単一要素認証展開用のNetScaler Gateway 仮想サーバーのネットワークアクセス制御デバイスチェックの構成
このトピックでは、Microsoft Intune eが提供するネットワークアクセスコンプライアンス（NAC）セキュリティを使用して、モバイルデバイス（iOSおよびAndroid）から内部ネットワークに接続するようにNetScaler Gateway を構成する方法について説明します。ユーザーがiOSまたはAndroid VPNクライアントからNetScaler Gateway に接続しようとすると、ゲートウェイはまずデバイスが管理対象デバイスであり、準拠しているデバイスであるかどうかをIntune サービスで確認します。
-
管理対象:デバイスは Intune 企業ポータルクライアントを使用して登録されます。
-
準拠:Intune MDM サーバーからプッシュされた必須ポリシーが適用されます。
デバイスが管理対象で準拠している場合にのみ、VPN セッションが確立され、ユーザに内部リソースへのアクセスが提供されます。
注：
-
このセットアップでは、バックエンドのNetScaler Gateway がIntune サービスと通信します。SSLプロファイルは、NetScaler Gateway への着信接続を処理します。NetScaler Gateway バックエンド通信は、バックエンドクラウドサービス（Intune）のSNI要件をすべて処理します。
-
Intune NAC チェックは、アプリごとの VPN またはデバイス全体の VPN でも、VPN プロファイルが Intune 管理ポータル（現在は Microsoft エンドポイントマネージャと呼ばれる）によってプロビジョニングされている場合にのみサポートされます。これらの機能は、エンドユーザが追加した VPN プロファイルではサポートされません。NAC チェックを使用するには、エンドユーザーデバイスの Intune 管理者によって Microsoft Endpoint Manager からデバイスに VPN プロファイルが展開されている必要があります。
ライセンス
この機能を使用するには、Citrix エンタープライズエディションのライセンスが必要です。
システム要件
-
NetScaler Gateway リリース11.1ビルド51.21以降
-
iOS VPN — 10.6 以降
-
Android VPN — 2.0.13 以降
-
Microsoft
-
Azure AD アクセス (テナント権限と管理者権限を持つ)
-
Intune が有効なテナント
-
-
ファイアウォール サブネット IP アドレスから
https://login.microsoftonline.comおよびhttps://graph.windows.net(ポート 53 およびポート 443) へのすべての DNS および SSLトラフィックに対するファイアウォールルールを有効にします。
前提条件
-
既存の認証ポリシーはすべて、クラシックポリシーから高度なポリシーに変換する必要があります。クラシックポリシーから高度なポリシーに変換する方法については、
<https://support.citrix.com/article/CTX131024>を参照してください。 -
Azure Portalで NetScaler Gateway アプリケーションを作成します。詳しくは、「 Azure Portalでの NetScaler Gateway アプリケーションの構成」を参照してください。
-
次のアプリケーション固有の情報を使用して、作成したNetScaler Gateway アプリケーションでOAuthポリシーを構成します。
-
クライアント ID/アプリケーション ID
-
クライアントシークレット/アプリケーションキー
-
Azure テナント ID
-
参照ドキュメント
-
このドキュメントでは、NetScaler Gateway のセットアップ構成について説明します。Citrix SSOクライアント（iOS/Android）の構成のほとんどはIntune 側で行われる。NAC 用の Intune VPN 設定の詳細については、
<https://docs.microsoft.com/en-us/mem/intune/protect/network-access-control-integrate>を参照してください。 -
iOS アプリの VPN プロファイルを設定するには、「
<https://docs.microsoft.com/en-us/mem/intune/configuration/vpn-settings-ios>」を参照してください。 -
Azure Portalで NetScaler Gateway アプリケーションをセットアップするには、「Azure Portalでの NetScaler Gateway アプリケーションの構成」を参照してください。
ゲートウェイ展開用nFactorを搭載したNetScaler Gateway仮想サーバーを追加するには
-
NetScaler Gateway ツリーノードの下にある［仮想サーバー］に移動します。
-
「 基本設定 」領域に必要な情報を入力し、 **「OK」**をクリックします。
-
-
-
［続行］ をクリックします。
-
［続行］ をクリックします。
-
［続行］ をクリックします。
-
［NetScaler Gateway セッションポリシーの作成 ］ページで、セッションポリシーの名前を入力します。
-
「 プラグインタイプ 」の横にあるチェックボックスをクリックし、リストから「Windows/macOS」を選択します。
-
「 作成」をクリックします。
-
「 NetScaler Gatewayセッションポリシーの作成 」 ページの「式 」領域に「 NS_TRUE 」と入力します。
-
［Create］ をクリックします。
-
［Bind］ をクリックします。
-
-
-
-
［ 基本設定 ］領域で認証仮想サーバーの名前とIPアドレスの種類を指定し、［ **OK］**をクリックします。IP アドレスタイプは、 アドレス指定不可にもできます 。
