※ FortiGate にて事前の設定が必要です。
※ 最新の設定手順は、FortiGate からご提供されているマニュアルをご確認くださいますようお願いいたします。(弊社はFortiOS v7.0.1 build0157 (GA)で検証しております。)
トラスト・ログインの管理ページの設定
- トラスト・ログインにログインし、「管理ページ > アプリ」メニューを開き、画面右上の「アプリ登録」ボタンを押します。
- 「企業アプリ登録」画面で検索し、「FortiGate (SAML) 」を選択します。
- 「IDプロバイダーの情報」の「IDプロバイダーURL」「発行者・エンティティID」を控えておき、「証明書を取得」から証明書をダウンロードします。
証明書はtxtファイルとなっていますので、拡張子を「.cert」に変更しておきます。 - 「サービスプロバイダーの設定」の空欄3箇所に接続対象となるIP、ポートを「[IP]:[ポート]」の形式で入力します。
- 「登録」ボタンで保存します。
FortiGate の設定
- FortiGate の管理画面を開き、「システム > 証明書 > インポート > リモート」からトラスト・ログインからダウンロードした証明書をアップロードします。
証明書のファイル名を控えておいてください。 -
FortiGateコンソールからSAMLユーザーを作成します。
トラスト・ログインから控えた「IDプロバイダーURL」「発行者・エンティティID」、FortiGateにアップロードした際の「証明書名」を使用します。
通常ローカルユーザーを作る場合はGUIからconfig user localへ作成しますが、SAMLの場合、FortiGateの内部にデータベースは作成されないため、user samlの中にSSOに必要な設定をCLIで書き込むという作業が必要です。 -
FortiGateコンソールからグループを作り、２．で作成したユーザと紐づけします。
-
SSL-VPN設定を行います。
リッスンするインターフェース
port1
必要に応じて設定する
リッスンするポート
4443
必要に応じて設定する、本マニュアルでは4443としている
サーバー証明書
Fortinet_Factory
必要に応じて設定する
認証 / ポータルマッピング
tl-saml-group
CLIにて作成したユーザーグループ
-
ファイアウォールポリシーを設定します。
着信インターフェース
SSL-VPN tunnel interface (ssl.root)
発信インターフェース
port1 必要に応じて設定する
送信元（source）
tl-saml-group
CLIにて作成したユーザーグループ 宛先
all スケジュール
always サービス
ALL
トラスト・ログインのユーザーの設定
① ユーザーがマイページで追加する場合
- 「マイページ」で「アプリ追加」ボタンを押します。
- 「アプリ登録」画面で「FortiGate (SAML) 」を選択し、画面右上の「次へ」ボタンを押します。
- 「表示名」を変更する場合は入力し、「登録」ボタンを押します。
- 「マイページ」または「拡張機能」でアプリをクリックし、ログインが成功するかご確認ください。
②管理者がメンバーを追加する場合
- 「管理ページ > アプリ」メニューで「FortiGate (SAML) 」アプリを検索しクリックします。
- 「メンバー追加」をクリックし、メンバー一覧から追加するユーザーを選択し「登録」ボタンを押して追加します。
接続設定
Windowsの設定
-
IEのインターネットオプション設定での「セキュリティ」タブ内の「信頼済みサイト」で
FortiGateサーバのIPを信頼済みサイトに追加します。 -
IEのインターネットオプション設定での「詳細」タブ内の「TLS1.0を使用する」のチェックを外して保存します。
FortiClient VPN利用
本例の説明は最新版のFortiClient Windowsエディションを利用しています。
https://www.fortinet.com/support/product-downloads#vpn
-
新規VPN接続で接続対象のIP・ポートを入力し、SSOと外部ブラウザによる認証を有効にします。
-
「SAML Login」ボタンを押下すると、ブラウザが開きトラストログインの認証が求められます。トラスト・ログイン側でログイン後、FortiClient VPNのSAML認証が始まり、成功するとFortiClient VPNの接続が確立します。