1 はじめに本資料は SmartOn NEO から SmartOn ID に移行する際に事前に知っておくべき要点をまとめたものです SmartOn NEOからSmartOn IDへの移行手順書は別途ございます詳細は移行手順書をご確認くださいまた本資料において記載されている移行手順書とは

Size: px

Start display at page:

Download "1 はじめに本資料は SmartOn NEO から SmartOn ID に移行する際に事前に知っておくべき要点をまとめたものです SmartOn NEOからSmartOn IDへの移行手順書は別途ございます詳細は移行手順書をご確認くださいまた本資料において記載されている移行手順書とは"

しょうこつまがみ
5 years ago
Views:

1 SmartOn NEO から SmartOn ID に移行するための技術要点書ユーザーにクライアントへの初回ログオン時に登録してもらう方式の場合各ユーザーの SmartOn ユーザー名と初期パスワードを通知する必要があります株式会社ソリトンシステムズ IT Security Products & Service 事業統括本部 Rev.1

2 1 はじめに本資料は SmartOn NEO から SmartOn ID に移行する際に事前に知っておくべき要点をまとめたものです SmartOn NEOからSmartOn IDへの移行手順書は別途ございます詳細は移行手順書をご確認くださいまた本資料において記載されている移行手順書とは全て下記の資料を指します移行手順書名 :SmartOn NEO ID 移行ツール手順説明書 SmartOn NEO から SmartOn ID への移行を行う際は導入業者等へコンサルティング作業をご依頼されることをお勧め致します Windows サーバー構築や Active Directory 構築についてのご相談は Microsoft 社もしくは販売代理店までお願い致します

3 2 SmartOn NEO と SmartOn ID の主な機能の違い機能説明 SmartOn NEO SmartOn ID 標準機能オプション機能 Logon Windows ログオン時に認証トークンを必須とさせる機能 Desktop PC 操作制御 Pass ID/PW 入力代行型シングルサインオン Crypt ファイル / フォルダ暗号ログサーバー NEO/ID 両用ですデバイス制御 USB マスストレージ /WPD の個体識別制御 1XGate IEEE802.1X サプリカント - ( 後述 P.14) for リモートアクセス VDI/SBC 対応 - 指ハイブリッド認証詳細はお問い合わせください - その他認証トークンへのアクセス方式 Soliton SecureGateway(SSG) Soliton SecureBrowser Pro(SSBP) 連携認証トークンとは SmartOn で利用している IC カードや USB トークンのことですスマートデバイス等にインストールされた SSBP での SSG ログオンの ID/PW 認証連携 Pass( ブラウザ認証 ) SmartOn ユーザー名パスワード PIN などを読み書き格納されている一意の ID を読み取り -

4 SmartOn ID で利用可能なトークン /IC カードリーダーについて認証トークンの継続利用可否認証トークン SmartOn ID での利用補足非接触 IC カード FeliCa その他接触 IC カード Smartics-J4K Standard-9 その他 USB キー ikey KB etoken PRO 32KB 弊社販売 SmartOn 用 FeliCa であれば継続利用可能です弊社以外からご購入の FeliCa でも多くの場合は利用することができます ( 1 3) SmartOn NEO で利用中のトークンは SmartOn ID では利用できません SmartOn ID で接触 IC カードを利用する際は接触 IC カード製造時に認証情報を付与する必要があり別途購入する必要があります ( 3) 継続利用可能です ( 3) etoken PRO 16KB(2003 年以前に販売 ) は SmartOn ID ではご利用いただけません Type-B カードも利用可能な場合があります ( 2) Standard-9 は販売終了しました etoken PRO 32KB は販売終了しました 1 カード内に読み取り専用で一意なデータが書き込まれている非セキュリティ領域が必要です FeliCa チップのシリアル番号である IDm も利用可能ですがお勧めいたしません ( ソニー社もセキュリティーには利用しないよう呼びかけています ) 2 カード内に運用中に変更のない一意なデータが書き込まれている領域があれば継続利用可能な場合もありますその場合その領域へ至るカードに対するコマンド等を確認する必要がありカード設計社とのやりとりが必要となります 3 SmartOn ID で利用する際は SmartOn ID 環境で新たにトークン登録が必要です IC カードリーダー SmartOn NEO で使用中の IC カードリーダーが下記弊社 SmartOn ID 製品情報ページの記載デバイスに含まれている場合継続利用可能です 3

