Cisco dCloud Demonstration

Size: px

Start display at page:

Download "Cisco dCloud Demonstration"

あかりさかど
5 years ago
Views:

1 Cisco ASA クライアントレス VPN v1 最終更新日 :2016 年 3 月 1 日このシスコソリューションについて Cisco ASA クライアントレス VPN ソリューションを利用すればインターネットにアクセスできるあらゆる場所から社内ネットワークへのアクセスを限定し便利なセキュアアクセスが可能になりますユーザはインターネットが接続できる環境および互換性のあるブラウザを使用できれば内部ネットワークリソースにどこからでもアクセスできます Cisco ASA クライアントレス VPN 機能は契約社員と社員の両方に限定したネットワークアクセスを提供する簡単で安全かつスケーラブルな方法ですこのデモンストレーションについてこの事前設定済みデモンストレーションは以下のシナリオで構成されますシナリオ 1: クライアントレス VPN デモンストレーションの要件次の表にこの事前設定済みデモンストレーションの要件の概要を示します表 1. デモンストレーションの要件必須モニタリングワークステーションラップトップオプション Cisco AnyConnect 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 1/26 ページ

2 デモンストレーションの設定このデモンストレーションではシナリオを再現するためにあらかじめユーザとコンポーネントが設定されていますデモンストレーションを実行するうえで必要なアクセス情報はすべて以降のデモンストレーションガイドの中で示されています表 2. 利用可能なポータルシナリオ / 業種一般リソース ( すべて ) 内部リソース内部レコード医療患者およびその家族向け医療関係者向け医療記録 / 保険用サーバ教育 [ 英語 ] 学生およびゲスト向け教職員 / 指導者向け学生の記録 / 連絡先連邦政府訪問者向け連邦政府機関向け経歴記録 / 人事用サーバ企業顧客およびゲスト向け従業員向け企業財務レコード / 人事レコード表 3. 認証情報とアクセスレベルシナリオ / 業種ユーザ名パスワード医療 [ 英語 ] doctor C1sco12345 教育 [ 英語 ] dean C1sco12345 連邦政府 captain C1sco12345 企業 manager C1sco12345 デモンストレーションのトポロジこのデモンストレーションにはすべての仮想コンポーネントが含まれていますコンポーネントはすべて管理レベルアカウントを使用して任意の設定が可能です管理アカウントの詳細は該当のガイド手順に含まれています図 1. デモンストレーショントポロジ 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 2/26 ページ

3 デモンストレーションの準備デモンストレーションの前に実際の対象者の前でプレゼンテーションを行う前にこのプロセスを少なくとも 1 回は実施しておくことを強く推奨しますそうすることでドキュメントとデモンストレーションの構成に慣れることができますお客様向けプレゼンテーションを成功させるためには入念な準備が不可欠です次の手順に従ってデモンストレーションをスケジュールしデモンストレーション環境を設定しますデモのスケジュール 1. dcloud.cisco.com [ 英語 ] を参照し最も近い場所を選択してから Cisco.com への認証情報を使用してログインします 2. デモンストレーションをスケジュールします [ 手順を見る ] 3. デモンストレーションのシナリオを実行する前にデモンストレーションを行う場所で帯域幅が足りていることを確認します [ 手順を見る ] 4. dcloud UI の [My Dashboard] ページの [My Demonstrations] でデモンストレーションのステータスが [Active] になっていることを確認しますデモンストレーションがアクティブになるまでに最長で 15 分かかりますワークステーションへの接続 5. 次のオプションを使用して WKST1 に接続します Cisco AnyConnect [ 手順を見る ] とローカル RDP クライアントを使用する [ 手順を見る ] o 次のユーザ認証情報でログインします IP アドレス : ユーザ名:wkst1\administrator パスワード: C1sco Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 3/26 ページ

