ステップ 1

Duo Admin Panel にログインし、[シングルサインオン（Single Sign-On）] をクリックします。

ステップ 2

（オプション）Duo Single Sign-On を初めて設定する場合は、[シングルサインオン（Single Sign-On）] ページの情報と Duo プライバシーステートメントを確認してください。利用規約に同意し、[アクティブ化して設定を開始（Activate and Start Setup）] をクリックします。

ステップ 3

[SSOサブドメインをカスタマイズする（Customize your SSO subdomain）] ページで、Duo SSO によるログイン時にユーザーに表示するサブドメインを指定します。たとえば、example と入力すると、Duo SSO へのログイン時に、URL に example.login.duosecurity.com と表示されます。

ステップ 4

[認証ソースの追加（Add Authentication Source）] ページで、[SAML IDプロバイダーの追加（Add SAML Identity Provider）] をクリックします。

ステップ 1

Microsoft Azure ポータルにログインし、[Microsoft Entra ID] をクリックします。

ステップ 2

左側のペインの [エンタープライズアプリケーション（Enterprise Applications）] をクリックし、[+新しいアプリケーション（+ New Application）] をクリックします。

ステップ 3

[+独自のアプリケーションの作成（+ Create your own application）] をクリックして、Duo SSO 設定用の新しいアプリケーションを作成します。

ステップ 4

アプリケーションを一意に識別する表示名（ Duo SSO など）を指定します。

ステップ 5

[ギャラリーにない他のアプリケーションを統合する（Integrate any other application you not find in the gallery）] オプションを選択し、[作成（Create）] をクリックします。

ステップ 6

Duo SSO アプリケーションの [概要（Overview ）] ページで、[ユーザーとグループ（ Users and groups）] をクリックします。

ステップ 7

[+ユーザー/グループの追加（+ Add user/group ）] をクリックし、Entra ID ログイン情報を使って Duo SSO にログインするためのアクセス権を付与するユーザーとグループを選択します。ユーザーとグループを選択したら、ページの下部にある [割り当て（Assign）] をクリックします。

ステップ 8

左側のペインで、[シングルサインオン（Single sign-on）] をクリックし、[シングルサインオン方式の選択（Select a single sign-on method ）] ページで [SAML] をクリックします。

ステップ 9

[SAMLによるシングルサインオンの設定（Set up Single Sign-On with SAML）] ページで、[SAMLの基本設定（Basic SAML Configuration）] の横にある [編集（Edit）] をクリックします。

ステップ 10

Duo Admin Panel の [SAML IDプロバイダーの設定（ Configure the SAML Identity Provider ）] セクションから取得できる Duo SSO メタデータ情報を入力します。

1. Duo Admin Panel から [エンティティID（Entity ID）] をコピーし、Entra 管理センターの [識別子（エンティティID）（Identifier (Entity ID)）] フィールドに貼り付けます。

2. Duo Admin Panel から [Assertion Consumer ServiceのURL（Assertion Consumer Service URL） ] をコピーし、Entra 管理センターの [応答URL（Assertion Consumer ServiceのURL）（Reply URL (Assertion Consumer Service URL)）] フィールドに貼り付けます。

3. 他のフィールドはすべて空白のままにして、[保存（Save）] をクリックします。

ステップ 11

[属性と要求（Attributes & Claims）] セクションの横にある [編集（Edit）] をクリックして、Duo への SAML 応答送信時に使用する属性名を設定します。

1. [追加の要求（Additional Claims）] に設定されているすべてのデフォルト要求を削除します。

2. [+新しい要求の追加（+ Add new claim）] をクリックし、次のブリッジ属性を使用して、合計 5 つの要求を追加します。

   属性名では大文字と小文字が区別されます。

   表 1. Microsoft Entra ID 属性名

   名前	名前空間	ソース	ソース属性
   Email	空白のままにする	属性	user.mail
   Username	空白のままにする	属性	user.userprinciplename
   FirstName	空白のままにする	属性	user.givenname
   LastName	空白のままにする	属性	user.surname
   DisplayName	空白のままにする	属性	user.displayname