4 SmartOn ID の構成 SmartOn ID 用 Active Directory 既存

3Windows ドメイン認証 SmartOn ID ACL サーバー ( プライマリ ) SmartOn

SmartOn ID ACL サーバー ( セカンダリ ) SmartOn NEO と SmartOn ID

SmartOn ID の ACL サーバーは既存 Active Directory とは別立て冗長構成

5 4 SmartOn ID の構成 SmartOn ID 用 Active Directory 既存 Active Directory ACL 情報の更新 1SmartOn 認証 2ACL のダウンロード 3Windows ドメイン認証 SmartOn ID ACL サーバー ( プライマリ ) SmartOn ID クライアント Active Directory ディレクトリ複製 SmartOn ID マネージャー SmartOn ID ACL サーバー ( セカンダリ ) SmartOn NEO と SmartOn ID のシステム構成要素は同じですが各 ACL サーバーマネージャーの同居兼用はできません 1 SmartOn ID の ACL サーバーは既存 Active Directory とは別立て冗長構成を推奨しております 2 SmartOn NEO でログサーバーを利用されている場合 SmartOn ID の環境においても利用可能です

6 5 認証処理の違い -SmartOn NEO の場合 - SmartOn NEO ACL サーバー (Active Directory) SmartOn アカウント SmartOn パスワード Windows アカウント Windows パスワード SmartOn NEO で特徴的な箇所 Windows ドメインコントローラー Windows アカウント Windows パスワード 3SmartOn 認証トークン無効化情報などの照会 4Windows ログオン用認証情報の取得その他ユーザー情報の取得 5Windows 認証 (Windows ログオン ) SmartOn NEO クライアント 2PIN により解錠 SmartOn 認証情報の取得 1 トークンへの個人認証 (PIN 入力 ) ユーザー認証トークン SmartOn アカウント SmartOn パスワード

7 6 認証処理の違い -SmartOn ID の場合 - SmartOn ID ACL サーバー (Active Directory) SmartOn アカウント SmartOn パスワード Windows アカウント Windows パスワード SmartOn ID で特徴的な箇所 Windows ドメインコントローラー Windows アカウント Windows パスワード 3 トークン ID よりユーザー照会し SmartOn 認証トークン無効化情報などの照会 4Windows ログオン用認証情報の取得ユーザー情報の取得 5Windows 認証 (Windows ログオン ) SmartOn ID クライアント 1SmartOn パスワード入力 ( 省略設定可 ) 2 トークン ID の読み取り (PIN 必要なし ) ユーザートークン

8 認証処理の違いまとめ - ログオン時に手入力する文字列について SmartOn NEO ではログオン時に PIN 認証が行われますが SmartOn ID では PIN 認証ではなく SmartOn パスワード認証が行われます SmartOn NEO における PIN 認証とはトークン内に書き込まれた SmartOn 情報を取得するために行われるトークンに対する認証ですトークンより取得した SmartOn ユーザー名 /SmartOn パスワードにて ACL サーバーに対し認証を行います SmartOn ID における SmartOn パスワード認証とはトークンから読みだした一意の ID( トークン ID) とユーザーの入力した SmartOn パスワードをもって ACL サーバーに対し認証を行います (ACL サーバー内ではトークン ID を元にユーザー照会が行われています ) PIN ロックについて SmartOn NEO では PIN 入力を設定回数連続して間違えると PIN ロック ( トークンをロックします ) がかかりました SmartOn ID ではトークンへの書き込みが行われないためトークンのロックはできませんが ACL サーバーのグループポリシー設定でアカウントのロックが可能です操作感の違いについてログオン時やロック解除時などで入力する値が PIN から SmartOn パスワードに変更されますがパスワードを入力するという点においてユーザーの操作感は変わりません 7

9 移行作業の流れ事前確認利用中の認証デバイス及び機能が SmartOn ID で利用できるかを確認します認証トークン内のどの部分を SmartOn ID で利用する一意の ID とするかを決定します ( カード設計社やご購入元とご相談ください ) トークン登録方法を決定します -( 後述 P.11) SmartOn ID への移行作業の流れ 1. SmartOn ID ACL サーバー及び SmartOn ID マネージャーを新規に構築する 2. SmartOn ID マネージャーに最新のアップデートパックを適用する 3. 既存の SmartOn NEO ACL サーバーを V2.8 対応のスキーマに拡張する 4. SmartOn NEO ACL サーバーから設定情報を CSV ファイルとしてエクスポートする 5. SmartOn NEO ACL サーバーからエクスポートした CSV ファイルをコンバートする 6. コンバートした CSV ファイルを SmartOn ID ACL サーバーにインポートする 7. インポート後に必要な設定を行う 8. SmartOn ID クライアントの展開を行う -( 後述 P.13) 8

