SonicWall Cloud Secure Edgeのシングルサインオン設定 – HENNGE One ヘルプセンター

概要

Access Controlで、SonicWall Cloud Secure Edgeとシングルサインオンを行う手順を説明します。

注意事項

本記事の内容は、作成時点で弊社が実施した検証結果に基づくものであり、サービスのアップデート等により予告なく変更される場合があります。
弊社は、本記事の正確性、有用性の確保につき可能な限り努めておりますが、その内容の網羅性、正確性、完全性、最新性、適時性、特定目的適合性その他内容の一切について、いかなる保証も行うものではありません。
本記事は、サービスを提供するベンダー様による公式の監修または認定を受けているものではありません。
Email DLP / Secure Browser の動作検証は行っておりません。

連携仕様

SonicWall Cloud Secure Edgeの連携仕様は以下のとおりです。

連携キー：ログインID or メールアドレス or UserPrincipalName
SonicWall Cloud Secure Edge側の設定：お客様にて実施
アカウントプロビジョニング：プロビジョニングあり（HENNGE oneにて管理可能）
アクセス方法：SP-Initiatedのみ対応
デバイス証明書対応状況：ブラウザ、iosアプリ、Androidアプリ

手順

SonicWall Cloud Secure Edge側のシングルサインオン設定を行うためには、予めHENNGE Oneの値を取得する必要があります。以下の記事をもとに、HENNGE Oneのサービスプロバイダーを設定し、HENNGE Oneの値を取得してください。
記事：HENNGE One サービスプロバイダーの仮設定
X.509証明書情報を取得します。本記事の手順1で取得できるSAML署名証明書をダウンロードし、テキストファイルで開いた状態で控えます。
SonicWall Cloud Secure Edgeの設定を行います。Cloud Secure Edge管理画面にて、[Settings]をクリックします。
[Identity and Access]ー[End User]ー[Configure]をクリックします。
[Confirm]をクリックします。
SAML設定画面が表示されるので、[編集（鉛筆アイコン）]をクリックします。
以下のとおり設定します。
- Provider Name：Other / 任意のIDP名（HENNGEなど）
- Provider Protocol：SAML
- Redirect URL：修正不要（デフォルト値のまま）
以下のとおり設定し[Save]をクリックします。
- IDP Metadata Method：Manual
- IDP SSO Url：本記事の手順1で取得できるシングルサインオンURL
- Entity Issuer (optional)：本記事の手順7で取得できるRedirect URL
- IDP CA Certificate：本記事の手順2で控えたSAML署名証明書情報
- Username：username
- Email：email
- Groups：group
- Group Delimiter (optional)：（空欄）
本記事の手順1で設定したHENNGE Oneのサービスプロバイダーの設定を更新します。
記事：SAML 接続時の HENNGE One 側方法（カスタムでの登録の場合）
- ACS URL：本記事の手順7で取得できるRedirect URL
- SP Issuer (Audience)：本記事の手順7で取得できるRedirect URL
- Name ID：連携キーと同一の値が格納されている項目を設定してください。
  [Access Control] シングルサインオンの設定で利用できるName IDは？
- 署名方式：レスポンス
- Name IDフォーマット：unspecified
- 追加属性
  - 属性：username　値：Name IDとして利用するHENNGE側の属性
  - 属性：email　値：email or UserPrincipalName
  - 属性：group　値：Cloud Secure Edge側で割り当てるRole属性が格納されるHENNGE側の属性
シングルサインオンにてSonicWall Cloud Secure Edgeにアクセスするためには、アクセス許可を設定する必要があります。以下の記事をもとに設定を行います。
記事：[Access Control] アクセスポリシーグループの作成 / 編集
SSOの動作確認を行います（Cloud Secure EdgeへのSSOは、アプリからのみ対応しています）。

Cloud Secure Edgeアプリを立ち上げ、招待コードを入力し、[CONTINUE]をクリックします。
[CONTINUE]をクリックすると、ブラウザが起動しHENNGE Oneのログイン画面が表示されます。HENNGE Oneにログインします。
HENNGE Oneへログイン後、Cloud Secure Edgeアプリでもログインが完了していれば、動作確認完了です。
Cloud Secure Edgeはジャストインタイム（JIT）プロビジョニングに対応しています。Cloud Secure Edgeにアカウントが存在していなくとも、HENNGEを経由したSAML認証によって、初回ログイン時に自動的にアカウントが作成されます。
手順15、16はSAML連携が動作しない場合の対応になります。SSO動作確認のタイミングの際、HENNGE Oneログイン画面が表示されない場合は、本ステップ以降をお試しください。

Cloud Secure Edge管理画面にて、[Settings]ー[Identity and Access]ー[Device] をクリックします。その後、[削除（ごみ箱アイコン）]をクリックします。
確認画面が表示されますので、[Delete]をクリックします。対応後、改めてSSO動作確認を実施ください。

SP-Initiatedのみ対応のサービスは、ログインURLにシングルサインオン用のURLを設定することでAccess Control ユーザーポータルからもアクセスできるようになります。
[Access Control] サービスからのアクセスのみが可能なサービスへHENNGEからアクセスする手順