認証ポリシーの投稿
重要:
エンドポイント分析は、あらかじめ決められたコンプライアンス基準に照らしてユーザーデバイスを分析することを目的としており、エンドユーザーデバイスのセキュリティを強制または検証するものではありません。ローカル管理者による攻撃からデバイスを保護するには、エンドポイントセキュリティシステムを使用することをお勧めします。
認証後ポリシーは、セッションをアクティブに保つためにユーザーデバイスが満たす必要がある汎用ルールのセットです。ポリシーが失敗すると、NetScaler Gateway への接続は終了します。認証後ポリシーを構成すると、条件付きに設定できるユーザー接続の設定を構成できます。
セッションポリシーを使用して、認証後のポリシーを設定します。まず、ポリシーを適用するユーザーを作成します。次に、ユーザーをグループに追加します。次に、セッション、トラフィックポリシー、およびイントラネットアプリケーションをグループにバインドします。
また、グループを承認グループとして指定することもできます。このタイプのグループでは、セッションポリシー内のクライアントデバイスチェック式に基づいてユーザーをグループに割り当てることができます。
また、ユーザーデバイスがポリシーの要件を満たしていない場合にユーザーを検疫グループに入れるように、認証後ポリシーを構成することもできます。シンプルなポリシーには、クライアントデバイスのチェック表現とメッセージが含まれます。ユーザーが検疫グループに属している場合、ユーザーはNetScaler Gateway にログオンできますが、ネットワークリソースへのアクセスは制限されます。
同じセッションプロファイルとポリシーを使用して、認可グループと検疫グループを作成することはできません。認証後ポリシーを作成する手順は同じです。セッションポリシーを作成するときは、承認グループまたは検疫グループを選択します。2 つのセッションポリシーを作成し、各ポリシーをグループにバインドできます。
認証後のポリシーは SmartAccess でも使用されます。SmartAccess 詳細については、「 NetScaler Gateway でのSmartAccess 構成」を参照してください。
注：
この機能はCitrix Secure Accessクライアントでのみ機能します。ユーザーがCitrix Workspace アプリでログオンした場合、エンドポイント分析スキャンはログオン時にのみ実行されます。
Related information
認証後ポリシーを構成する
セッションポリシーを使用して、認証後ポリシーを設定します。シンプルなポリシーには、クライアントデバイスのチェック表現とメッセージが含まれます。
GUI を使用して認証後ポリシーを設定するには
-
NetScaler Gateway > ポリシーを展開して 、「 セッション」をクリックします。
-
「 リクエストプロファイル」の横にある「 新規」をクリックします。
-
クライアントデバイスのチェック式を設定し、「 作成」をクリックします。
認証後スキャンの頻度を構成する
指定した間隔で認証後ポリシーを実行するようにNetScaler Gateway を構成できます。たとえば、クライアントデバイスチェックポリシーを構成し、それをユーザーデバイス上で10分ごとに実行したいとします。この頻度は、ポリシー内にカスタム式を作成することで設定できます。
注：
認証後ポリシーの頻度チェック機能は、Citrix Secure Accessクライアントでのみ機能します。ユーザーがCitrix Workspace アプリでログオンした場合、エンドポイント分析スキャンはログオン時にのみ実行されます。
「 認証後ポリシーの設定」の手順に従って、クライアントデバイスチェックポリシーを設定する頻度（分単位）を設定できます。次の図は、「式の追加」( Add Expression ) ダイアログボックスの頻度の値を入力できる場所を示しています。
検疫グループと承認グループ
ユーザーがNetScaler Gateway にログオンするときに、NetScaler Gateway またはセキュリティで保護されたネットワーク内の認証サーバーで構成するグループにユーザーを割り当てます。ユーザが認証後スキャンに失敗した場合、ユーザを検疫グループと呼ばれる制限されたグループに割り当てることができます。このグループは、ネットワークリソースへのアクセスを制限します。
また、承認グループを使用して、ネットワークリソースへのユーザーアクセスを制限することもできます。たとえば、メールサーバーとファイル共有にのみアクセスできる契約担当者のグループがあるとします。ユーザーデバイスがNetScaler Gateway で定義したデバイスチェック要件に合格すると、ユーザーは動的にグループのメンバーになることができます。
グローバル設定またはセッションポリシーを使用して、ユーザー、グループ、または仮想サーバーにバインドされた検疫および承認グループを構成します。セッションポリシー内のクライアントデバイスチェック式に基づいて、ユーザーをグループに割り当てることができます。ユーザーがグループのメンバーである場合、NetScaler Gateway はグループメンバーシップに基づいてセッションポリシーを適用します。
権限付与グループの設定
Endpoint Analysis スキャンを設定すると、ユーザーデバイスがスキャンに合格したときに、ユーザーを承認グループに動的に追加できます。たとえば、ユーザーデバイスのドメインメンバーシップをチェックする Endpoint Analysis スキャンを作成するとします。NetScaler Gateway で、ドメインに参加しているコンピューターというローカルグループを作成し、スキャンに合格したすべてのユーザーの承認グループとして追加します。ユーザーがグループに参加すると、ユーザーはグループに関連付けられたポリシーを継承します。
認可ポリシーは、グローバルにバインドすることも、仮想サーバにバインドすることもできません。ユーザーがNetScaler Gateway の別のグループのメンバーになるように構成されていない場合、承認グループを使用して、承認ポリシーのデフォルトセットを提供できます。
セッションポリシーを使用して認可グループを構成するには
-
NetScaler Gateway > ポリシーに移動し 、「 セッション」をクリックします。
-
「 リクエストプロファイル」の横にある「 新規」をクリックします。
-
「承認グループ」で、「 グローバルをオーバーライド 」をクリックし、ドロップダウンリストからグループを選択します。
-
「 追加」をクリックし、「 OK」 をクリックし、「 作成」をクリックします。
セッションポリシーを作成したら、ユーザー、グループ、または仮想サーバーにバインドできます。
グローバル権限グループを構成するには
検疫グループの設定
検疫グループのクライアントデバイスチェック式を設定するには
-
［ NetScaler Gateway］>［ポリシー ］に移動し、［ セッション］をクリックします。
-
「 リクエストプロファイル」の横にある「 新規」をクリックします。
-
クライアントエクスプレッションダイアログボックスで 、クライアントデバイスのチェックエクスプレッションを設定し、「 作成」をクリックします。
-
「 隔離グループ」で、グループを選択します。
セッションポリシーを作成したら、ユーザー、グループ、または仮想サーバーにバインドします。
注：
Endpoint Analysis スキャンが失敗し、ユーザーが検疫グループに配置された場合、検疫グループにバインドされたポリシーは、検疫グループにバインドされたポリシーと同等またはそれ以下の優先度番号を持つユーザーに直接バインドされたポリシーがない場合にのみ有効です。