4 シナリオ 1. クライアントレス VPN このシナリオでは Cisco ASA クライアントレス VPN ソリューションでよく使われる次のような機能について説明します Web ブックマークを使用して社内の Web サイトにアクセスする方法シングルサインオン (SSO) を使用して社内のファイル共有にアクセスする方法スマートトンネルで RDP と SSH を使用して社内のリソースにアクセスする方法社内の Citrix XenDesktop および XenApp 環境にシングルサインオン (SSO) を使用してクライアントレス VPN 経由でアクセスする方法プレログインポリシーを設定した ASA ホストスキャンを使用して会社資産のデバイスと個人所有のデバイスを識別する方法ダイナミックアクセスポリシー (DAP) を使用してユーザ ID とホストスキャンポスチャに基づきネットワークアクセスを制限する方法このシナリオでははじめにクライアントレス VPN で契約社員に限定したネットワークアクセスを実現する方法を示します契約社員には必要な特定のネットワークリソースへのアクセスだけが許可されますがマシンに追加のソフトウェアをインストールする必要はありません ASA ホストスキャンとダイナミックアクセスポリシー (DAP) を併せて設定すると契約社員がクライアントレス VPN 機能のみを使用するように制限できます次にこのシナリオでは個人のデバイスから ASA にアクセスしている社員に ASA がクライアントレスアクセスを提供する方法について詳しく説明しますダイナミックアクセスポリシー (DAP) を設定して ASA ホストスキャンを実行することにより社員の個人デバイスからのアクセスは制限されフルトンネルアクセスではなくクライアントレスアクセスを使用する VPN にのみアクセスできるようになります社員の場合はより広い範囲のさまざまなリソースリストにアクセスできますデモンストレーションの手順注 :Advanced Malware Protection(AMP)v1 を搭載した Cisco AnyConnect 4.1 のデモガイドにあるいずれかのシナリオを実行済みの場合は次の操作を完了してから先に進んでください他のシナリオを完了していない場合は手順 1 に進みます c:\dcloud_watermark.txt を削除しますデスクトップで certificates.msc を開きます [ 証明書現在のユーザ ] > [ 個人 ] > [ 証明書 ] に移動して現在のユーザ証明書をすべて削除します個人所有のデバイスを使用する契約社員と社員はクライアントレス VPN にのみアクセスできます契約社員または社員が個人のマシンから Cisco AnyConnect を使用してネットワークにフルアクセスしようとした場合にはアクセスを拒否しますホストスキャンのプレログインポリシーと ASA のダイナミックアクセスポリシー (DAP) 機能を組み合わせることによりこのような制限を実現できます 1. Wkst1 からタスクバーの [Cisco AnyConnect セキュアモビリティクライアント (Cisco AnyConnect Secure Mobility Client)] アイコンをクリックしますドロップダウンメニューから [asav.dcloud.cisco.com] を選択します図 2. AnyConnect クライアント 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 4/26 ページ

2. 次のユーザ認証情報でログインしますユーザ名 :contractor パスワード :C1sco12345 DAP ポリシーでは契約社員にクライアントレス VPN アクセスのみを許可しているため接続が失敗することを確認できます図 3. アクセス拒否 3. [ キャンセル (Cancel)] をクリックします 4.

5 2. 次のユーザ認証情報でログインしますユーザ名 :contractor パスワード :C1sco12345 DAP ポリシーでは契約社員にクライアントレス VPN アクセスのみを許可しているため接続が失敗することを確認できます図 3. アクセス拒否 3. [ キャンセル (Cancel)] をクリックします 4. Wkst1 から Firefox を開きます AMP を備えた Cisco AnyConnect 4.1 のデスクトップが表示されます図 4. AMP を備えた Cisco AnyConnect Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 5/26 ページ

5. ブックマークから [ASAv] を選択します Cisco Secure Desktop が実行されログインページが開きます次のユーザ認証情報でログインしますユーザ名 :contractor パスワード :C1sco12345 注 :Cisco Secure Desktop (CSD) のホストスキャンプロセスは Firefox からクライアントレス VPN 経由で

60 秒かかることがあります 6. ウェルカムバナーの [ 続行 (Continue)] をクリックします [dcloud 契約社員向け VPN ポータル (dcloud Contractor VPN Portal)] が表示されます図 5. [dcloud 契約社員向け VPN ポータル (dcloud Contractor VPN Portal)] 7.

