G Suite KDDI サテライトオフィスツールアドオン SSO クライアント証明書認証セットアップガイド KDDI Flex Remote Access 証明書認証 ( デバイス認証 ) 編 2017 年 3 月 COPYRIGHT (C) KDDI CORPORATION, ALL RIGHT

Transcription

1 G Suite KDDI サテライトオフィスツールアドオン SSO クライアント証明書認証セットアップガイド KDDI Flex Remote Access 証明書認証 ( デバイス認証 ) 編 2017 年 3 月 COPYRIGHT (C) KDDI CORPORATION, ALL RIGHTS RESERVED. * Google Gmail は Google Inc. の商標または登録商標です * G Suite G Suite Business G Suite Basic は Google Inc. が提供するサービスです

2 目次 1 章本書について... 3 証明書認証とは... 3 全体の流れ... 4 動作環境 利用環境 章各種操作方法... 6 手順 1 事前準備端末識別情報を取得する... 6 手順 2 デバイスに証明書をインストールする... 6 Step2-1 パソコンにデバイス ID 証明書 ( クライアント証明書 ) をインストールする Windows 編... 7 Step2-2 クライアントからインストールした証明書を確認する方法 Windows 編... 9 手順 3 シングルサインオン SSO 管理画面の設定をする Step3-1 SSO 管理画面でクライアント証明書による端末制御を有効にする Step3-2 クライアント証明書 ( スキップログイン ) を有効にする 手順 4 シングルサインオンログイン動作確認 Step4-1. クライアント証明書をインストールした端末からログインする 参考 : 許可していないネットワークおよび端末からログインした場合 参考 :SSO に関するトラブルシューティング 参考 : お問い合わせ

3 1 章本書について G Suite Business G Suite Basic ( 以下 G Suite ) の付加サービス KDDI サテライトオフィスツールシングルサインオン (SSO) および KDDI Flex Remote Access の付加サービス 証明書認証 ( デバイス認証 ) をご契約いただいた管理者さま向けのセットアップガイドです サービス紹介ページ サービス名 URL G Suite KDDI サテライトオフィスツ ールシングルサインオン SSO ic/function/add-on/#sateraito KDDI Flex Remote Access 証明書認証 ( デバイス認証 ) -remote-access/function/ 本紙でご案内している製品はさまざまなアップデートが随時行われています 機能のアップデートによ り本マニュアルに表記されている画面と異なる場合があります 何卒ご了承ください 証明書認証とは 証明書認証 ( デバイス認証 ) とは 証明書認証 ( デバイス認証 ) とは デバイスを識別する証明書です 電子証明書をデバイスに登録することで 認められたデバイスのみが接続することができます また ID/SSO パスワードと証明書認証を組み合わせることでさらに安全性を強化することがで きます 万一デバイスを紛失した際は 証明書を失効することで アクセスは不可能になります サテライトオフィスツール SSO では クライアント証明書の失効リスト (CRL) は 一日一回反映されます 3

4 クライアント証明書認証による端末制御のメリット 証明書は通常デバイスの OS の領域にインストールされますので アクセスの際に認められたデバイスであれば証明書認証だけで簡単にアクセスすることが可能になります 例えば 特定の営業部門のみ 証明書がインストールされた持ち出しノートパソコンであれば 外出先から証明書認証でログインさせる運用が可能になります ( サテライトオフィスツール SSO の標準機能である アクセス申請による端末制御 をご利用の場合 ブラウザの Cookie 機能を利用しています その為 Cookie の消失によって アクセス申請情報が失われてしまった場合 再度 利用ユーザーさまにて申請後 管理者さまで許可 のオペレーションが必要になります ) 全体の流れ 設定手順は大きく分けて以下の 4 段階となります 手順 1 手順 2 手順 3 手順 4 端末識別情報を デバイスに証明書を SSO 画面の設定 動作確認 取得する インストールする ( 証明書による端末 制御を有効にする ) KDDI Flex Remote Access の 証明書認証 ( デバイス認証 ) 以外の証明書をご利用の場合 サテライトオフィス社へルート証明書をお送りいただく必要があります 4

