ユーザーズガイド ASUS P5V-VM ULTRA MOTHERBOARD INSTALLATION GUIDE

[. . . ] コンプライアンス アプリケーション サーバーで、環境設定ファイルが認 識されるようにレジストリを設定する。 3. Password Encryption ツールを起動して LDAP 環境設定ファイルのバインド パスワードを暗号化する。 4. Registration Interface で認証プロトコルを PAP に変更する。 5. [. . . ] 接続要求ポリシーを作成する。 3. 1 LDAP 環境設定ファイルの作成 LDAP と Sophos NAC Advanced を正しく連携させるためには、ご使用の LDAP ディレクトリに適した設定の LDAP 環境設定ファイルを作成する必要があり ます。 1. テキストエディタを使用し、適切な設定の LDAP 環境設定ファイルを作成 します。 ヒント: LDAP 環境設定ファイルのサンプルを参考にしてください。詳細 は、LDAP 環境設定ファイルの設定 (p. 8) をご覧ください。 2. 作成した LDAP 環境設定ファイルは、任意のファイル名と「. config」とい う拡張子を付けて保存します。たとえば、LDAPconfiguration. config などで す。 3. LDAP 環境設定ファイルを、すべてのコンプライアンスアプリケーション サーバーにコピーします。 ヒント: LDAP 環境設定ファイルは C:\Program Files\Sophos\NAC\Authgateway フォルダに保存することを推奨します。 3. 1. 1 環境設定ファイルのサンプル 環境設定ファイルのサンプルは次のとおりです。LDAPsample. config ファイル は、デフォルトでコンプライアンス アプリケーション サーバーの C:\Program Files\Sophos\NAC\Authgateway に保存されています。 環境設定ファイルの各設定項目について、詳しくはLDAP 環境設定ファイル の設定 (p. 8) をご覧ください。 5 Sophos NAC Advanced LDAP 導入ガイド 環境設定サンプル 1 - 標準的な実装用 次の環境設定ファイルのサンプルは、OpenLDAP™ や Novell® eDirectory™ な ど、標準的な LDAP を実装している環境で利用できます。 <?xml version="1. 0" encoding="utf-8"?> <configuration> <ldapSettings> <ldapGroupLookup value="All" /> <ldapComplianceCheck value="All" /> <lookupSettings value="All"> <method type="GroupObject" /> <hosts> <host address="10. 0. 1. 2" port="389" ssl="no" /> <host address="brasslite" port="389" /> <host address="MyLDAP" port="636" ssl="yes" /> </hosts> <BaseDN> <DN type="user" value="dc=example, dc=com" /> <DN type="group" value="ou=mygroups, dc=example, dc=com" /> </BaseDN> <ssl certstore="MY" /> <bindDN value="cn=manager, dc=example, dc=com" /> <bindPW value="AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAAYtMu5iWVl0 66Z678F74kuAQAAAACAAAAAAADZgAAqAAAABAAAABSeKDd9Kq3SRHwvaY yewMwAAAAAASAAACgAAAAEAAAAITxt1veN79O33PeYldTOS4I_u65?AAb MniR1N1FZIUAAAABfM6mmt62tTxcwm66ikA8laRM9M=" /> <timeout value="5" /> <userAttribute value="uid" /> <userFilter value="objectClass=Person" /> <groupAttribute value="cn" /> <groupFilter value="objectClass=GroupOfUniqueNames" /> <groupAttributeName value="UniqueMember" /> </lookupSettings> <ldapAttributes> <attribute name="carlicense" /> <attribute name="homepostaladdress" /> <attribute name="businesscategory" /> </ldapAttributes> <radiusAttributeMaps> <map ldapattr="carlicense" radiusattrnumber="25" attrtype="String" replace="ou=$1, ou=Engineering"> <![ CDATA[ ( . +)]]></map> <map ldapattr="homepostaladdress" radiusattrnumber="11" attrtype="String" replace ="$1"><![CDATA[ ( . +)]]></map> <map ldapattr="businesscategory" radiusattrnumber="26" 6 Sophos NAC Advanced LDAP 導入ガイド vsaname="5428" vsanumber="200" vsatype="Text" replace="$1"><![CDATA[ ( . +)]]></map> </radiusAttributeMaps> </ldapSettings> </configuration> 環境設定サンプル 2 - Active Directory に接続する LDAP 用 次の環境設定ファイルのサンプルは、Active Directory に接続する LDAP を実 装している環境で利用できます。 