概要
このドキュメントでは、管理アクセスにシングルサインオン(SSO)を使用して認証するようにFirepower Management Center(FMC)を設定する方法について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- シングルサインオンとSAMLの基礎知識
- アイデンティティプロバイダー(iDP)の設定について
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。
- Cisco Firepower Management Center(FMC)バージョン6.7.0
- IDプロバイダーとしてokta
注:このドキュメントの情報は、特定のラボ環境のデバイスから作成されたものです。このドキュメントで使用するすべてのデバイスは、初期(デフォルト)設定の状態から起動しています。ネットワークが稼働中の場合は、設定変更による潜在的な影響について理解しておいてください。
背景説明
シングルサインオン(SSO)は、IDおよびアクセス管理(IAM)のプロパティで、1つのクレデンシャル(ユーザ名とパスワード)を使用して1回だけログインするだけで、複数のアプリケーションやWebサイトで安全に認証できます。 SSOを使用すると、ユーザがアクセスしようとしているアプリケーションまたはWebサイトは、信頼できるサードパーティに依存して、ユーザが自分が言っているユーザであることを確認します。
SAML(Security Assertion Markup Language)は、セキュリティドメイン間で認証および許可データを交換するためのXMLベースのフレームワークです。ユーザ、サービスプロバイダー(SP)、アイデンティティプロバイダー(IdP)の間に信頼の輪が作成され、ユーザは複数のサービスに対して一度にサインインできます
サービスプロバイダー(SP)は、アイデンティティプロバイダー(iDP)によって発行された認証アサーションを受信して受け入れるエンティティです。 名前に記載されているように、サービスプロバイダーはサービスを提供し、アイデンティティプロバイダーはユーザのアイデンティティを提供します(認証)。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-00.png)
次のiDPがサポートされ、認証がテストされています。
- 岡田
- OneLogin
- PingID
- Azure AD
- その他(SAML 2.0に準拠するiDP)
注:新しいライセンス要件はありません。この機能は、ライセンス供与モードと評価モードで動作します。
制限と制限
FMCアクセスのSSO認証に関する既知の制限と制限は次のとおりです。
- SSOはグローバルドメインに対してのみ設定できます
- HAペアのFMCでは個別の設定が必要
- ローカル/AD管理者のみがFMCでSSOを設定できます(SSO管理者ユーザはFMCでSSO設定を設定/更新できません)。
設定手順
アイデンティティプロバイダー(Okta)の設定手順
ステップ1:Oktaポータルにログインします。次の図に示すように、[Applications] > [Applications]に移動します。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-01.png)
ステップ2:次の図に示すように、[AddApplication]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-02.png)
ステップ3:次の図に示すように、[Create NewApp]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-03.png)
ステップ4:[Platform]を[Web]として選択します。Sign OnメソッドをSAML 2.0と選択します。次の図に示すように[Create]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-04.png)
ステップ5:次の図に示すように、[App name]、[App logo](オプション)を指定し、[Next]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-05.png)
ステップ6:[SAML Settings]を入力します。
シングルサインオンURL:https://<fmc URL>/saml/acs
対象者URI (SPエンティティID): https://<fmc URL>/saml/metadata
既定のリレー状態:/ui/login
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-06.png)
ステップ7:次の図に示すように、[Applications] > [Applications]に戻ります。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-07.png)
ステップ8:作成されたアプリ名をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-08.png)
ステップ9:「割当」にナビゲートします。[割り当て]をクリックします。
作成したアプリ名に個々のユーザーまたはグループを割り当てることができます。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-09.png)
ステップ10:[サインオン]に移動します。「設定手順の表示」をクリックします。「アイデンティティプロバイダ」メタデータをクリックすると、iDPのメタデータが表示されます。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-10.png)
FMCで使用する.xmlファイルとしてファイルを保存します。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-11.png)
FMCの設定手順
ステップ1:管理者権限でFMCにログインします。[System] > [Users]に移動します。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-12.png)
ステップ2:次の図に示すように、[Single Sign-On]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-13.png)
ステップ3:シングルサインオプションを有効にする(デフォルトでは無効)。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-14.png)
ステップ4:[Configure SSO]をクリックし、FMCのSSO設定を開始します。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-15.png)
ステップ5:[FMC SAML Provider]を選択します。[next] をクリックします。
このデモンストレーションの目的はお田です。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-16.png)
ステップ6:[Manual Configuration]を選択し、iDPデータを手動で入力できます。[次へ]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-17.png)
「XMLファイルのアップロード」を選択し、Okta構成のステップ10で取得したXMLファイルをアップロードすることもできます。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-18.png)
ファイルがアップロードされると、FMCにメタデータが表示されます。次の図に示すように[Next]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-19.png)
ステップ7:メタデータを確認します。次の図に示すように[Save]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-20.png)
ステップ8:[Advanced Configuration]の下で[Role Mapping/Default User Role]を設定します。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-21.png)
ステップ9:設定をテストするには、次の図に示すように[Test Configuration]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-22.png)
テストが成功した場合は、ブラウザの新しいタブに、次の図に示すページが表示されます。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-23.png)
ステップ10:[Apply]をクリックし、設定を保存します。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-24.png)
SSOを正常に有効にする必要があります。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-25.png)
確認
ブラウザからFMC URL https://<fmc URL>に移動します。[シングルサインオン]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-26.png)
iDP(Okta)ログインページにリダイレクトされます。SSOクレデンシャルを入力します。[サインイン]をクリックします。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-27.png)
成功した場合は、ログインしてFMCのデフォルトページを表示できます。
FMCで、[システム(System)] > [ユーザ(Users)]に移動し、データベースに追加されたSSOユーザを確認します。
![](/c/dam/en/us/support/docs/security/firepower-management-center/216331-configure-firepower-management-center-ac-28.png)