6 5. ブックマークから [ASAv] を選択します Cisco Secure Desktop が実行されログインページが開きます次のユーザ認証情報でログインしますユーザ名 :contractor パスワード :C1sco12345 注 :Cisco Secure Desktop (CSD) のホストスキャンプロセスは Firefox からクライアントレス VPN 経由で ASAv にアクセスすると実行されますこれはマシンをスキャンしてポスチャ関連の情報を検索する Java ベースのプロセスで ASA は後でこの情報を使用して適用の決定を行いますたとえばマシンに正しいデジタル証明書がインストールされているか特定のプロセスが実行されているか特定のファイルがあるかなどを検出しますホストスキャンプロセスはログイン画面が表示されるまでに最大 60 秒かかることがあります 6. ウェルカムバナーの [ 続行 (Continue)] をクリックします [dcloud 契約社員向け VPN ポータル (dcloud Contractor VPN Portal)] が表示されます図 5. [dcloud 契約社員向け VPN ポータル (dcloud Contractor VPN Portal)] 7. 黄色の感嘆符アイコンをクリックしますユーザには契約社員限定のアクセス権があるというメッセージが表示されます [ 閉じる (Close)] をクリックします図 6. 黄色の感嘆符アイコンとメッセージ 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 6/26 ページ

7 8. ポータルブックマーク ([ 医療 (Healthcare)] [ 教育 (Education)] [ 連邦政府 (Federal)] [ 企業 (Corporate)]) のいずれかをクリックします図 7. ポータルブックマーク 9. ポータルページで [ 一般リソース (General Resources)] をクリックしますユーザは契約社員としてこのリソースにアクセスできます図 8. [ 一般リソース (General Resources)] 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 7/26 ページ

[ 戻る (Back)] をクリックします dcloud 契約社員向け VPN ポータルに戻るには右上隅にある Cisco クライアントレス VPN の [ ホーム (Home)]

8 10. ブラウザの [ 戻る (Back)] ボタンをクリックして [ 内部リソース (Internal Resources)] を選択します内部リソースページでは契約社員のアクセスはブロックされます図 9. [ 内部リソース (Internal Resources)] 図 10. アクセス拒否 11. [ 戻る (Back)] をクリックします dcloud 契約社員向け VPN ポータルに戻るには右上隅にある Cisco クライアントレス VPN の [ ホーム (Home)] アイコンをクリックします図 11. [ ホーム (Home)] アイコン 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 8/26 ページ

ブックマークをクリックした後にユーザ認証情報を入力する必要はありません図 12. AD 契約社員のファイル共有図 13.

9 12. [AD 契約社員のファイル共有 (AD Contractor Fileshare)] をクリックすると契約社員が AD1 上のファイル共有にアクセスできることを確認できます注 : ファイル共有リソースではシングルサインオンが使用されているため [AD1 契約社員のファイル共有 (AD1 Contractor Fileshare)] のブックマークをクリックした後にユーザ認証情報を入力する必要はありません図 12. AD 契約社員のファイル共有図 13. AD 契約社員のファイル共有のリスト 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 9/26 ページ

スマートトンネルが機能するためにはクライアントレス VPN セッションを開いておく必要があります Firefox を閉じるとクライアントレス VPN セッションが終了するためスマートトンネルは遮断されます図

10 13. 左側のカラムで [ アプリケーションアクセス (Application Access)] をクリックします図 14. [ アプリケーションアクセス (Application Access)] 14. スマートトンネルが開始されました (Smart Tunnel has been started) というメッセージが表示されます Firefox を最小化します ( 閉じないでください ) 注 : スマートトンネルが機能するためにはクライアントレス VPN セッションを開いておく必要があります Firefox を閉じるとクライアントレス VPN セッションが終了するためスマートトンネルは遮断されます図 15. スマートトンネルのメッセージ 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 10/26 ページ