3. 5 つすべての要求を追加したら、右上にある [閉じる（x）（Close (x)）] アイコンをクリックしてビューを閉じます。

ステップ 1

ユーザーが SAML を使用して Microsoft Entra ID で認証を行うと、Entra ID から Duo にトークンが発行されます。Duo は、ユーザーにユーザー名とパスワードの入力を求める代わりに、このトークンを使用してユーザーをサインインします。Microsoft Entra ID は、一意の証明書を使用してこれらの SAML トークンに署名します。次の手順に従って、Duo によるトークンの復号に使用できる SAML 証明書を Entra ID からダウンロードします。

1. Microsoft Entra 管理センターで、Duo 用に作成したアプリケーション [Duo SSO] を選択し、[シングルサインオン（Single Sign-on）] をクリックします。

2. [SAML証明書（SAML Certificates）] セクションで、[証明書（Base64）（Certificate (Base64)）] の横にある [ダウンロード（Download）] をクリックして SAML 証明書をダウンロードします。

   

ステップ 2

[Duo SSOの設定（Set up Duo SSO）] から取得できる Entra ID（または指定した名前）のメタデータ情報をコピーします。

ステップ 3

Duo Admin Panel に戻り下にスクロールして、[SAML IDプロバイダーの設定（SAML Identity Provider Configuration）] ページの [Duo Single Sign-Onの設定（Configure Duo Single Sign-On）] セクションを表示します。

ステップ 4

SAML ID プロバイダーを識別する一意の表示名（Entra IDなど）を指定します。

ステップ 5

Entra ID から [Microsoft Entra ID識別子（Microsoft Entra ID Identifier）] をコピーし、Duo Admin Panel の [識別子（エンティティID）（Identifier (Entity ID)）] フィールドに貼り付けます。

ステップ 6

Entra ID から [ログインURL（Login URL）] をコピーして、Duo Admin Panel の [シングルサインオンURL（Single Sign-On URL）] フィールドに貼り付けます。

ステップ 7

Entra ID からダウンロードした SAML 証明書を Duo Admin Panel の [証明書（Certificate）] セクションにアップロードします。

ステップ 8

[ユーザー名の正規化（Username Normalization）] オプションは [簡易（Simple）] のままにします。ユーザー名の正規化は、プライマリ認証で入力されたユーザー名を Duo ユーザーアカウントとの照合前に変更する必要があるかどうかを決める設定です。

ステップ 9

[保存（Save）] をクリックします。

ステップ 1

Duo Admin Panel にログインし、[アプリケーション（Applications）] を選択します。

ステップ 2

[アプリケーションの保護（Protect an Application）] をクリックします。

ステップ 3

下にスクロールして、アプリケーションリストから保護タイプが [DuoがホストするSSOによる2FA（シングルサインオン）（2FA with SSO hosted by Duo (Single Sign-On)）] である [Cisco Firepower Threat Defense VPN] を探して、アプリケーションの横にある [保護（Protect）] をクリックします。

ステップ 4

Cisco Secure Firewall Threat Defense のパブリックに解決可能なホスト名を [Cisco FirepowerベースURL（Cisco Firepower Base URL）] に入力します。

ステップ 5

SSO を設定するリモートアクセス VPN の接続プロファイル名を [接続プロファイル名（Connection Profile Name）] に入力します。

ステップ 6

ページの一番下までスクロールし、[Save] をクリックします。

ステップ 1

Duo Admin Panel にログインし、[アプリケーション（Applications）] を選択します。

ステップ 2

Duo で保護されたアプリケーションを作成するの説明に従って、アプリケーションリストから、設定済みの [Cisco Firepower Threat Defense VPN] アプリケーションを選択します。

ステップ 3

アプリケーションの詳細ページで、[ダウンロード （Downloads）] にある [IDプロバイダー証明書（Identity Provider Certificate）] の横の [証明書のダウンロード（Download certificate）] をクリックします。

ステップ 4

Management Center にログインし、[デバイス（Devices）] > [証明書（Certificates）]をクリックします。

ステップ 5

[追加（Add）] をクリックします。

ステップ 6

Duo SSO を設定する Threat Defense デバイスを選択します。

ステップ 7

[証明書の登録（Cert Enrollment）] の横にある [+] をクリックします。

ステップ 8

証明書の名前（duo_sso_cert など）を指定します。

ステップ 9

[登録タイプ（Enrollment Type）] ドロップダウンリストから、[手動（Manual）] を選択します。

ステップ 10

[CAのみ（CA Only）] チェックボックスをオンにします。

ステップ 11

メモ帳などのテキストエディタで先ほどダウンロードした証明書ファイルを開き、BEGIN CERTIFICATE と END CERTIFICATE の行を含むテキストの内容をすべてコピーします。Management Center の [CA証明書（CA Certificate）] フィールドに証明書ファイルのテキストを貼り付けます。