9 データ移行について SmartOn NEO で設定した情報を CSV ファイル変換ツールを使用することで SmartOn ID

NEO のインポートエクスポートツール ( ) を使用し SmartOn NEO ACL サーバーから既存の情報を CSV でエクスポートしますその

のインポートエクスポートツール ( ) で SmartOn ID ACL サーバーにインポートします ( CSV ファイル変換ツールに付属しています )

10 9 データ移行について SmartOn NEO で設定した情報を CSV ファイル変換ツールを使用することで SmartOn ID へ情報の引き継ぎが可能です ( 一部の設定情報は引き継ぎができません詳細は移行手順書をご確認ください ) データ移行の簡易イメージ SmartOn NEO のインポートエクスポートツール ( ) を使用し SmartOn NEO ACL サーバーから既存の情報を CSV でエクスポートしますその CSV ファイルを CSV ファイル変換ツールで SmartOn ID で認識できる CSV ファイルに変換しますその後 SmartOn ID のインポートエクスポートツール ( ) で SmartOn ID ACL サーバーにインポートします ( CSV ファイル変換ツールに付属しています ) SmartOn NEO ACL サーバーエクスポートコンバートインポート NEO CSVファイル変換ツール ID SmartOn ID ACL サーバーデータ移行の簡易イメージ図

11 10 SmartOn ID で設定が必要な項目以下項目は SmartOn ID 移行後に設定が必要です設定一覧 ID 読込先の設定トークン登録ディスク設定の接続先 ACL サーバー設定の変更初期アカウントの設定サブマネージャーライセンスの新規発行 ( サブマネージャーを利用される場合 ) 補足認証トークン内のどこの領域をトークン ID にするか設定します SmartOn ID で利用するトークンを登録します ( 後述 P.11) 接続先 ACL サーバーを SmartOn ID の ACL サーバーに変更します ( 後述 P.12) SmartOn ID 用のサブマネージャーの設定を行います

12 11 トークンの登録について SmartOn ID を利用する際は必ずトークンを登録する必要があります SmartOn ID でトークン登録を行う方法方法 1:CSV を使って一括でトークン ID を登録 ID として読み込む領域のデータ ( トークン ID) を一覧でお持ちの場合のみ利用可能ですインポートエクスポートツールを利用しますトークンの回収は不要です方法 2: 初回ログオン時にユーザー自身がトークン登録管理者が各ユーザーに SmartOn ユーザー名と初期パスワードを通知しユーザーが初回ログオン時に登録することができますトークンの回収は不要です方法 3:SmartOn ID マネージャーに個々に登録トークンを回収する必要があります

初期アカウントとは SmartOn ID では初期アカウントの登録が必要です SmartOn ID クライアントが ACL サーバーへ初めて認証を行う際今認証しようとしている SmartOn ユーザー情報のない状態でアクセスします ( 認証時

初回はキャッシュ情報が無いためディスクに予めユーザーの ID/PW を設定しておきますこれが初期アカウントです接続に成功後トークンが有効かどうかトークン ID を元にしたユーザーの照会を行いますその端末の 2 回目以降の認証には

サーバーにアクセスするため初期アカウントは必要ありませんでした 1 初期アカウントでの LDAP 接続 2SmartOn 認証 3ACL 情報ダウンロード SmartOn ID クライアント SmartOn ID ACL サーバー