11 注 :[ アプリケーションアクセス (Application Access)] エリアにはクライアントレス VPN を有効にしたスマートトンネルに関する情報が表示されますスマートトンネルは特定のアプリケーションのトラフィックに対してクライアントレス SSL VPN 接続を経由したセキュアなトンネリングを可能にしてそのアプリケーションが内部リソースに直接アクセスできるようにするしくみです ASA を使えばクライアントレス VPN ユーザと内部ネットワークリソース間に安全なプロキシ接続を構築することができますこのデモンストレーションでは Microsoft Windows RDP クライアントと PuTTY アプリケーション用にスマートトンネルを設定しますユーザがクライアントレス VPN にログインして Windows RDP クライアントまたは PuTTY を起動した場合これらのアプリケーションからのネットワークトラフィックは SSL VPN 接続を経由して ASA に安全に送信されますこれにより ASA はクライアントとアクセスされた内部リソース間にプロキシ接続を確立しますスマートトンネルテクノロジーに対してよく言われる懸念はユーザが内部ネットワークの制限されたリソースへのアクセスを制約できるかということです Web ACL を使えばスマートトンネルを介してアクセスできるリソースを特定の範囲に制限することが可能ですこのデモンストレーションの実施中契約社員には RDP クライアントと PuTTY の両方に対するスマートトンネルが設定されていて Web ACL は ASA ダイナミックアクセスポリシー (DAP) で適用されリソースへのアクセス制限を行いますたとえば契約社員は RDP クライアントのみを使用して AD1 サーバにアクセスすることも PuTTY のみを使用して SSH 経由で Linux Web サーバにアクセスすることもできますこれらのアプリケーションを他の目的に使用しようとしても正常に使用できませんスマートトンネルには内部リソースへのアクセスにクライアントレスポータルとは別の独立したアプリケーションを使用できるという柔軟性がありますが同時にそのアプリケーションが特定のリソースにのみアクセスするように制限する機能もあります 15. Wkst1 デスクトップから [PuTTY] アイコンをダブルクリックします [ ポータル Linux マシン (Portals Linux Machine)] 保存済みセッションをダブルクリックしてポータルサーバへの SSH セッションを開きます図 16. [ ポータル Linux マシン (Portals Linux Machine)] 16. 次のユーザ認証情報を使用してログインしますユーザ名 :linuxuser パスワード :C1sco Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 11/26 ページ

12 17. プロンプトで who と入力し Enter キーを押します表示された IP アドレスはとなっていることにご注意ください図 17. who コマンドと IP アドレス 18. プロンプトで exit と入力して PuTTY を閉じます注 :Linux の who コマンドを実行するとログインしているユーザの IP アドレスなど現在のシステムログイン情報が表示されますスマートトンネルを介してこのマシンに接続している場合表示される IP アドレスはになりますこれは ASA の内部インターフェイスです ASA はユーザと Linux マシン間で SSH 接続する際のプロキシとして機能するため Linux マシンはユーザがから接続していると認識しますこの時点でユーザが PuTTY を使用して他のリソース (ISE など ) にアクセスしようとすると失敗します契約社員向けクライアントレス VPN セッションに関連付けられている WebACL の規定では PuTTY スマートトンネルは SSH を使用する Linux Web サーバにアクセスする場合にのみ使用できます 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 12/26 ページ

19. Wkst1 デスクトップから [ 契約社員向け AD1.rdp(Contractor AD1.rdp)] アイコンをダブルクリックして AD1 への RDP セッションを開き RDP アクセスを確認しますキャッシュされたユーザ認証情報でウィンドウが開きます図 18. [ 契約社員向け AD1(Contractor AD1)] ウィンドウ 20.

13 19. Wkst1 デスクトップから [ 契約社員向け AD1.rdp(Contractor AD1.rdp)] アイコンをダブルクリックして AD1 への RDP セッションを開き RDP アクセスを確認しますキャッシュされたユーザ認証情報でウィンドウが開きます図 18. [ 契約社員向け AD1(Contractor AD1)] ウィンドウ 20. RDP セッションを閉じるにはウィンドウ内をスクロールダウンし [ 開始 (Start)] メニューから [ ログオフ (Logoff)] を選択します注 : ユーザが RDP を使用して他のリソース (VDI デスクトップなど ) にアクセスしようとすると失敗します契約社員向けクライアントレス VPN セッションに関連付けられている WebACL の規定では RDP スマートトンネルは AD1 サーバにアクセスする場合にのみ使用できます 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 13/26 ページ