ヒント: この環境設定のサンプルは、主にテスト用として提供しています。 Active Directory を使用している場合は、Sophos NAC Advanced のデフォルト のグループ機能を使用することを推奨します。デフォルトのグループ機能が 使えない場合は次のサンプルを使用します。 <?xml version ="1. 0" encoding ="utf-8"?> <configuration> <ldapSettings> <ldapGroupLookup value="All" /> <ldapComplianceCheck value="All" /> <lookupSettings value="All"> <method type="GroupObject" /> <hosts> <host address="10. 0. 1. 2" port="389" ssl="no" /> <host address="brasslite" port="389" /> <host address="MyLDAP" port="636" ssl="yes" /> </hosts> <BaseDN> <DN type="user" value="dc=example, dc=com" /> <DN type="group" value="ou=mygroups, dc=example, dc=com" /> </BaseDN> <ssl certstore="MY" /> <bindDN value="cn=manager, dc=example, dc=com" /> <bindPW value="AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAAYtMu5iWVl0 66Z678F74kuAQAAAACAAAAAAADZgAAqAAAABAAAABSeKDd9Kq3SRHwvaY yewMwAAAAAASAAACgAAAAEAAAAITxt1veN79O33PeYldTOS4I_u65?AAb MniR1N1FZIUAAAABfM6mmt62tTxcwm66ikA8laRM9M=" /> <timeout value="5" /> <userAttribute value="samaccountname" /> <userFilter value="objectClass=Person" /> <groupAttribute value="cn" /> 7 Sophos NAC Advanced LDAP 導入ガイド <groupFilter value="objectClass=Group" /> <groupAttributeName value="Member" /> </lookupSettings> <ldapAttributes> <attribute name="carlicense" /> <attribute name="homepostaladdress" /> <attribute name="businesscategory" /> </ldapAttributes> <radiusAttributeMaps> <map ldapattr="carlicense" radiusattrnumber="25" attrtype="String" replace="ou=$1, ou=Engineering"> <![CDATA[(. +)]]></map> <map ldapattr="homepostaladdress" radiusattrnumber="11" attrtype="String" replace="$1"><![CDATA[(. +)]]></map> <map ldapattr="businesscategory" radiusattrnumber="26" vsaname="5428" vsanumber="200" vsatype="Text" replace="$1"><![CDATA[(. +)]]></map> </radiusAttributeMaps> </ldapSettings> </configuration> 3. 1. 2 LDAP 環境設定ファイルの設定 LDAP 環境設定ファイルの要素、属性、説明、および設定可能な値は次の表 をご覧ください。 要素 <configuration> ldapSettings 属性 説明と設定可能な値 すべての LDAP ディレクトリ設定を含むセクショ ン。 <ldapSettings> ldapGroupLookup value RADIUS Enforcer がグループの検索を行う際に参 照する、環境設定ファイル内 lookupSettings セク ションを指定する値。 RADIUS Enforcer がコンプライアンスチェックを 行う際に参照する、環境設定ファイル内の lookupSettings セクションを指定する値。 RADIUS Enforcer がユーザーグループの参照やコ ンプライアンスチェックを行う際に、LDAP ディ レクトリで情報を検索する場所や方法に関する設 定を含むセクション。 ldapComplianceCheck value lookupSettings 8 Sophos NAC Advanced LDAP 導入ガイド 要素 ldapAttributes 属性 説明と設定可能な値 コンプライアンスチェックの際に、RADIUS 属性 に割り当てるために、ディレクトリから取得する LDAP 属性を指定するセクション。 コンプライアンスチェックの際に、LDAP 属性を 割り当てる RADIUS 属性を指定するセクション。 