Secure Firewall Threat Defense ダイナミック アクセス ポリシーについて
VPN ゲートウェイは動的な環境で動作します。個々の VPN 接続には、複数の変数が影響を与える可能性があります。たとえば、頻繁に変更されるイントラネット設定、組織内の各ユーザーが持つさまざまなロール、および設定とセキュリティレベルが異なるリモートアクセスサイトからのログイン試行などです。VPN 環境でのユーザー認可のタスクは、スタティックな設定のネットワークでの認可タスクよりもかなり複雑です。
ダイナミック アクセス ポリシーは、特定のユーザートンネルまたはユーザーセッションに関連付ける一連のアクセスコントロール属性を設定して作成できます。これらの属性により、複数のグループメンバーシップやエンドポイントセキュリティの問題に対処します。Threat Defense では、定義したポリシーに基づき、特定のセッションへのアクセス権が特定のユーザーに付与されます。Threat Defense デバイスは、ユーザーの認証中に、DAP レコードからの属性を選択または集約することによって DAP を生成します。次に、リモートデバイスのエンドポイントセキュリティ情報および認証されたユーザーの AAA 認可情報に基づいて DAP レコードを選択します。その後、デバイスは選択した DAP レコードをユーザートンネルまたはセッションに適用します。
Threat Defense での権限および属性のポリシー適用階層
Threat Defense デバイスは、ユーザー認可属性（ユーザー権利またはユーザー権限とも呼ばれる）の VPN 接続への適用をサポートしています。属性は、Threat Defense の DAP、外部認証サーバー、または認可 AAA サーバー（RADIUS）（あるいはこれらのすべて）、または Threat Defense デバイスのグループポリシーから適用されます。
Threat Defense デバイスは、すべてのソースから属性を受信すると、その属性を評価し、集約してユーザーポリシーに適用します。DAP、AAA サーバー、またはグループポリシーから取得した属性の間で衝突がある場合、DAP から取得した属性が常に優先されます。
Threat Defense デバイスは次の順序で属性を適用します。
-
FTD 上の DAP 属性：DAP 属性は、他のすべての属性よりも優先されます。
-
外部 AAA サーバー上のユーザー属性：ユーザー認証や認可が成功すると、サーバーからこの属性が返されます。
-
FTD で設定されているグループポリシー：RADIUS サーバーからユーザーの RADIUS Class 属性 IETF-Class-25（OU=group-policy）の値が返された場合、Threat Defense デバイスはそのユーザーを同じ名前のグループポリシーに入れて、そのグループポリシーの属性のうち、サーバーから返されないものを適用します。
-
接続プロファイル（トンネルグループと呼ばれる）で割り当てられたグループポリシー：接続プロファイルには、接続の事前設定と、認証前にユーザーに適用されるデフォルトのグループポリシーが含まれています。
 （注） |
Threat Defense デバイスは、デフォルトのグループ ポリシー DfltGrpPolicy から継承したシステム デフォルト属性をサポートしていません。ユーザー属性または AAA サーバーのグループポリシーによって上書きされない場合、デバイスは、接続プロファイルに割り当てられたグループポリシーの属性をユーザーセッションに使用します。 |
フィードバック