14 21. Firefox のウィンドウに戻り [ ログアウト (Logout)] をクリックして VPN ポータルセッションを閉じます [X] をクリックして Firefox のウィンドウを閉じます図 19. VPN ポータルからログアウト注 : 契約社員向けクライアントレスアクセスのデモンストレーションが正常に終了したので社員向けのシナリオに進みます社員がネットワークにアクセスできる方法は ASA のダイナミックアクセスポリシー (DAP) で規定されます社有ではない個人資産からログインしている社員には社員向けのクライアントレス VPN アクセスのみが許可されますこの場合社員は AnyConnect を使用してログインすることはできませんこれに対して社有の資産を使用している社員はクライアントレス VPN を介しても AnyConnect クライアントを使用してもログインできます社員に付与されるアクセスレベルはホストスキャンプロセスで収集されるポスチャ情報に基づいています社有の資産か個人のデバイスかを定義するために ASA ホストスキャンのプレスキャンポリシーでは 2 つの特性を探しますまずマシンをスキャンしてデジタル証明書を検索しますデジタル証明書が有効で dcloud を組織ユニットと識別する社内の認証局 (CA) によって署名されている場合そのマシンは社有の資産に分類されますマシンの特定の場所に特別なウォーターマークファイルが含まれている場合も社有の資産に分類されますデモンストレーションのこの時点では WKST1 にウォーターマークファイルもデジタル証明書もないため WKST1 は個人保有のデバイスとして分類されますしたがって契約社員の場合と同様に社員アカウントで AnyConnect を使用してネットワークにログインしようとしても失敗します 22. Cisco AnyConnect セキュリティモビリティクライアントを開き asav.dcloud.cisco.com に再接続します次の特定業種向けクレデンシャルでログインしますユーザ名 :doctor dean captain manager のいずれかパスワード :C1sco Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 14/26 ページ

15 23. 個人のマシンからアクセスする社員の場合はクライアントレス VPN アクセスのみを適用する DAP ポリシーによりこの方法もやはり失敗します図 20. 医療クレデンシャルのアクセス拒否 24. [ キャンセル (Cancel)] をクリックします 25. Firefox を開きブックマークから [ASAv] を選択します Cisco Secure Desktop が実行されログインページが開きます次の特定業種向けユーザ認証情報でログインしますユーザ名 :doctor dean captain manager のいずれかパスワード :C1sco ウェルカムバナーの [ 続行 (Continue)] をクリックします [dcloud 社員向け VPN ポータル (dcloud employee VPN Portal)] が表示されます注 : ポータルのバナーには契約社員ではなく社員と表示されフォントは赤ではなく青色です社員のポータルは契約社員と比較してはっきりと区別されるようカスタマイズされています社員はさまざまなリソース (Citrix 別のマシンとの CIFS 共有など ) にアクセスできるほかスマートトンネルを使用する SSH アクセスも利用できますデモンストレーションのこの時点では社員はまだ社有ではない個人資産から VPN にアクセスしていますクライアントレス VPN ポータルでは社員がポータル内から AnyConnect を起動する方法は用意されていません社員は社有でない資産からでは AnyConnect にアクセスできません 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 15/26 ページ

27. 黄色の感嘆符アイコンをクリックすると個人のマシンからアクセスしている社員であることを示すメッセージが表示されます [ 閉じる (Close)] をクリックします図 21. 個人のマシンであることを示すメッセージ注 : 社員は契約社員よりも多くのリソースにアクセスできます 28.