-
-
-
-
クライアント ID、クライアントシークレット、およびテナント IDを使用して OAuth アクションを作成します。クライアントID、 クライアントシークレット、およびテナントIDは 、Azure PortalでNetScaler Gatewayアプリケーションを構成した後に生成されます。問題を解決して
https://login.microsoftonline.com/、https://graph.windows.net/、*.manage.microsoft.comにアクセスできるように、アプライアンス上に適切なDNSネームサーバーが設定されていることを確認してください。 -
OAuth アクションの認証ポリシーを作成します。規則:
http.req.header("User-Agent").contains("NAC/1.0")&& ((http.req.header("User-Agent").contains("iOS") && http.req.header("User-Agent").contains("NSGiOSplugin")) || (http.req.header("User-Agent").contains("Android") && http.req.header("User-Agent").contains("CitrixVPN"))) -
-
-
認証スキーマとして noschema を選択し、「 作成」をクリックします。
-
-
** で、ユーザログイン用の既存の認証ポリシーを選択するか、プラスアイコン をクリックして認証ポリシーを作成します。 認証ポリシーの作成について詳しくは、「 高度な認証ポリシーの設定」を参照してください。
-
［Bind］ をクリックします。
をクリックします](/ja-jp/netscaler-gateway/media-2/intune_21.jpg)
-
［完了］ をクリックします。
-
［Bind］ をクリックします。
をクリックします](/ja-jp/netscaler-gateway/media-2/intune_23.jpg)
-
［続行］ をクリックします。
-
［完了］ をクリックします。
-
［Create］ をクリックします。
-
［OK］ をクリックします。
-
［完了］ をクリックします。
認証ログインスキーマを認証仮想サーバーにバインドして、VPN プラグインが /cgi/login 要求の一部としてデバイス ID を送信するように指示するには
-
-
-
-
-
-
説明した導入では、NAC OAuth アクションポリシーとともに単一要素認証（LDAP）が使用されているため、 lschema_single_factor_deviceid が選択されています。
-
［Bind］ をクリックします。
をクリックします](/ja-jp/netscaler-gateway/media-2/a_intune_7.jpg)
-
［完了］ をクリックします。
トラブルシューティング
一般的な問題
| 問題 | 解像度 |
|---|---|
| アプリを開くと、「ポリシーの追加が必要です」というメッセージが表示されます。 | Microsoft Graph API でポリシーを追加する |
| ポリシーの競合がある | アプリごとに許可されるポリシーは 1 つだけです。 |
| アプリが内部リソースに接続できない | 正しいファイアウォールポートが開いていること、テナント ID が正しいことなどを確認します。 |
NetScaler Gatewayの問題
| 問題 | 解像度 |
|---|---|
NetScaler Gatewayはlogin.microsoftonline.comandgraph.windows.netに到達できません。 |
NS Shell から、次のMicrosoft Web サイトにアクセスできるかどうかを確認します。cURL-v-k <https://login.microsoftonline.com>。次に、NetScaler Gateway でDNSが構成されているかどうかを確認します。また、ファイアウォールの設定が正しいことを確認します (DNS 要求がファイアウォールされている場合)。 |
| OAuthActionを設定すると、ns.logにエラーが記録される。 | Intuneのライセンスが有効であること、およびAzureのゲートウェイアプリに適切な権限のセットが設定されているかを確認します。 |
| Sh OAuthActionコマンドでOAuthのステータスが完了と表示されない。 | DNS設定とAzureのゲートウェイアプリに設定されている権限を確認します。 |
| AndroidまたはiOSデバイスで2要素認証のプロンプトが表示されない。 | 2要素デバイスIDログオンスキーマが認証仮想サーバーにバインドされているかを確認します。 |
NetScaler Gateway OAuthのステータスとエラー状態
| ステータス | エラー状態 |
|---|---|
| AADFORGRAPH | シークレットが無効、URLが未解決、接続タイムアウト |
| MDMINFO | *manage.microsoft.comはダウンまたは到達不能です |
| GRAPH | グラフエンドポイントがダウンしており到達不能 |
| CERTFETCH | DNSエラーのため「トークンエンドポイント：<https://login.microsoftonline.com>」と通信できない。この構成を検証するには、シェルプロンプトに移動し、cURL <https://login.microsoftonline.com>と入力します。このコマンドは検証が必要です。 |
注: OAuth ステータスが成功すると、ステータスは「完了」と表示されます。
Intune 構成チェック
［ Citrix SSOの基本iOS VPN構成］>［ネットワークアクセス制御（NAC）を有効にする ］で、［ 同意する］チェックボックスをオンにします。そうでない場合、NAC チェックは機能しません。