ユーザーズガイド CREATIVE AURVANA IN-EAR 2 QUICK START GUIDE

[. . . ] 8) をご覧ください。 5 Sophos NAC Advanced 環境設定サンプル 1 - 標準的な実装用 次の環境設定ファイルのサンプルは、OpenLDAP™ や Novell® eDirectory™ な ど、標準的な LDAP を実装している環境で利用できます。 <?xml version="1. 0" encoding="utf-8"?> <configuration> <ldapSettings> <ldapGroupLookup value="All" /> <ldapComplianceCheck value="All" /> <lookupSettings value="All"> <method type="GroupObject" /> <hosts> <host address="10. 0. 1. 2" port="389" ssl="no" /> <host address="brasslite" port="389" /> <host address="MyLDAP" port="636" ssl="yes" /> </hosts> <BaseDN> <DN type="user" value="dc=example, dc=com" /> <DN type="group" value="ou=mygroups, dc=example, dc=com" /> </BaseDN> <ssl certstore="MY" /> <bindDN value="cn=manager, dc=example, dc=com" /> <bindPW value="AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAAYtMu5iWVl0 66Z678F74kuAQAAAACAAAAAAADZgAAqAAAABAAAABSeKDd9Kq3SRHwvaY yewMwAAAAAASAAACgAAAAEAAAAITxt1veN79O33PeYldTOS4I_u65?AAb MniR1N1FZIUAAAABfM6mmt62tTxcwm66ikA8laRM9M=" /> <timeout value="5" /> <userAttribute value="uid" /> <userFilter value="objectClass=Person" /> <groupAttribute value="cn" /> <groupFilter value="objectClass=GroupOfUniqueNames" /> <groupAttributeName value="UniqueMember" /> </lookupSettings> <ldapAttributes> <attribute name="carlicense" /> <attribute name="homepostaladdress" /> <attribute name="businesscategory" /> </ldapAttributes> <radiusAttributeMaps> <map ldapattr="carlicense" radiusattrnumber="25" attrtype="String" replace="ou=$1, ou=Engineering"> <![ CDATA[ ( . +)]]></map> 6 LDAP 導入ガイド <map ldapattr="homepostaladdress" radiusattrnumber="11" attrtype="String" replace ="$1"><![ CDATA[ ( . +)]]></map> <map ldapattr="businesscategory" radiusattrnumber="26" vsaname="5428" vsanumber="200" vsatype="Text" replace="$1"><![ CDATA[ ( . [. . . ] xml version ="1. 0" encoding ="utf-8"?> <configuration> <ldapSettings> <ldapGroupLookup value="All" /> <ldapComplianceCheck value="All" /> <lookupSettings value="All"> <method type="GroupObject" /> <hosts> <host address="10. 0. 1. 2" port="389" ssl="no" /> <host address="brasslite" port="389" /> <host address="MyLDAP" port="636" ssl="yes" /> </hosts> <BaseDN> <DN type="user" value="dc=example, dc=com" /> <DN type="group" value="ou=mygroups, dc=example, dc=com" /> </BaseDN> <ssl certstore="MY" /> <bindDN value="cn=manager, dc=example, dc=com" /> <bindPW value="AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAAYtMu5iWVl0 66Z678F74kuAQAAAACAAAAAAADZgAAqAAAABAAAABSeKDd9Kq3SRHwvaY yewMwAAAAAASAAACgAAAAEAAAAITxt1veN79O33PeYldTOS4I_u65?AAb 7 Sophos NAC Advanced MniR1N1FZIUAAAABfM6mmt62tTxcwm66ikA8laRM9M=" /> <timeout value="5" /> <userAttribute