5 動作環境 利用環境 証明書認証は 各製品の対応ブラウザに合わせて登録します 対応ブラウザについては 各製品の動作 環境を確認してください また証明書をご利用の場合は ご利用の端末で事前にテストを実施いただき正常に動作することをご確 認ください サポート OS(2017 年 3 月時点 ) Widows (R) MacOS ios Widows (R) 10 Widows (R) 8.1 Widows (R) 7 SP1 MacOS Sierra (OS X x) OS X El Capitan (OS X x) OS X Yosemite (OS X x) OS X Mavericks (OS X 10.9.x) ios 10.x ios 9.x ios 8.x サポート対象概要 Widows (R) : Microsoft 社の基準に準拠します ios : 最新 3 世代をサポート対象とします メジャーバージョンを1 世代とします MacOS : 最新 3 世代をサポート対象とします コードネーム単位で1 世代とします 動作検証サポートブラウザ (2017 年 3 月時点 ) Windows Microsoft (R) Edge (Windows10 以降 ) Internet Explorer (R) Google Chrome(TM) Mac Safari iphone/ipad Safari( 注 1) 注 1) ios の場合 Gmail(TM) Google カレンダーなどの一部のアプリケーションも対応しています 留意事項 Android(TM) の場合 非対応になります 最新のサポート端末 ブラウザは KDDI Flex Remote Access のお問い合わせ窓口にお問い合わせください 5

6 2 章各種操作方法 手順 1 事前準備端末識別情報を取得する 証明書発行の際に必要な端末識別情報は以下の通りです 端末端末識別情報備考 パソコン (Windows (R) Mac) の場合 Mac アドレス確認操作手順 ( 例 Windows (R) 8.1) 1 スタート コントロールパネル の順にクリックします コントロールパネル が表示されます ネットワークとインターネット から ネットワークの状態とタスクの表示 をクリックします アクティブなネットワークの表示 欄から 確認したいネットワークをクリックします 詳細 をクリックします ネットワーク接続の詳細 が表示され IP アドレスを確認できます 画面中の 物理アドレス が Mac アドレスです ios の場合 IMEI 確認操作手順 ( 例 ios10) 設定 > 一般 > 情報 の順にタップし デバイスの IMEI を探します 手順 2 デバイスに証明書をインストールする デバイス ID 発行方法およびインストールの詳細手順は ご契約者さま向けマニュアルサイトをご覧くだ さい サイト名 URL 備考 リモートアクセスサービス /KDDI ビジネスセキュア Wi-Fi 各種マニュアルダウンロード m/business/cpa_cc s/#a01 ご利用開始までのセットアップの概要 証明書カスタマーコントロール操作マニュアル 証明書インストールマニュアル -Windows (R) 版 -Mac OS 版 -ios 版 6

7 Step2-1 パソコンにデバイス ID 証明書 ( クライアント証明書 ) をインストールする Windows 編 管理者さまにてデバイス ID 発効後 Windows (R) にデバイス ID をインストールするため操作手順を記載します (2017 年 3 月時点 ) 本紙では Windows (R) 8 の Internet Explorer (R) にクライアント証明書を登録する方法を説明します 最新版のデバイス ID 発行方法およびインストールの詳細手順はご契約者さま向けマニュアルサイトをご覧ください また 下記手順は管理者さまが証明書発行申請時に取得方法を Importer と指定した場合となります 本操作はパソコンの管理者権限 (administrator) を持つアカウントで行ってください 1. 貴社システム管理者さまにてデバイス ID 発行後 指定のメールアドレス宛てに クライアント証明書発行通知 メールが届きます < 件名 > サイバートラストデバイス ID 発行のお知らせ メール本文に記載されているインストール手順を確認のうえ デバイス ID をインストールするための専用アプリケーション Cybertrust DeviceiD Importer をインストールします 2. スタートメニューから すべてのプログラム Cybertrust Cybertrust DeviceiD Importer を選択して Cybertrust DeviceiD Importer を起動します 7

8 3. メール本文に記載された証明書識別子をコピー & ペ ーストまたは入力して 証明書登録 をクリックし ます 4. セキュリティ警告ダイアログを確認のうえ はい をクリックします 5. 成功のダイアログが表示され OK をクリックし ます 以上で証明書のインストール完了です 完了したら Step2-2 に進みます 8

9 Step2-2 クライアントからインストールした証明書を確認する方法 Windows 編 本紙では Windos (R) 8 にクライアント証明書をインストールする場合の画面遷移を記載します 1. パソコンに デバイス ID ( 証明書 ) インストール 完了後 IE を開きます 2. ツール から インターネットオプション を クリックします 3. インターネットオプション画面の コンテンツ タ ブを開き 証明書 をクリックします 9