16 27. 黄色の感嘆符アイコンをクリックすると個人のマシンからアクセスしている社員であることを示すメッセージが表示されます [ 閉じる (Close)] をクリックします図 21. 個人のマシンであることを示すメッセージ注 : 社員は契約社員よりも多くのリソースにアクセスできます 28. 業種固有ポータルのブックマークをクリックします次の図では doctor クレデンシャルでログインしたために [ 医療ポータル (Healthcare Portal)] が表示されています図 22. [ 医療ポータル (Healthcare Portal)] 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 16/26 ページ

17 29. ポータルページで [ 一般リソース (General Resources)] をクリックしますユーザは個人のマシンを使用する社員としてこのリソースにアクセスできます図 23. [ 一般リソース (General Resources)] 30. ブラウザの [ 戻る ] ボタンをクリックして [ 内部リソース (Internal Resources)] を選択します [ 内部リソース (Internal Resources)] ページでは個人マシンを使う社員のアクセスが許可されます図 24. [ 内部リソース (Internal Resources)] 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 17/26 ページ

18 31. [ 医療記録 (Medical Records)] のリンクをクリックします社員は個人マシンを使用しているため記録へのアクセスをブロックされます注 : スクリーンショットは医療ポータルを示しています [ 内部リソース (Internal Resources)] と [ 内部レコード (Internal Records)] のリンクは他の 3 つの特定業種でそれぞれ異なりますが一般的なパターンはすべて同じです必ず [ 一般リソース (General Resources)] セクションと [ 内部リソース (Internal Resources)] セクションがあり内部リソース内には [ 内部レコード (Internal Records)] タイプのリンクが少なくとも 1 つはあります代替ログインのクレデンシャルについては表 2 - 利用可能なポータルを参照してください図 25. アクセス拒否 32. [ 戻る (Back)] をクリックします dcloud 社員向け VPN ポータルに戻るには右上隅にあるブラウザの [ ホーム (Home)] アイコンをクリックします 33. [Citrix StoreFront] ブックマークをクリックすると Citrix StoreFront に自動的にログインします注 : このリンクは SSO( シングルサインオン ) を使用しているためユーザはクライアントレス VPN に使用したのと同じクレデンシャル (doctor dean captain manager) で自動的に Citrix にログインします図 26. Citrix StoreFront 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 18/26 ページ

19 図 27. [Citrix Receiver] ページ 34. dcloud の [ デスクトップ (Desktop)] アイコンをクリックして Citrix Receiver を起動します接続エラーが表示されるので ( これは既知の不具合です詳細は [ 英語 ] を参照してください ) ポップアップウィンドウを閉じて dcloud の [ デスクトップ (Desktop)] アイコンをもう一度クリックします VDI デスクトップに自動的にログインします図 28. VDI デスクトップ 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 19/26 ページ

35. デスクトップが表示されたら [ 開始 (Start)] メニューから [ ログオフ (Log off)] を選択して VDI デスクトップからログオフします [Citrix Storefront] 画面に戻ります注 : デフォルトは [ シャットダウン (Shutdown)] ですが選択しないでください 36.

20 35. デスクトップが表示されたら [ 開始 (Start)] メニューから [ ログオフ (Log off)] を選択して VDI デスクトップからログオフします [Citrix Storefront] 画面に戻ります注 : デフォルトは [ シャットダウン (Shutdown)] ですが選択しないでください 36. 画面の下部にある [ アプリケーション (Apps)] をクリックします公開されたアプリケーション ( 電卓メモ帳ペイント ) が表示されます図 29. アプリケーション 37. アプリケーションのいずれかをクリックします Citrix Receiver が開き場合によってはデスクトップにログインしているユーザを表すフラッシュが発生します通常このプロセスには約 10 秒かかります注 : アプリケーションが開くまでに遅延が生じることがありますが少々お待ちくださいまたアプリケーションは最初は WKST1 のタスクバーでのみ開く場合がありますこれを表示させるにはタスクバーのアプリケーションをクリックする必要があります 38. アプリケーションを閉じます注 : アプリケーションを閉じてから少なくとも 30 秒は待つようにしてくださいこれはユーザが VDI デスクトップから正常にログアウトするために必要な手順です 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 20/26 ページ

[VDI デスクトップ C: 共有 (VDI Desktop C: Share)] をクリックするとユーザが VDI デスクトップ上の C: fileshare にアクセスできることを確認できます注 :

