ゲートウェイ認証用の nFactor

使用例

1. **ユーザー名とパスワードの動的な選択。**従来、Citrixクライアント（ブラウザとReceiverを含む）は、最初のパスワードフィールドとしてActive Directory（AD）パスワードを使用します。2 番目のパスワードは、ワンタイムパスワード (OTP) 用に予約されています。ただし、AD サーバーを保護するには、まず OTP を検証する必要があります。nFactor は、クライアントの変更を必要とせずにこれを実行できます。
2. マルチテナント認証エンドポイント。組織によっては、証明書ユーザーと証明書以外のユーザーに異なる Gateway サーバーを使用します。ユーザーが自分のデバイスを使用してログインする場合、ユーザーのアクセスレベルは、使用されているデバイスに基づいてNetScaler ADCアプライアンスによって異なります。ゲートウェイは、さまざまな認証ニーズに対応できます。
3. グループメンバーシップに基づく認証。組織によっては、認証要件を決定するために AD サーバーからユーザープロパティを取得します。認証要件は、ユーザーごとに変更できます。
4. 認証の副要因。場合によっては、異なる認証ポリシーのペアを使用して、異なるユーザーセットを認証することがあります。ペアポリシーを提供すると、効果的な認証が向上します。従属ポリシーは、1 つのフローから作成できます。したがって、独立した一連のポリシーが独自のフローになり、効率が向上し、複雑さが軽減されます。

認証レスポンスの処理

クライアントサポート

• NetScaler Gateway プラグインは、12.1 ビルド 49.37 以降の nFactor 認証をサポートしています。
• Citrix Workspace アプリは、以下のバージョンのサポートされているオペレーティングシステムでnFactor認証をサポートしています。
  • Windows 4.12
  • Linux 13.10
  • Mac 1808
  • iOS 2007
  • Android 1808
  • HTML5: ストアウェブを通じてサポート
  • Chrome: ストアウェブでサポート

コマンドライン設定

相互運用に関する課題

エンドポイント分析 (EPA)

設定ミスの考慮事項

Citrix クライアントの定義

ゲートウェイの nFactor を制限する

1. authnProfileは、NetScaler Gateway では設定されていません。
2. 高度な認証ポリシーは認証仮想サーバーにバインドされておらず、同じ認証仮想サーバーがauthnProfileに記載されています。
3. HTTPリクエストのユーザーエージェント文字列は、patset ns_vpn_client_useragentsで設定されたユーザーエージェントと一致します。

ログインスキーマ

LoginSchemaと nFactor の知識が必要

loginSchema を使用しないデュアルファクタ認証の設定

ユーザー名パスワード表現

nFactor 構成のハイレベルな手順

GUI 構成

• 仮想サーバーを作成する
• 認証仮想サーバーの作成
• 認証 CERT プロファイルの作成
• 認証ポリシーの作成
• LDAP 認証サーバーを追加する
• LDAP 認証ポリシーを追加する
• RADIUS 認証サーバーを追加する
• RADIUS 認証ポリシーの追加
• 認証ログインスキーマの作成
• ポリシーラベルの作成