radiusAttributeMaps <lookupSettings> (必要に応じて、複数の lookupSettings セクションを定義できます) method type RADIUS Enforcer が LDAP ディレクトリのユーザー グループを検索するメソッド。次の値を指定でき ます。 ■ GroupObject:グループ名がオブジェクトとして LDAP ディレクトリに保存されていること、 RADIUS Enforcer がユーザーが所属するグルー プオブジェクトを検索する必要のあることを 示す値です。 ■ UserAttribute:グループ名がユーザー属性に含 まれ、ユーザーが所属するグループを決定す るために RADIUS Enforcer がユーザーオブジェ クトを検索する必要のあることを示す値です。 hosts LDAP ディレクトリのホストマシンの設定を含む セクション。 address LDAP ディレクトリのホストマシンの IP アドレス やホスト名。 LDAP ディレクトリ ホストマシンへ接続に使用す るポート。 value=Yes の場合、SSL 経由 で LDAP ディレクトリ のホストマシンに接続。 LDAP ディレクトリの DN (Base Distinguished Name、基本識別名) を含むセクション。 type RADIUS Enforcer が LDAP ディレクトリを検索す る際の検索場所を決定するために使用される DN 型。この値は、各グループやユーザーが属するい かなる OU よりも、上のディレクトリ階層にある 必要があります。次の値を指定できます。 ■ User: LDAP ディレクトリで一致するユーザー host port ssl BaseDN DN オブジェクトを検索する際、ユーザーグルー プ検索とコンプライアンスチェックの両方に 使用する値です。 9 Sophos NAC Advanced LDAP 導入ガイド 要素 属性 説明と設定可能な値 ■ Group: ユーザーが所属するグループオブジェ クトを検索する際に使用する値です。この値 は、メソッドの型が GroupObject である場合に のみ使用されます。 value RADIUS Enforcer が LDAP ディレクトリを検索す る際に、検索の開始点となる実際のベース DN。 この値は、各グループやユーザーが属するいかな る OU よりも、上のディレクトリ階層にある必要 があります。 証明書用ストア名を指定する文字列。値は「MY」 のみを使用してください。 ヒント: 指定したホストに対し SSL を設定する場 合のみ設定が必要です。 bindDN value すべての LDAP 検索を行うために使用されるユー ザー ID。匿名バインドの場合、このフィールドは 空白のままにしてください。 ヒント: Active Directory への接続を認証するため に LDAP を使用する場合、このサービスアカウン トには、ドメインのユーザーアカウントが属する CN または OU のサブツリーに対する読み取り許 可と、グループのメンバーシップに対する読み取 り許可を与える必要があります。 bindPW value 関連する bindDN アカウント用パスワード。非認 証バインドの場合、このフィールドは空白のまま にしてください。 重要: このフィールドは暗号化されるため、パス ワード暗号化ツールを使用して設定する必要があ ります。詳細は、Password Encryption ツールを起 動し、バインドパスワードを暗号化する (p. コンプライアンス アプリケーション サーバーで Password Encryption ツー ル、または AuthGatewayConfig. exe を参照します。このツールのデフォル トの保存場所は、C:\Program Files\Sophos\NAC\Authgateway です。 2. この手順をすべてのコンプライアンス アプリケーション サーバーで繰り 返してください。 3. 6 接続要求ポリシーを作成する LDAP と Sophos NAC Advanced を正しく連動させるには、すべてのコンプラ イアンス アプリケーション サーバーで、接続要求ポリシーを作成する必要 があります。 1. コンプライアンス アプリケーション サーバーの「スタート」メニューか ら、「 管理ツール > インターネット認証サービス 」をクリックします。 インターネット認証サービスが開きます。「接続要求の処理」をダブルク リックします。「接続要求ポリシー」を右クリックします。「 新規作成 > 接続要求ポリシー 」の順にクリックします。 17 Sophos NAC Advanced LDAP 導入ガイド 2. 続行するには「次へ」をクリックしてください。 3. 「カスタム ポリシー」オプションボタンを選択します。 4. ポリシー名を入力します。 5. 続行するには「次へ」をクリックしてください。 18 Sophos NAC Advanced LDAP 導入ガイド 6. 「追加」をクリックして属性を追加します。 7. 適切な属性を選択して「追加」をクリックします。 ヒント: 通常、「Day-And-Time-Restrictions」を選択します。 8. 適切な「時間帯の制約」を指定し、「OK」をクリックします。 ヒント: 通常、「時間帯の制約」はすべての時間帯と曜日の接続を許可す るように設定します。このように設定するには、「許可」オプションボタ ンを選択します。 19 Sophos NAC Advanced LDAP 導入ガイド 9. [. . . ] 適切な「時間帯の制約」を指定し、「OK」をクリックします。 ヒント: 通常、「時間帯の制約」はすべての時間帯と曜日の接続を許可す るように設定します。このように設定するには、「許可」オプションボタ ンを選択します。 19 Sophos NAC Advanced LDAP 導入ガイド 9. 続行するには「次へ」をクリックしてください。 10. 「プロファイルの編集」をクリックします。 11. [. . . ]