Soliton OneGate 管理ガイド
Palo Alto Networks Cloud Identity Engine

Palo Alto Networks Cloud Identity Engine

Palo Alto Networks Cloud Identity Engine（Palo Alto Networks CIE）連携のシングルサインオンを有効にします。

Palo Alto Networks CIE連携でシングルサインオンを行う場合は以下の設定が必要です。

注意

  1. 本ページの手順はPalo Alto Networks CIEのテスト環境で実行しているため、使用環境やバージョンにより画面、操作方法、動作が異なる可能性があります。

  1. 本ページの手順で利用している値はテスト値です。実際の運用に合わせ、設定値は適宜変更してください。

  1. Palo Alto Networks CIEの設定画面や機能の変更の内容については、ご契約のPalo Alto Networksにお問合せください。

OneGate側でIdPメタデータをダウンロードする

OneGateのクラウド設定「共通設定」で表示内容を確認し、メタデータ情報を取得します。

取得したメタデータは、Palo Alto Networks CIE側でのSAML設定で使用します。

共通設定

IdPのメタデータ

  1. OneGate管理メニューの［クラウド設定］＞［共通設定］をクリックする

    OneGate管理メニューを表示

  2. 「IdPメタデータのダウンロード」で［ダウンロード］をクリックする

  3. IdPメタデータに含めるIdP証明書を選択し、［ダウンロード］をクリックする

    　　

    ポイント

    IdP証明書項目の表示名（証明書の名称）は、テナントの契約時期によって異なります。

    　　

    「OneGateCloudMetadata.xml」がダウンロードされます。

Palo Alto Networks CIE側でSAML設定を行う

Palo Alto NetworksのHub（管理ページ）にログインし、Palo Alto Networks CIE側でSAML設定を行います。

  1. Palo Alto NetworksのHub（管理ページ）にログインする

    Palo Alto Networksにログイン

  2. 左のメニューから［Authenticaiton］＞［Authentication Types］を選択し、［Add New Authentication Type］をクリックする

    　　

    「Set Up Authentication Type」画面が表示されます。

  3. ［SAML 2.0］の［Set Up］をクリックする

    　　

    「Set Up SAML Authentication」画面が表示されます。

  4. 「①Configure Cloud Authentication Service (CAS) as your SAML Service Provider」の「Metadata Type」で［Single service provider metadata］を選択し、［Download SP Metadata］をクリックする

    　　

    ポイント

    ダウンロードされた「CAS-Metadata.xml」は、OneGateのサービス登録時に「SPメタデータファイル」としてアップロードします。

    OneGateのサービス登録

  5. 「②Configure your Identity Provider Profile」で、以下の項目を設定し、［Submit］をクリックする

    　　

    Profile Name

    任意のプロファイル名を入力します。

    Identity Provider Vendor

    「Others」を選択します。

    Add Metadata

    ［Upload Metadata］を選択し、OneGateからダウンロードしたIdPのメタデータ「OneGateCloudMetadata.xml」をアップロードします。

    OneGate側でIdPメタデータをダウンロード

    　　

    SAMLの一覧に、追加したSAML設定が表示されます。

OneGateでサービス登録を行う

OneGateでPalo Alto Networks CIEとの連携設定を行います。

  1. OneGate管理メニューの［クラウド設定］＞［サービス連携設定］をクリックする

  2. クラウドサービス一覧で［Palo Alto Networks Cloud Identity Engine］をクリックする

  3. 「情報資産設定」の「Cloud Identity Engine 連携」で「ユーザー同期とSSO先として利用する」または「SSO先として利用する」を選択する

  4. 「IdP証明書」で［選択］アイコンをクリックし、有効期間内のIdP証明書を指定する

  5. 「接続設定」の以下の項目を設定し、［接続テスト］の実行後、［保存］をクリックする

    　　

    Base URL

    事前設定時にPalo Alto Networks CIEで取得したBase URLの値を入力します。

    https://scim-sync.jp.apps.paloaltonetworks.com/scim/v2

    Bearer Token

    事前設定時にPalo Alto Networks CIEで生成したBearer Tokenの値を入力します。

    ［接続テスト］

    接続設定を使用してPalo Alto Networks CIEサービスに接続確認を行います。

    SPメタデータファイル

    Palo Alto Networks CIE側でのSAML設定でダウンロードした「CAS-Metadata.xml」ファイルをアップロードする

    Palo Alto Networks CIEの事前設定

    Palo Alto Networks CIE側のSAML設定

    　　　　

    OneGate側のPalo Alto Networks CIE連携が設定されます。

  6. クラウドサービス一覧で［Palo Alto Networks Cloud Identity Engine］のタグを確認し、［属性設定］をクリックする

    　　

    「SSO先として利用する」を選択した場合

    「同期」のみが有効になります。

    「ユーザー同期とSSO先として利用する」を選択した場合

    「SSO」と「同期」の両方が有効になります。

    　　