仮想サーバーを作成する

1. ［ NetScaler Gateway］>［仮想サーバー］に移動します。
2. ボタンをクリックして、ゲートウェイ仮想サーバーを作成します。
   
3. 次の情報を入力します。

   パラメーター名	パラメータの説明
   仮想サーバの名前を入力します。	NetScaler Gateway 仮想サーバーの名前。ASCII アルファベット文字またはアンダースコア (_) 文字で始まり、ASCII 英数字、アンダースコア、ハッシュ (#)、ピリオド (.)、スペース、コロン (:)、アットマーク (@)、等号 (=)、およびハイフン (-) のみを含める必要があります。仮想サーバーの作成後に変更できます。次の要件は、NetScaler ADC CLIにのみ適用されます。名前に1つ以上のスペースが含まれる場合は、名前を二重引用符または一重引用符で囲みます（たとえば、「マイサーバー」または「マイサーバー」）。
   仮想サーバの IP アドレスタイプを入力します。	ドロップダウンメニューから または オプションを選択します。
   仮想サーバの IP アドレスを入力します。	インターネットプロトコルアドレス（IPアドレス）は、通信にインターネットプロトコルを使用するコンピュータネットワークに参加している各機器に割り当てられた数値ラベルです。
   仮想サーバーのポート番号を入力します。	ポート番号を入力します。
   認証プロファイルを入力します。	仮想サーバ上の認証プロファイルエンティティ。このエンティティを使用して、多要素（nFactor）認証用の認証をCitrix ADC AAA仮想サーバーにオフロードできます
   RDP サーバプロファイルを入力します。	仮想サーバに関連付けられている RDP サーバプロファイルの名前。
   を入力します。	この仮想サーバーで許可される同時ユーザーセッションの最大数。この仮想サーバーにログオンできる実際のユーザー数は、ユーザーライセンスの総数によって異なります。
   を入力します。	ログオン試行の最大回数。
   ログイン失敗タイムアウトを入力します。	ユーザーが最大許容試行回数を超えた場合に、アカウントがロックされる時間（分）。
   Windows EPA プラグインのアップグレードを開始してください。	Win のプラグインアップグレード動作を設定するオプション。
   Linux EPA プラグインのアップグレードを入力します。	Linux のプラグインアップグレード動作を設定するオプション。
   MAC EPA プラグインのアップグレードに入る	Mac のプラグインアップグレード動作を設定するオプション。
   一度ログイン	このオプションは、この仮想サーバーのシームレス SSO を有効または無効にします。
   ICAのみ	ONに設定すると、ユーザーがCitrix Workspaceアプリまたはブラウザーのいずれかを使用してログオンし、Wihomeパラメーターで指定されたCitrix Virtual Apps and Desktops環境で構成された公開アプリにアクセスできる基本モードになります。 ユーザーはNetScaler Gateway プラグインを使用した接続を許可されず、エンドポイントスキャンを構成できません。ログインしてアプリにアクセスできるユーザーの数は、このモードのライセンスによって制限されません。-OFFに設定すると、ユーザーがCitrix Workspaceアプリ、ブラウザー、またはNetScaler Gateway プラグインのいずれかを使用してログオンできるSmartAccess モードになります。管理者は、クライアントシステム上でエンドポイントスキャンを実行するように構成し、その結果を使用して公開アプリへのアクセスを制御できます。このモードでは、クライアントは他のクライアントモード（VPN およびクライアントレス VPN）でゲートウェイに接続できます。ログインしてリソースにアクセスできるユーザーの数は、このモードの CCU ライセンスによって制限されます。
   認証を有効にする	NetScaler Gateway に接続するユーザーに認証を要求します。
   ダブルホップ	NetScaler Gateway アプライアンスをダブルホップ構成で使用します。ダブルホップ展開では、3 つのファイアウォールを使用して DMZ を 2 つのステージに分割することにより、内部ネットワークのセキュリティを強化します。このような展開では、DMZ に 1 つのアプライアンス、セキュアネットワークに 1 つのアプライアンスを配置できます。
   ダウンステートフラッシュ	仮想サーバーが DOWN とマークされたら、既存の接続を閉じます。これは、サーバーがタイムアウトした可能性があることを意味します。既存の接続を切断するとリソースが解放され、場合によっては過負荷の負荷分散セットアップの回復が高速化されます。この設定は、接続がダウンしているときに接続を安全に閉じることができるサーバーで有効にします。トランザクションを完了する必要があるサーバーでは、DOWN 状態のフラッシュを有効にしないでください。
   DTLS	このオプションは、仮想サーバー上のターンサービスを開始/停止します。
   AppFlow ロギング	フローの開始と終了のタイムスタンプ、パケットカウント、バイトカウントなど、標準の NetFlow または IPFIX 情報を含む AppFlow レコードをログに記録します。また、HTTP Web アドレス、HTTP 要求メソッド、応答ステータスコード、サーバー応答時間、待機時間などのアプリケーションレベルの情報を含むレコードも記録します。
   ICA プロキシセッションの移行	このオプションは、ユーザーが別のデバイスからログオンしたときに、既存のICAプロキシセッションを転送するかどうかを決定します。
   状態	仮想サーバの現在の状態（UP、DOWN、BUSY など）。
   デバイス証明書を有効にする	EPA の一部としてのデバイス証明書チェックがオンかオフかを示します。

   
4. ページの セクションを選択します。

5. をクリックしてサーバー証明書を選択します。

6. SSL 証明書を選択し、 ボタンをクリックします。
   
7. ［Bind］ をクリックします。
   
8. 「 使用可能な暗号がありません」という警告が表示された場合は、 **「OK」**をクリックします
9. ボタンをクリックします。
   
10. セクションで、右上の アイコンをクリックします。
    

認証仮想サーバーの作成

1. -> — -> に移動します。**
2. ［追加］ をクリックします。
   
3. 次の基本設定を完了して、認証仮想サーバーを作成します。
   注: 設定名の右側にある* 記号は、必須フィールドを示します。
   • 新しい認証仮想サーバの を入力します。
   • IP アドレスタイプを入力します。IP アドレスタイプは、アドレス指定不可として設定できます。
   • IP アドレスを入力します。IP アドレスはゼロでもよい。
   • 認証仮想サーバのプロトコルタイプを入力します 。
   • 仮想サーバが接続を受け付ける TCP ポートを入力します 。
   • 認証仮想サーバによって設定された認証 Cookie のドメインを入力します 。
4. ［OK］ をクリックします。
   