21 39. 画面右上でユーザ名の横にある矢印をクリックし [ ログオフ (Log Off)] をクリックします図 30. [ ログオフ (Log Off)] 40. dcloud 社員向け VPN ポータルに戻るには右上隅にある Cisco クライアントレス VPN の [ ホーム (Home)] ボタンをクリックします 41. [VDI デスクトップ C: 共有 (VDI Desktop C: Share)] をクリックするとユーザが VDI デスクトップ上の C: fileshare にアクセスできることを確認できます注 : ユーザはログインクレデンシャルを要求されません CIFS 共有ではシングルサインオンが使用されます図 31. VDI デスクトップ C: 共有 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 21/26 ページ

22 図 32. VDI デスクトップ C: ドライブ共有 42. 左カラムの [ アプリケーションアクセス (Application Access)] をクリックしますスマートトンネルが開始されました (Smart Tunnel has been started) というメッセージが表示されることを確認します Firefox を最小化します ( 閉じないでください ) 注 : スマートトンネルが機能するためにはクライアントレス VPN セッションを開いておく必要があります Firefox を閉じるとクライアントレス VPN セッションが終了するためスマートトンネルは遮断されます図 33. [ アプリケーションアクセス (Application Access)] 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 22/26 ページ

23 注 :[ アプリケーションアクセス (Application Access)] エリアにはクライアントレス VPN を有効にしたスマートトンネルに関する情報が表示されますスマートトンネルは特定のアプリケーションのトラフィックに対してクライアントレス SSL VPN 接続を経由したセキュアなトンネリングを可能にしてそのアプリケーションが内部リソースに直接アクセスできるようにするしくみです ASA を使えばクライアントレス VPN ユーザと内部ネットワークリソース間に安全なプロキシ接続を構築することができますこのデモンストレーションでは Microsoft Windows RDP クライアントと PuTTY アプリケーション用にスマートトンネルを設定しますユーザがクライアントレス VPN にログインして Windows RDP クライアントまたは PuTTY を起動した場合これらのアプリケーションからのネットワークトラフィックは SSL VPN 接続により ASA に安全に送信されますこれにより ASA はクライアントとアクセスされた内部リソース間にプロキシ接続を確立しますスマートトンネルテクノロジーに対してよく言われる懸念はユーザが内部ネットワークの制限されたリソースにアクセスするのを防ぐために設けられた制約事項を検証できるかということです Web ACL を使えばスマートトンネルを介してアクセスできるリソースを特定の範囲に制限することでこの問題を解決できますこのデモンストレーションの実施中契約社員には RDP クライアントと PuTTY の両方に対するスマートトンネルが設定されていて Web ACL は ASA ダイナミックアクセスポリシー (DAP) で適用されリソースへのアクセス制限を行いますたとえば契約社員は RDP クライアントのみを使用して AD1 サーバにアクセスすることも PuTTY のみを使用して SSH 経由で Linux Web サーバにアクセスすることもできますこれらのアプリケーションを他の目的に使用しようとしても正常に使用できませんスマートトンネルには内部リソースへのアクセスにクライアントレスポータルとは別の独立したアプリケーションを使用できるという柔軟性がありますが同時にそのアプリケーションが特定のリソースにのみアクセスするように制限する機能もあります 43. Wkst1 デスクトップから [PuTTY] アイコンをダブルクリックします [ ポータル Linux マシン (Portals Linux Machine)] 保存済みセッションをダブルクリックしてポータルサーバへの SSH セッションを開きます図 34. [ ポータル Linux マシン (Portals Linux Machine)] 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 23/26 ページ

24 44. 次のユーザ認証情報を使用してログインしますユーザ名 :linuxuser パスワード :C1sco プロンプトで who と入力し IP アドレスがと表示されていることを確認します図 35. who コマンドと IP アドレス 46. プロンプトで exit と入力して PuTTY を閉じます注 :Linux の who コマンドを実行すると IP アドレスを含む現在のシステムログイン情報が表示されますスマートトンネルを介してこのマシンに接続すると IP アドレスが表示されますこれは ASA の内部インターフェイスです ASA はユーザと Linux マシン間で SSH 接続する際のプロキシとして機能するため Linux マシンはユーザがから接続していると認識しますクライアントレスセッションに適用される WebACL セッションは社員に Linux Web サーバと ISE サーバ両方に対する PuTTY のスマートトンネルアクセスを許可します 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 24/26 ページ

47. Wkst1 デスクトップから [PuTTY] を再度ダブルクリックします [ISE] 保存済みセッションをダブルクリックして ISE に対する SSH セッションを開きます図 36. ISE 48. 次のユーザ認証情報を使用してログインしますユーザ名 :admin パスワード :C1sco12345 49.