10 4. 証明書画面で 個人 タブに先ほどインストールし た証明書が表示されていることを確認し クリック します 5. 証明書の詳細画面が開きます 詳細 タブをクリックします 10

11 6. 機関キー識別子 をクリックし KeyID の文 字列をメモ帳などに控えます 7. つづいて サブジェクト をクリックし 下段の CN ( コモンネーム ) の文字列をメモ帳などに控 えます 完了したら 手順 3 に進みます 11

12 手順 3 シングルサインオン SSO 管理画面の設定をする シングルサインオン (SSO) 管理画面でクライアント証明書による端末制御を有効にする場合の操作手順を説明します 設定方法は以下 2 パターンあります お客さまのポリシーに沿った設定を行ってください Step3-1 クライアント証明書による端末制御を有効にする 適切な証明書がインストールされている端末からのみアクセスを許可することができま す ユーザーは SSO ログイン画面で ID/PW の入力が必要です Step3-2 クライアント証明書 ( スキップログイン ) を有効にする セキュリティルールの ログインタイプ で クライアント証明書認証 を選択いただ き ユーザーに証明書 ( コモンネーム ) を紐付けておくことで SSO ログイン画面をださ ず (ID/PW 入力が不要 ) ログインすることができます シングルサインオンの初期設定やプロファイルの詳細設定については SSO スタートマニュアル をご参照ください タイトル URL 1 KDDI サテライトオフィスツール SSO( シン グルサインオン ) スタートアップマニュアル s/business/user/apps_manual/pdf /satellite-sso.pdf 2 3 KDDI サテライトオフィス SSO 初期設定編 Google Apps にインストールする Google Apps は 2016 年 9 月 30 日をもって G Suite に名称変更しました シングルサインオン+ログインゲートウェイ機能について サテライトオフィス社 SSO マニュアルサイト Veo3WQGJ9ROHkC7jd3QVLj2RS ito.jp/sateraito-dounyuu/home/ss o 12

13 Step3-1 SSO 管理画面でクライアント証明書による端末制御を有効にする < 想定 > 持ち出しノートパソコンなどで社外からアクセスした際 クライアント証明書がインストールされたパソコンであればユーザーはログイン ID/PW を入力し ログイン可能とする SSO 管理画面でクライアント証明書による認証を有効にするには以下の設定が必要です 1. シングルサインオン (SSO) の管理画面にアクセス し セキュリルール管理 タブを開きます 2. プロファイル一覧から該当ユーザーが割り当てら れている プロファイル一覧 の えんぴつ マー クをクリックします 3. アクセス制御に関する設定 セクションで アクセス制御 が有効になっていることを確認します スマートフォン タブレッド で[ タブレットの場合 ] または [ 社内アクセス時の場合 ] は スマートフォンからのアクセス制御 が有効になるようチェックを入れています ( 設定は任意 ) 13

14 4. 社内 社外 スマートフォン とアクセス環境ごとに設定します ここでは例として 社外からのアクセス時の制御 で以下の通り設定を行います ログイン設定 1 1 ログインタイプ は SSO パスワード を選択します ブラウザ 端末制御設定 ネットワーク設定 は 制御しない を選択します 持出 PC 端末制御 の ユーザーは許可された端末でのみアクセス可能とする ( 基本は ON) のチェックを外します ( 注 1) 注 1) ユーザーがログイン時にアクセス申請が必要になるため ここではチェックを外します クライアント証明書 に クライアント証明書を要求する にチェックを入れます CA 証明書識別子 に Step1-2 の 11 で控えた KeyID を記載します サブジェクト に Step1-2 の 12 で控えた CN コモンネーム を記載します ( 注 2) 注 2) CN( コモンネーム ) 以降は より前の文字列は証明書ごとに変わります 機関キー識別子 サブジェクト の入力項目は 部分一致で証明書をチェックします CN( コモンネーム ) 以降の文字列を設定いただくことで 証明書ごとにプロファイルを追加する必要がなくなります 5. プロファイルを更新する をクリックし設定を保 存します 以上でクライアント証明書によるログイン認証の設定は完了です 設定完了後は シングルサインオンログイン動作確認 を実施いただき 正しく設定できたことをご確 認ください 14

