証明書認証のための Kerberos 制約付き委任 (KCD) サポート

モバイル・エンタープライズ・ゲートウェイ (MEG) は、ユーザー資格情報を必要とするイントラネット・サイト用に Kerberos 制約付き委任 (KCD) をサポートします。

Mobile Enterprise Gateway (MEG) バージョン 2.90 以前の場合、 Mobile Enterprise Gateway (MEG) は、 Kerberos トークンを取得するために、ユーザー名とパスワードの資格情報による Kerberos 認証を使用します。ユーザーがユーザー名とパスワードを使用しない場合、 Mobile Enterprise Gateway（MEG ）はユーザー証明書から Kerberos トークンを取得できません。

Mobile Enterprise Gateway (MEG) バージョン 2.91 では、 Mobile Enterprise Gateway (MEG) Kerberos 認証プロバイダが、専用ドメインアカウントまたは Kerberos Constrained Delegation (KCD) を使用して、 Kerberos 認証中にユーザーになりすますため、証明書認証中にユーザーがサイトにアクセスするために資格情報を再入力する必要がなくなりました。

Kerberos Constrained Delegation （KCD）の場合、管理者は、 Kerberos 環境で、委譲されるアカウントの委譲権を設定する必要があります。ユーザが証明書を使用して Mobile Enterprise Gateway (MEG) で認証する場合、 Mobile Enterprise Gateway (MEG) は、 Kerberos サーバからサービスチケットを一括受信する委任アカウントで構成されます。 Mobile Enterprise Gateway（MEG）は、これらのチケットを認証済みユーザーに送信し、これらのユーザーが認証情報を提供しなくてもリソースにアクセスできるようにします（認証の委譲）。

注:

ID 証明書を使用して Mobile Enterprise Gateway (MEG) に対して認証されたユーザーのみが偽名を使用されます。ユーザー名とパスワードの資格情報を使用して Mobile Enterprise Gateway (MEG) に対して認証されるユーザーは、引き続き現行の Kerberos 認証メカニズムを使用します。
Mobile Enterprise Gateway（MEG）認証に使用するアイデンティティ証明書がサードパーティPKI（ MaaS360® 証明書ではない）の場合、管理者は Cloud Extender® Configuration Toolで User Info Validation Against Corporate Directory 設定を有効にする必要があります。
モバイル・エージェントは、少なくとも Mobile Enterprise Gateway (MEG) 証明書認証をサポートする必要があります。
Kerberos の偽名にサービス・アカウントを使用する場合は、対応する委任権限を使用してそのアカウントを構成する必要があります。
Mobile Enterprise Gateway (MEG) バージョン 2.91 では、 Kerberos Constrained Delegation (KCD) は 1 つの KCD 委任アカウントのみをサポートし、1 つのドメインまたはフォレストでのみ使用できます。すべての HTTP リソースは、この偽名アカウントを介してアクセスされます。
委任アカウントの資格情報が誤って入力された場合、 Mobile Enterprise Gateway (MEG) は 401 無許可状況ページを表示し、ログ・ファイルにエラー・メッセージを表示します。「アカウントのユーザー名の委任」設定は、Active Directory で「重要」とマークされたアカウントの偽名を使用できないようにする必要があります。
\ProgramData\Cloud Extender\AR\DATA ディレクトリー内の krb5.conf ファイルに、 forwardable=true という設定が含まれていることを確認します。

Kerberos 制約付き委任 (KCD) の有効化

Cloud Extender 構成ツールから、「エンタープライズ・ゲートウェイ」セクションに移動します。「Kerberos 制約付き委任」設定が表示されます。
KCD認証を有効にする」チェックボックスを選択します。
- Mobile Enterprise Gateway（MEG ）が Active Directory 認証を使用するように構成されている場合、
  1. Use Service Account チェックボックスを選択すると、 Delegate Account Username と Delegate Account Password フィールドに自動的に入力されます。これらの値は、 Cloud Extender のセットアップ時にサービス・アカウント用に構成された値と同じです。これらの値は編集できません。
  2. 「次へ」をクリックします。 Cloud Extender 構成ツールは、アカウントに対して入力された資格情報を検証します。ユーザーが Kerberos サイトにアクセスする際に、構成された KCD サービス・アカウントを使用して、ユーザーの代わりに Kerberos チケットが取得されます。
- Mobile Enterprise Gateway（MEG ）がLDAP認証を使用するように構成されている場合、
  - 「アカウントのユーザー名の委任」および「アカウントのパスワードの委任」フィールドが有効になり、編集可能になります。「次へ」をクリックします。 Cloud Extender 構成ツールは、アカウントに対して入力された資格情報を検証します。ユーザーが Kerberos サイトにアクセスする際に、構成された KCD サービス・アカウントを使用して、ユーザーの代わりに Kerberos チケットが取得されます。