ステップ 12

[CA証明書の基本的な制約のCAフラグチェックをスキップする（Skip Check for CA flag in basic constraints of the CA Certificate）] チェックボックスをオンにし、トラストポイント証明書の基本的な制約の拡張と CA フラグのチェックをスキップします。

ステップ 13

[Save] をクリックします。

ステップ 14

[追加（Add）] をクリックします。

ステップ 1

Management Center で[オブジェクト（Object）] > [オブジェクト管理（Object Management）] > [AAAサーバー（AAA Server）] > [シングルサインオンサーバー（Single Sign-on Server）]を選択します。

ステップ 2

[シングルサインオンサーバーの追加（Add Single Sign-on Server）] をクリックします。

ステップ 3

[名前（Name）] フィールドの名前に Duo SSO を入力します。

ステップ 4

[Duo Admin Panelメタデータ（Duo Admin Panel Metadata）] セクションから [IDプロバイダーエンティティID（Identity Provider Entity ID）] をコピーし、 Management Center の [IDプロバイダーエンティティID（Identity Provider Entity ID）] フィールドに貼り付けます。

ステップ 5

[Duo Admin Panelメタデータ（Duo Admin Panel Metadata）] セクションから SSO URL をコピーし、Management Center の [SSO URL] フィールドに貼り付けます。

ステップ 6

（オプション）[Duo Admin Panelメタデータ（Duo Admin Panel Metadata）] セクションからログアウト URL をコピーし、Management Center の [ログアウトURL（Logout URL）] フィールドに貼り付けます

ステップ 7

Threat Defense のパブリックに解決可能なホスト名を [ベースURL（Base URL）] として指定します。この URL は、ID プロバイダー認証が完了すると、ユーザーを再び Secure Firewall Threat Defense にリダイレクトします。

ステップ 8

[IDプロバイダー証明書（Identity Provider Certificate）] ドロップダウンリストから ID プロバイダー証明書 duo_sso_cert を選択します。

ステップ 9

[署名を要求（Request Signature）] の設定は [署名なし（No Signature）] のままにします。

ステップ 10

[ログイン時にIdPの再認証を要求する（Request IdP re-authentication on Login）] チェックボックスをオフにします。

ステップ 11

他のオプションはすべてデフォルト設定のままにして、[保存（Save）] をクリックします。

ステップ 1

Management Center で、[デバイス（Devices）] > [リモートアクセス（Remote Access）]を選択します。

ステップ 2

更新するリモートアクセス VPN の横にある [編集（Edit）] （） アイコンをクリックします。

ステップ 3

Duo Single Sign-On を使用する接続プロファイルの横にある [編集（Edit）] （） アイコンをクリックします。

ステップ 4

[AAA] タブをクリックします。

ステップ 5

[認証方式（Authentication Method）] ドロップダウンリストから [SAML] を選択します。

ステップ 6

[認証サーバー（Authentication Server）] ドロップダウンリストから Duo Single Sign-On サーバーである [Duo SSO] を選択します。

ステップ 7

[エイリアス（Aliases）] タブをクリックし、この接続プロファイルのエイリアス名を追加して、接続をこの接続プロファイルにマッピングします。Secure Client に表示されるドロップダウンリストにこのエイリアス名が表示されます。

ステップ 8

変更を保存します。

ステップ 1

Management Center メニュー バーで、[展開（Deploy）] をクリックします。

ステップ 2

[高度な展開（Advanced Deploy）] をクリックします。

ステップ 3

設定を展開する Threat Defense デバイスの横にあるチェックボックスをオンにし、[展開（Deploy）] をクリックします。

ステップ 1

セキュアクライアント を開き、SAML SSO 認証を使用する VPN 接続プロファイルを選択して、[接続（Connect）] をクリックします。

ステップ 2

セキュアクライアント により、プライマリ認証用の Microsoft Entra ID ログインページにリダイレクトされます。ログイン情報を使用してログインします。

ステップ 3

ユーザーログイン情報の検証が正常に完了すると、二要素認証のために Duo にリダイレクトされます。プロンプトが表示されたら、Duo 二要素認証を完了します。