファイルの名前を指定し、[ OK] を選択します。

  7. 新しい Web 保護プロファイルを選択し、[ 編集] を選択します。

  8. [ サイトの発行] の横で、先ほど作成したサイト発行ポリシーを選択します。

  9. [ OK] を選択します。

    サイト公開用のスクリーンショット

  10. 左側のメニューで、[ポリシー] を選択 します。

  11. [ ポリシー] で、[ サーバー ポリシー] を選択します。

  12. Microsoft Entra ID を使用して認証したい Web サイトの公開に使用されるサーバー ポリシーを選択します。

  13. [ 編集] を選択します。

  14. [ Web 保護プロファイル] ドロップダウンで、先ほど作成した Web 保護プロファイルを選択します。

  15. [ OK] を選択します。

  16. FortiWeb の Web サイト公開先となる外部 URL に対するアクセスを試行します。 認証のために Microsoft Entra ID にリダイレクトされます。

FortiWeb Web Application Firewall テスト ユーザーの作成

このセクションでは、FortiWeb Web Application Firewall で Britta Simon というユーザーを作成します。 FortiWeb Web Application Firewall サポート チームと協力して、FortiWeb Web Application Firewall プラットフォームにユーザーを追加します。 シングル サインオンを使用する前に、ユーザーを作成してアクティブ化する必要があります。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

  • [ このアプリケーションをテストする] を選択すると、このオプションはログイン フローを開始できる FortiWeb Web アプリケーションのサインオン URL にリダイレクトされます。

  • FortiWeb Web Application のサインオン URL に直接移動し、そこからログイン フローを開始します。

  • Microsoft マイ アプリを使用できます。 マイ アプリで [FortiWeb Web アプリケーション] タイルを選択すると、このオプションは FortiWeb Web アプリケーションのサインオン URL にリダイレクトされます。 マイ アプリの詳細については、「マイ アプリの 概要」を参照してください。

関連コンテンツ

FortiWeb Web Application Firewall を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を強制することができます。 セッション制御は条件付きアクセスから拡張されます。 Microsoft Defender for Cloud Apps でセッション制御を適用する方法について説明します。