5. をクリックします。
   
6. リストから目的のサーバー証明書を選択します。
   
7. 目的の SSL 証明書を選択し、 ボタンをクリックします。
   注:認証仮想サーバーには、証明書がバインドされている必要はありません。
   
8. サーバ証明書バインディングを設定します。
   • **SNI 処理に使用される 1 つ以上の証明書キーをバインドするには、 ボックスをオンにします。
   • ボタンをクリックします。
   

認証 CERT プロファイルの作成

1. -> — -> -> -> -> に移動します。**
   
2. タブを選択し、 を選択します。
   
3. 次のフィールドに入力して、認証 CERT プロファイルを作成します。設定名の右にある*記号は、必須フィールドを示します。
   • Name ：クライアント証明書認証サーバプロファイルの名前 (アクション)。
   • 2 要素 — この場合、2 要素認証オプションは NOOP です。
   • 「ユーザー名フィールド 」— ユーザー名の抽出元となる client-cert フィールドを入力します。「Subject」または「Issuer」のいずれかに設定する必要があります（両方の二重引用符のセットを含む）。
   • グループ名フィールド -グループが抽出されるクライアント証明書フィールドを入力します。「Subject」または「Issuer」のいずれかに設定する必要があります（両方の二重引用符のセットを含む）。
   • デフォルト認証グループ -これは、抽出されたグループに加えて認証が成功した場合に選択されるデフォルトのグループです。
4. ［Create］ をクリックします。
   

認証ポリシーの作成

1. -> — -> -> -> -> に移動します。**
   
2. ボタンを選択します
   
3. 認証ポリシーを作成するには、次の情報を入力します。設定名の右にある*記号は、必須フィールドを示します。
   a) 名前 — 事前認証ポリシーの名前を入力します。文字、数字、またはアンダースコア文字 (_) で始まり、文字、数字、およびハイフン (-)、ピリオド (.)、ポンド (#)、スペース ()、アットマーク (@)、等号 (=)、コロン (:)、およびアンダースコア文字のみを含める必要があります。認証ポリシーの作成後は変更できません。
   次の要件は、NetScaler ADC CLIにのみ適用されます。名前に1つ以上のスペースが含まれる場合は、名前を二重引用符または一重引用符で囲みます（たとえば、「認証ポリシー」または「認証ポリシー」）。
   b) アクションタイプ -認証アクションのタイプを入力します。
   c) Action -ポリシーが一致した場合に実行される認証アクションの名前を入力します。
   d) ログアクション -要求がこのポリシーに一致したときに使用するメッセージログアクションの名前を入力します。
   e） 式 -認証サーバーでユーザーを認証するかどうかを決定するためにポリシーが使用するNetScaler ADC名前付きルールの名前またはデフォルトの構文式を入力します。
   f) — このポリシーに関する情報を保持するためのコメントを入力します。
4. ［作成］ をクリックします
   

LDAP 認証サーバの追加

1. -> — -> -> -> -> に移動します。**
   
2. タブを選択し、 ボタンを選択して LDAP サーバを追加します 。
   

LDAP 認証ポリシーの追加

1. -> — -> -> -> -> に移動します。**
   
2. をクリックして、認証ポリシーを追加します。
   
3. 認証ポリシーを作成するには、次の情報を入力します。設定名の右にある*記号は、必須フィールドを示します。
   a) 名前 -事前認証ポリシーの名前。 文字、数字、またはアンダースコア文字 (_) で始まり、文字、数字、およびハイフン (-)、ピリオド (.)、ポンド (#)、スペース ()、アットマーク (@)、等号 (=)、コロン (:)、およびアンダースコア文字のみを含める必要があります。認証ポリシーの作成後は変更できません。
   次の要件は、NetScaler ADC CLIにのみ適用されます。名前に1つ以上のスペースが含まれる場合は、名前を二重引用符または一重引用符で囲みます（たとえば、「認証ポリシー」または「認証ポリシー」）。
   b) アクションタイプ -認証アクションのタイプ。
   c) Action ：ポリシーが一致した場合に実行される認証アクションの名前。
   d) Log Action ：リクエストがこのポリシーに一致したときに使用するメッセージログアクションの名前。
   e） 式 -認証サーバーでユーザーを認証するかどうかを決定するためにポリシーが使用するNetScaler ADC名前付きルールの名前、またはデフォルトの構文式。
   f) コメント -このポリシーに関する情報を保存するためのコメント。
4. ［作成］ をクリックします
   