13 初期アカウントとは SmartOn ID では初期アカウントの登録が必要です SmartOn ID クライアントが ACL サーバーへ初めて認証を行う際今認証しようとしている SmartOn ユーザー情報のない状態でアクセスします ( 認証時 SmartOn ユーザー名の入力を求めないため ) この際 ACL サーバーの基盤である Active Directory にアクセスするためにはディレクトリ参照権限のあるユーザーの ID/PW が必要です初回はキャッシュ情報が無いためディスクに予めユーザーの ID/PW を設定しておきますこれが初期アカウントです接続に成功後トークンが有効かどうかトークン ID を元にしたユーザーの照会を行いますその端末の 2 回目以降の認証には初期アカウントではなく SmartOn 認証で取得した SmartOn ユーザー名パスワードを使用して接続を行います SmartOn NEO の場合は認証トークンより取り出した SmartOn ユーザー名 / パスワードを用いて ACL サーバーにアクセスするため初期アカウントは必要ありませんでした 1 初期アカウントでの LDAP 接続 2SmartOn 認証 3ACL 情報ダウンロード SmartOn ID クライアント SmartOn ID ACL サーバーディスク設定のプロパティ画面 - 初期アカウントの設定 - 注意 :ACL サーバーでアカウントのパスワード期限があると期限が切れたときにパスワード変更が出来ないために認証に失敗します初期アカウント用ユーザーはパスワード期限を無期限に設定してください初期アカウントに持たせるべき権限などは SmartOn ID 管理者ガイド章初期アカウントの設定をご参照ください 12

14 クライアント展開について SmartOn ID クライアントの展開方法以下 2 つの方法があります SmartOn NEO クライアントのアンインストール後に SmartOn ID クライアントのインストール SmartOn NEO クライアントに SmartOn ID クライアントの強制上書きインストール 1XGate 機能がインストールされている場合は強制上書きインストールはできません認証デバイスの変更がある場合の展開方法 1. SmartOn NEOクライアントをアンインストール 2. 既存のデバイスドライバをアンインストール 3. SmartOn IDで使用するデバイスドライバのインストール 4. SmartOn IDのクライアントをインストール SmartOn NEO SmartOn ID 移行時にモジュールアップデート機能はご利用いただけませんインストール時に管理者権限を与えたディスクを発行する機能もあります通常 SmartOn クライアントのインストールにはローカルの管理者権限が必要となりますがここにローカルの管理者権限を持つユーザーのアカウントパスワードを指定してディスクを発行するとインストーラを起動したユーザーの権限ではなく指定したアカウントの権限でインストールを実行することができます 13

15 SmartOn NEO 1XGate 機能をご利用の場合本機能は SmartOn NEO の独自機能です SmartOn ID では Windows 標準サプリカント等への移行をご検討くださいご注意事項 802.1x 認証設計の見直しが必要になります設計の見直しやWindows 標準サプリカントについてのお問い合せは Microsoft 社や販売代理店へお願い致します Windows 標準サプリカントのシングルサインオン機能 ( ネットワーク認証と Windows ログオンを同時に行う機能 ) はご利用いただけませんこの機能は Windows 標準 Credential Provider(Windows のログオン画面の機能モジュール名 ) を利用しますが SmartOn ID は Credential Provider を専用のものに置き換えているためですその他ご注意点を弊社 FAQ サイトにて公開しております下記ご参照ください FAQ No.5454 SmartOn 1XGate 利用ユーザーが Windows 標準サプリカントに移行する際の制限事項 / 注意事項について上記 FAQ は SmartOn NEO 年間サポートサービスご契約者様専用 FAQ ですご契約者様専用アカウントでログイン後上記 FAQ をご覧ください 14

16 補足事項 SmartOn NEO の PIN に対する以下のポリシーを SmartOn ID で実現する場合 SmartOn ID ACL サーバーの基盤 AD のグループポリシーの設定を利用しパスワードポリシーを決めてくださいオブジェクトユーザー OU ユーザー OU ユーザー OU ユーザー OU 機能項目名 PINの有効期間 PINの変更禁止期間認証 PINロックまでの回数最少のPINの長さ詳細は SmartOn ID 管理者ガイド 2.2 章ドメインセキュリティーポリシーについてをご参照ください 15 ( 最終ページ )

SmartOn は株式会社ソリトンシステムズの登録商標です SmartOn NEO SmartOn ID は株式会社ソリトンシステムズの商標ですその他本書に記載の会社名製品名等は各社の商標または登録商標です本文中には明記していません Copyright , Soli

SmartOn は株式会社ソリトンシステムズの登録商標です SmartOn NEO SmartOn ID は株式会社ソリトンシステムズの商標ですその他本書に記載の会社名製品名等は各社の商標または登録商標です本文中には明記していません Copyright , Soli SmartOn NEO ID 移行手順書株式会社ソリトンシステムズ 2017 年 12 月 SmartOn は株式会社ソリトンシステムズの登録商標です SmartOn NEO SmartOn ID は株式会社ソリトンシステムズの商標ですその他本書に記載の会社名製品名等は各社の商標または登録商標です本文中には明記していません Copyright 2015-2017, Soliton