value="samaccountname" /> <userFilter value="objectClass=Person" /> <groupAttribute value="cn" /> <groupFilter value="objectClass=Group" /> <groupAttributeName value="Member" /> </lookupSettings> <ldapAttributes> <attribute name="carlicense" /> <attribute name="homepostaladdress" /> <attribute name="businesscategory" /> </ldapAttributes> <radiusAttributeMaps> <map ldapattr="carlicense" radiusattrnumber="25" attrtype="String" replace="ou=$1, ou=Engineering"> <![CDATA[(. +)]]></map> <map ldapattr="homepostaladdress" radiusattrnumber="11" attrtype="String" replace="$1"><![CDATA[(. +)]]></map> <map ldapattr="businesscategory" radiusattrnumber="26" vsaname="5428" vsanumber="200" vsatype="Text" replace="$1"><![CDATA[(. +)]]></map> </radiusAttributeMaps> </ldapSettings> </configuration> 3. 1. 2 LDAP 環境設定ファイルの設定 LDAP 環境設定ファイルの要素、属性、説明、および設定可能な値は次の表 をご覧ください。 要素 <configuration> ldapSettings 属性 説明と設定可能な値 すべての LDAP ディレクトリ設定を含むセクショ ン。 <ldapSettings> ldapGroupLookup value RADIUS Enforcer がグループの検索を行う際に参 照する、環境設定ファイル内 lookupSettings セク ションを指定する値。 RADIUS Enforcer がコンプライアンスチェックを 行う際に参照する、環境設定ファイル内の lookupSettings セクションを指定する値。 ldapComplianceCheck value 8 LDAP 導入ガイド 要素 lookupSettings 属性 説明と設定可能な値 RADIUS Enforcer がユーザーグループの参照やコ ンプライアンスチェックを行う際に、LDAP ディ レクトリで情報を検索する場所や方法に関する設 定を含むセクション。 コンプライアンスチェックの際に、RADIUS 属性 に割り当てるために、ディレクトリから取得する LDAP 属性を指定するセクション。 コンプライアンスチェックの際に、LDAP 属性を 割り当てる RADIUS 属性を指定するセクション。 ldapAttributes radiusAttributeMaps <lookupSettings> (必要に応じて、複数の lookupSettings セクションを定義できます) method type RADIUS Enforcer が LDAP ディレクトリのユーザー グループを検索するメソッド。次の値を指定でき ます。 ■ GroupObject:グループ名がオブジェクトとして LDAP ディレクトリに保存されていること、 RADIUS Enforcer がユーザーが所属するグルー プオブジェクトを検索する必要のあることを 示す値です。 ■ UserAttribute:グループ名がユーザー属性に含 まれ、ユーザーが所属するグループを決定す るために RADIUS Enforcer がユーザーオブジェ クトを検索する必要のあることを示す値です。 hosts LDAP ディレクトリのホストマシンの設定を含む セクション。 address LDAP ディレクトリのホストマシンの IP アドレス やホスト名。 LDAP ディレクトリ ホストマシンへ接続に使用す るポート。 value=Yes の場合、SSL 経由 で LDAP ディレクトリ のホストマシンに接続。 LDAP ディレクトリの DN (Base Distinguished Name、基本識別名) を含むセクション。 type RADIUS Enforcer が LDAP ディレクトリを検索す る際の検索場所を決定するために使用される DN 型。この値は、各グループやユーザーが属するい host port ssl BaseDN DN 9 Sophos NAC Advanced 要素 属性 説明と設定可能な値 かなる OU よりも、上のディレクトリ階層にある 必要があります。次の値を指定できます。 ■ User: LDAP ディレクトリで一致するユーザー オブジェクトを検索する際、ユーザーグルー プ検索とコンプライアンスチェックの両方に 使用する値です。 ■ Group: ユーザーが所属するグループオブジェ クトを検索する際に使用する値です。この値 は、メソッドの型が GroupObject である場合に のみ使用されます。 value RADIUS Enforcer が LDAP ディレクトリを検索す る際に、検索の開始点となる実際のベース DN。 この値は、各グループやユーザーが属するいかな る OU よりも、上のディレクトリ階層にある必要 があります。 証明書用ストア名を指定する文字列。値は「MY」 のみを使用してください。 ヒント: 指定したホストに対し SSL を設定する場 合のみ設定が必要です。 bindDN value すべての LDAP 検索を行うために使用されるユー ザー ID。匿名バインドの場合、このフィールドは 空白のままにしてください。 