100 となっていることにご注意ください注 :show users コマンドを実行するとログインしているユーザの IP アドレスなど現在のシステムログイン情報が表示されますスマートトンネルを介してこのマシンに接続している場合表示される IP アドレスは 198.19.10.100 になりますこれは ASA の内部インターフェイスです ASA がユーザと ISE 間で SSH 接続する際のプロキシとして機能するため ISE マシンはユーザが 198.

25 47. Wkst1 デスクトップから [PuTTY] を再度ダブルクリックします [ISE] 保存済みセッションをダブルクリックして ISE に対する SSH セッションを開きます図 36. ISE 48. 次のユーザ認証情報を使用してログインしますユーザ名 :admin パスワード :C1sco プロンプトで show users コマンドを入力し Enter をクリックします表示された IP アドレスはとなっていることにご注意ください注 :show users コマンドを実行するとログインしているユーザの IP アドレスなど現在のシステムログイン情報が表示されますスマートトンネルを介してこのマシンに接続している場合表示される IP アドレスはになりますこれは ASA の内部インターフェイスです ASA がユーザと ISE 間で SSH 接続する際のプロキシとして機能するため ISE マシンはユーザがから接続していると認識します 50. [Putty] ウィンドウを閉じます 51. Wkst1 デスクトップからユーザの特定業種向け RDP ショートカット (Healthcare.rdp Education.rdp Federal.rdp Corporate.rdp) をダブルクリックします VDI デスクトップに RDP セッションが開きスマートトンネルを介した RDP アクセスを確認できます図 37. Healthcare.rdp のショートカット 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 25/26 ページ

26 52. RDP セッションを閉じるにはウィンドウ内をスクロールダウンし [ 開始 (Start)] メニューから [ ログオフ (Logoff)] を選択します 53. Firefox のウィンドウに戻り [ ログアウト (Logout)] をクリックして VPN ポータルセッションを閉じます [X] をクリックして Firefox のウィンドウを閉じます図 38. VPN ポータルからログアウト 2016 Cisco Systems, Inc. All rights reserved. Cisco Cisco Systems および Cisco Systems ロゴは Cisco Systems, Inc. またはその関連会社の米国およびその他の一定の国における登録商標または商標です本書類またはウェブサイトに掲載されているその他の商標はそれぞれの権利者の財産ですパートナーまたは partner という用語の使用は Cisco と他社との間のパートナーシップ関係を意味するものではありません (1502R) この資料の記載内容は 2016 年 6 月現在のものですこの資料に記載された仕様は予告なく変更する場合がありますシスコシステムズ合同会社東京都港区赤坂ミッドタウンタワーお問い合せ先 2016 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 26/26 ページ 16.06

3 メニュー選択後 Web ブラウザ画面にセキュリティ証明の証明書エラー画面が表示された場合はこのサイトの閲覧を続行する ( 推奨されません ) をクリックしますこのサイトの閲覧を続行する ( 推奨されません ) をクリックセキュリティ証明の証明書エラー画面 4 Web ブラウザ画面に URL

3 メニュー選択後 Web ブラウザ画面にセキュリティ証明の証明書エラー画面が表示された場合はこのサイトの閲覧を続行する ( 推奨されません ) をクリックしますこのサイトの閲覧を続行する ( 推奨されません ) をクリックセキュリティ証明の証明書エラー画面 4 Web ブラウザ画面に URL 明積 7 コンサル版システムご利用手順開始編 1 Web ブラウザで URL http://www.yos.co.jp/meiseki7/consul/index.html をアドレス入力欄に入力して明積 7コンサル版のスタートサイトを表示します Internet Exploler(IE) はバージョン 7 以降を使用してください URL をお気に入りに追加しておくと次回よりお気に入りから選択して表示できます