    「Palo Alto Networks Cloud Identity Engine連携属性設定」画面が表示されます。

  7. ［Palo Alto Networks Cloud Identity Engine属性設定］の［＋］をクリックする

  8. 追加する属性設定をチェックし、［OK］をクリックする

    例：「CommonName」と「Name」をチェック

  9. 選択した属性が一覧に追加されたことを確認し、［保存］をクリックする

アプリケーションロールの割当・同期項目の登録を行う

アプリケーションロールの割当・同期項目の登録は、ユーザー種別（OneGate登録利用者／AD連携利用者）によって異なります。

OneGate登録利用者の場合

OneGateに直接登録した利用者に、Palo Alto Networks CIEのアプリケーションロールを割り当て、同期項目を登録します。

  1. OneGate管理メニューの［利用者管理］＞［利用者一覧］をクリックする

  2. 対象の利用者をクリックする

    　　

    「利用者変更」画面が表示されます。

  3. 以下の項目を設定し、Palo Alto Networks CIEの同期項目を登録し、［アプリケーションロール］の［＋］をクリックする

    　　

    Palo Alto Networks Cloud Identity Engine User

    Palo Alto Networks CIE側での「UserPrincipalName」とする名称を入力します。

    (Palo Alto Networks Cloud Identity Engine) CommonName

    Palo Alto Networks CIE側での「CommonName」とする名称を入力します。

    (Palo Alto Networks Cloud Identity Engine) Name
     

    Palo Alto Networks CIE側での「Name」とする名称を入力します。

  4. ［Palo Alto Networks Cloud Identity Engine］をチェックし、［OK］をクリックする

  5. ［アプリケーションロール］に［Palo Alto Networks Cloud Identity Engine］が表示されたことを確認する

  6. ［保存］をクリックする

  7. 利用者の同期設定を行う

    OneGateの同期設定

AD連携利用者の場合

AD連携／Entra ID連携の利用者の場合は、アプリケーションロールの割り当ておよび同期項目の登録は
Active DirectoryまたはEntra IDで行い、結果をOneGateで確認します。

  1. Active DirectoryまたはEntra ID上の任意のOUにセキュリティグループ「PaloAltoG」を作成し、AD連携利用者をメンバー登録する

    　　

    参照

    Active DirectoryまたはEntra ID上でセキュリティグループを作成し、ユーザーを追加する方法については以下を参照してください。

    1. Active Directory上でセキュリティグループを作成／ユーザーを追加

    1. Microsoft Entra ID側でセキュリティグループを作成／ユーザーを追加

    　　

    Palo Alto Networks CIEのアプリケーションロールが割り当てられ、同期項目が登録されます。

    アプリケーションロールの割り当ておよび同期項目の登録結果を確認します。

  2. OneGate管理メニューの［AD設定］＞［AD連携設定］をクリックする

  3. 対象のAD連携設定名をクリックする

    　　

    「AD連携設定変更」画面または「Microsoft Entra ID連携設定変更」画面が表示されます。

  4. ［標準クラウドサービス］の［Palo Alto Networks Cloud Identity Engine］に「PaloAltoG」のグループ名が表示されていることを確認する

    　　

    ポイント

    セキュリティグループ名「PaloAltoG」を変更するときは

    「AD連携設定変更」画面または「Microsoft Entra ID連携設定変更」画面の［標準クラウドサービス］の［Palo Alto Networks Cloud Identity Engine］に変更後のグループ名を入力します。

  5. 「AD連携設定」画面に戻り、対象のAD連携設定の［属性設定］をクリックする

    「AD連携属性設定」画面または「Microsoft Entra ID連携属性設定」画面が表示されます。

  6. Palo Alto Networks CIEの同期項目の登録結果を確認する

    AD連携利用者とPalo Alto Networks CIEユーザーの属性マッピングはデフォルトで設定されています。

    　　

    ポイント

    属性のマッピングを変更するときは

    AD連携設定またはMicrosoft Entra ID連携属性設定の属性設定で変更します。

    AD連携／Microsoft Entra ID連携の属性設定

Palo Alto Networks CIE側で同期を実行する（初回のみ）

Palo Alto Networks CIE連携でユーザ同期を初めて設定した場合のみ、Palo Alto NetworksのHub（管理ページ）にログインし、Palo Alto Networks CIE側で同期を実行します。

ポイント

Palo Alto Networks CIE側での同期（Full Sync）は、Palo Alto Networks CIE連携でユーザ同期を初めて設定した場合のみ実行します。初回にFull Syncを実行することで、以降は、OneGateで利用者の差分同期が実行されるたびに、Palo Alto Networks CIE側にユーザー情報が同期されます。

  1. Palo Alto NetworksのHub（管理ページ）にログインする

    Palo Alto Networksにログイン

  2. 左のメニューから［Directory Sync］＞［Directories］を選択する

    SCIM一覧が表示されます。

  3. 事前設定時に追加したディレクトリ設定の右端にある［Actions］メニューから［Full Sync］を選択する

    ディレクトリを追加してユーザー同期情報を取得

    　　

    Full Sync実行の確認画面が表示されます。

  4. ［Yes］をクリックする

    　　

    ユーザー同期が始まります。

    同期が完了すると、「Users」欄に同期したユーザー数が表示されます。

  5. 「Users」欄に表示された数字をクリックする

    「onegate-demo:Users」画面が表示されます。

  6. OneGateからPalo Alto Networks CIEに同期されたユーザー情報を確認する

Copyright © Soliton Systems K.K., All rights reserved.