RADIUS 認証サーバの追加

1. -> — -> -> -> -> に移動します。**
   
2. サーバを追加するには、 タブを選択し、 ボタンを選択します。
   
3. 認証 RADIUS サーバを作成するには、次のように入力します。設定名の右にある*記号は、必須フィールドを示します。
   a) RADIUSアクションの名前を入力します。
   b) RADIUSサーバに割り当てられたサーバ名またはサーバIPアドレスを入力します。
   c) RADIUSサーバが接続を受信するポート番号を入力します 。
   d) タイムアウト値を数秒で入力します 。これは、Citrix ADCアプライアンスがRADIUSサーバーからの応答を待つ値です。
   e) RADIUSサーバーとCitrix ADCアプライアンス間で共有されるシークレットキーを入力します。秘密キーは、NetScaler ADCアプライアンスがRADIUSサーバーと通信できるようにするために必要です。
   f) シークレットキーを確認します。
4. ［作成］ をクリックします
   

RADIUS 認証ポリシーの追加

1. -> — -> -> -> -> に移動します。**
   
2. をクリックして、認証ポリシーを作成します。
   
3. 認証ポリシーを作成するには、次の情報を入力します。設定名の右にある*記号は、必須フィールドを示します。
   a) 名前 -事前認証ポリシーの名前。 文字、数字、またはアンダースコア文字 (_) で始まり、文字、数字、およびハイフン (-)、ピリオド (.)、ポンド (#)、スペース ()、アットマーク (@)、等号 (=)、コロン (:)、およびアンダースコア文字のみを含める必要があります。認証ポリシーの作成後は変更できません。
   次の要件は、NetScaler ADC CLIにのみ適用されます。名前に1つ以上のスペースが含まれる場合は、名前を二重引用符または一重引用符で囲みます（たとえば、「認証ポリシー」または「認証ポリシー」）。
   b) アクションタイプ -認証アクションのタイプ。
   c) Action ：ポリシーが一致した場合に実行される認証アクションの名前。
   d) Log Action ：リクエストがこのポリシーに一致したときに使用するメッセージログアクションの名前。
   e） 式 -認証サーバーでユーザーを認証するかどうかを決定するためにポリシーが使用するNetScaler ADC名前付きルールの名前、またはデフォルトの構文式。
   f) コメント -このポリシーに関する情報を保存するためのコメント。
4. **［OK］**をクリックします
   
5. 認証ポリシーがリストされていることを確認します。
   

認証ログインスキーマの作成

1. -> — -> に移動します。**
   
2. タブを選択し、 ボタンをクリックします。
   
3. 次のフィールドに入力して、認証ログインスキーマを作成します：
   a) 名前を入力 — これは新しいログインスキーマの名前です。
   b) 認証スキーマの入力 -ログインページ UI に送信される認証スキーマを読み取るためのファイルの名前です。ログインフォームをレンダリングするには、このファイルにCitrix Forms認証プロトコルに基づく要素のxml定義が含まれている必要があります。管理者がユーザーに他の認証情報の入力を求めずに、以前に取得した認証情報をそのまま使用したい場合は、引数としてnoschemaを指定できます。これは、ユーザー定義ファクタで使用される loginSchemas にのみ適用され、仮想サーバーファクタには適用されません
   c) ユーザー表現を入力 -ログイン時にユーザー名を抽出するための式
   d) パスワード表現を入力 -これはログイン時にパスワード抽出するための式です
   e) ユーザー認証情報インデックスの入力 -これは、ユーザーが入力したユーザー名をセッションに保存する必要があるインデックスです。
   f) パスワード認証情報インデックスの入力 -これは、ユーザーが入力したパスワードをセッションに保存する必要があるインデックスです。
   g) 認証強度の入力 -これは現在の認証の重みです。
4. ［作成］ をクリックします
   
   1. ログインスキーマプロファイルがリストされていることを確認します。
   

ポリシーラベルの作成

1. -> — -> -> -> -> に移動します。**
2. ［追加］ をクリックします。
   
3. 次のフィールドに入力して、認証ポリシーラベルを作成します：
   a) 新しい認証ポリシーラベルの名前を入力します 。
   b) 認証ポリシーラベルに関連付けられたログインスキーマを入力します 。
   c) をクリックします。
   
4. ドロップダウンメニューから** を選択します。
   
5. 目的の認証ポリシーを選択し 、 ボタンをクリックします。
   
6. 次のフィールドに入力します。
   a) ポリシーバインディングの優先度を入力します 。
   b) Goto 式を入力します。この式は 、現在のポリシー・ルールが TRUE と評価された場合に評価される次のポリシーの優先度を指定します。
   
7. 目的の認証ポリシーを選択し、 ボタンをクリックします。
   
8. ボタンをクリックします。
   
9. ［完了］ をクリックします。
10. 認証ポリシーラベルを確認します。