15 Step3-2 クライアント証明書(スキップログイン)を有効にする 想定 ユーザーに紐付けられたクライアント証明書がインストールされたパソコンからは SSO のログイ ン画面を出さずに直接サービスにアクセス可能とする ID/PW の入力が不要 クライアント証明書 スキップログイン を有効にするには以下の設定が必要です <事前確認> 事前に特権管理者アカウントには管理者用のプロファ イルが割り当てられていることをあらかじめご確認く ださい ご注意 特権管理者アカウントに 管理者用のプロファイルが設定され ていないと 後述 ２ にて設定する デフォルトで利用する プロファイル を設定した際に 管理者も含めて ログインで きなくなりますのでご注意ください 1. プロファイルの設定例 ①-1 アクセス制御に関する設定 セクションで アクセス制御 が 有効 になっている ①-1 ことを確認します ①-2 ログインタイプで クライアント証明書認証 を選択し プロファイルを更新 保存 します 社内 社外 スマートフォン とアクセ ①-2 ス環境ごとに設定します 15

16 2. ダッシュボード タブの デフォルトで利用する プロファイル で 先ほど (1) で保存したプロフ ァイルを選択し 保存します 3. ユーザー管理 タブの ユーザー一覧 からクライアント証明書認証 ( スキップログイン ) を有効にする該当ユーザーのえんぴつマークをクリックし ユーザー編集画面に遷移後 以下の通り設定を行い 設定を保存します < 基本情報 > 1 プロファイル はプロファイルがなにも選択されていないことを確認します < ログイン設定 > 2 クライアント証明書コモンネーム(CN) は 制御 しない を選択します Step1-2 の 12 で控えた CN ( コモンネーム ) を記載します 1 2 以上でクライアント証明書によるログイン認証の設定は完了です 設定完了後は シングルサインオンログイン動作確認 を実施いただき 正しく設定できたことをご確 認ください 16

17 手順 4 シングルサインオンログイン動作確認 Step4-1. クライアント証明書をインストールした端末からログインする 端末にクライアント証明書をインストールし シングルサインオンの管理画面で設定が完了したら 正 常にログインできる事を確認します 1. 証明書をインストールした端末のサポートブラウ ザから Gmail(TM) の URL にアクセスします 2. Google のログイン画面が表示されるので 該当ユーザーのメールアドレスを入力し ログイン ボタンをクリックします パスワードの入力は不要です 17

18 3. SSO ログイン画面にリダイレクトされることを 確認します 4. ID と シングルサインオン管理コンソールで設 定した SSO パスワード を入力し LOGIN をクリックします クライアント証明書が必要な環境からアクセスする場合 ログイン時に利用する証明書を選択するダイアログが表示されます ユーザーは該当の証明書を選択します ご利用の端末によっては ダイアログが出ない 場合もあります ログイン可能な端末 ネットワークからログインした場合 Gmail(TM) 画面にリダイレクトされることを確認します 証明書選択ダイアログが表示されない場合は 端末に証明書がインストールされていないか あるいはご利用の証明書を利用する準備がシングルサインオン側で 設定されていない可能性があります 18

19 参考 : 許可していないネットワークおよび端末からログインした場合 1. 許可していないネットワークまたは端末からログインした場合 クライアント証明書の認証に失敗しました 管理者様にてプロファイルのクライアント証明書情報の設定をご確認ください メッセージが表示されることを確認します 参考 :SSO に関するトラブルシューティング シングルサインオンログイン動作確認 で その他のエラーが表示されている場合は以下 ログイン履歴 コード一覧 をご確認いただき 設定に誤りがないかご確認ください ログイン履歴コード一覧 raito-dounyuu/home/sso/abouterrorcode ( 例 ) ご利用のネットワーク 端末からのアクセスは禁止されています 管理者にお問い合わせください が表示されている場合 SSO のプロファイルにて 持ち出し PC 端末制御 の ユーザーが許可された端末でのみアクセス可能とする にチェックが入っております ユーザーはアクセス申請もしないとログインできない状態です SSO プロファイルの設定 KDDI Flex Remote Access 証明書認証 ( デバイス ID) のトラブルシューティングに つきましては ご契約者さま向けマニュアルサイトをご覧ください 19

20 参考 : お問い合わせ サービスによりお問い合わせ窓口が異なります 各サービスの窓口までお問い合わせください サービス名お問い合わせ先 1 2 G Suite および KDDI サテライトオフィスツール SSO KDDI Flex Remote Access 証明書認証 G Suite 開通通知書記載の管理者さま専用ダイヤルまでお問い合わせください KDDI Flex Remote Access 開通通知書記載の管理者さま専用ダイヤルまでお問い合わせください KDDI 株式会社 20