ヒント: Active Directory への接続を認証するため に LDAP を使用する場合、このサービスアカウン トには、ドメインのユーザーアカウントが属する CN または OU のサブツリーに対する読み取り許 可と、グループのメンバーシップに対する読み取 り許可を与える必要があります。 bindPW value 関連する bindDN アカウント用パスワード。非認 証バインドの場合、このフィールドは空白のまま にしてください。 重要: このフィールドは暗号化されるため、パス ワード暗号化ツールを使用して設定する必要があ ります。詳細は、Password Encryption ツールを起 動し、バインドパスワードを暗号化する (p. コンプライアンス アプリケーション サーバーで Password Encryption ツー ル、または AuthGatewayConfig. exe を参照します。このツールのデフォル トの保存場所は、C:\Program Files\Sophos\NAC\Authgateway です。 2. レジストリ設定 LDAPConfigFilename で作成した設定ファイルが指定され ていることを確認します。 3. コマンドプロンプトで AuthGatewayConfig. exe ファイルが保存されている デイレクトリへ移動します。 4. AuthGatewayConfig. exe <bindDN><bindPW> と入力します。ここで、 <bindDN> と <bindPW> は適切なバインドユーザー ID と、バインドパス ワードの値です。「Enter」キーを押します。バインドパスワードが問題 なく更新されたというメッセージが表示されます。 重要: bindDN は、作成した設定ファイルで表示されるとおりに入力して ください。 3. 4 Registration Interface で認証プロトコルを PAP に変更す る Sophos NAC Advanced のデフォルトの認証プロトコルは、MSchapV2 RADIUS 認証プロトコルです。LDAP を実装している場合、Registration Interface で認 証プロトコルを PAP へ変更する必要があります。 重要: PAP はパスワードを暗号化せずに送信するため、ソフォスでは SSL 経 由で LDAP を使用することを推奨しています。SSL 経由で LDAP を使用する には、ドメイン コントローラまたはディレクトリ サーバーに、証明書をイ 14 LDAP 導入ガイド ンストールする必要があります。この設定の詳細は、ご使用の製品のドキュ メントを参照してください。 1. 該当するコンプライアンス アプリケーション サーバーで、Registration Interface 用の Registration Interface Web. config ファイルを参照します。デ フォルトのインストール先にSophos NAC Advancedソフトウェアをインス トールした場合、ファイルの保存場所は次のとおりです。 C:\inetpub\wwwroot\RegistrationInterface\web. config 2. 「メモ帳」で Web. config ファイルを開きます。 3. authInterface セクションの下の radius というサブセクションを探します。 4. <add key="authType" value="mschapv2" /> という行にある値 mschapv2 を pap に変更します。 5. ファイルを保存して閉じます。 変更後の Registration Interface web. config ファイルの radius サブセクション は次のとおりです。 <radius> <add key="authType" value="pap" /> <add key="serverRetries" value="1" /> <add key="listRetries" value="1" /> </radius> 6. 続行するには「次へ」をクリックしてください。 6. 「追加」をクリックして属性を追加します。 7. 適切なポリシー条件を選択し、「追加」をクリックします。 ヒント: 通常、「Day-And-Time-Restrictions」を選択します。 8. 適切な「時間帯の制約」を指定し、「OK」をクリックします。 ヒント: 通常、「時間帯の制約」はすべての時間帯と曜日の接続を許可す るように設定します。このように設定するには、「許可」オプションボタ ンを選択します。 9. 続行するには「次へ」をクリックしてください。 10. 「プロファイルの編集」をクリックします。 11. 「資格情報を確認せずにユーザーを受け入れる」オプションボタンを選択 し、「OK」をクリックします。 12. 続行するには「次へ」をクリックしてください。 13. 「完了」をクリックします。 ヒント: コンプライアンス アプリケーション サーバーに他の接続要求ポ リシーが存在する場合は、この接続要求ポリシーの処理の優先度が低く設 定されていることを確認してください。 14. この手順をすべてのコンプライアンス アプリケーション サーバーで繰り 返してください。 3. 8 新しい接続要求ポリシーを作成する (Windows Server 2008) 17 Sophos NAC Advanced LDAP と Sophos NAC Advanced を正しく連動させるには、すべてのコンプラ イアンス アプリケーション サーバーで、接続要求ポリシーを作成する必要 があります。 1. [. . . ] コンプライアンス アプリケーション サーバーの「スタート」メニューか ら、「 管理ツール > ネットワーク ポリシー サーバー 」をクリックしま す。 ネットワーク ポリシー サーバーが開きます。 2. 「ポリシー」で「接続要求ポリシー」を右クリックし、「新しい接続要求 ポリシー」をクリックします。 3. ポリシー名を入力し、ネットワーク接続の方法は「指定なし」のままにし ます。 4. 続行するには「次へ」をクリックしてください。 5. [. . . ]