Netskope利用時にOneLoginの証明書認証ができない – ペンティオヘルプセンター

本記事は、OneLogin DesktopにおけるID/パスワード認証のバイパス機能、またはDevice Trust（1st Partyまたは3rd Party）を介したクライアント証明書認証をご利用のNetskopeユーザーを対象としています。

本記事では、SWGおよびCASB機能を提供するNetskope導入環境下において、OneLogin のDevice TrustおよびOneLogin Desktopを含むクライアント証明書認証が失敗する原因と、証明書認証を利用できるようにするNetskope側の設定手順をご案内します。

前提条件
なぜ証明書認証が失敗する？
NetskopeとOneLoginの証明書認証を併用するには？
1. ポリシーの追加
2. 例外処理の追加
動作確認
1. クライアント証明書認証をご利用の場合
2. OneLogin Desktopとクライアント証明書認証の両方を併用の場合
設定の切り戻し
1. ポリシーの削除
2. ポリシーの削除

前提条件

OneLoginのライセンスプランが SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
Netskopeの管理者権限を所有していること
Netskopeのネットワーク接続構成が Forward Proxy であること

なぜ証明書認証が失敗する？

Netskope導入時の初期設定では、OneLogin DesktopおよびDevice Trustを使用している場合でも、ブラウザ上にクライアント証明書の選択画面が表示されず、以下のいずれかの画面が表示されることがあります。

OneLogin Desktop向けのクライアント証明書によりID/パスワード認証を回避するポリシーが適用されている場合、ID/パスワード認証は回避されず標準のログイン画面が表示されます
Device Trust（クライアント証明書認証）が必須のポリシーが適用されている場合、アクセスが拒否されました と表示されます

*Device Trustによるアクセス拒否が発生した場合、Activity > Events に移動し、Event Typeが failed authentication のログを選択すると、以下のような詳細が確認できます。

Notes

• Authentication method: Device Trust.
• Reason: The user did not provide a certificate for authentication.

これは不具合ではなく、設定を変更することで解決する既知の事象です。Netskopeの初期設定では、全ての通信に対してSSLインスペクションを実行されるため、クライアント証明書認証に必要な暗号化通信が妨げられることにより発生します。

本記事では、NetskopeにおいてOneLoginのクライアント証明書認証を行うエンドポイントのみをSSLインスペクションによる復号対象から除外し、クライアント証明書認証を正常に利用しながらその他のOneLoginに関する操作内容は検閲を可能とする設定をご案内いたします。

また、具体的なSSLインスペクション回避の方法を2つご紹介いたしますが、パターン1 またはパターン2 のどちらか一方の設定を追加することで、ブラウザから証明書の要求画面を表示させることができます。両方ともご設定いただかないようご注意ください。また、どちらの設定が推奨されるのか、貴社のNetskope設計に基づきどちらがより適切なのかはOneLogin及びペンティオでは分かりかねますため、必要に応じてNetskopeをご契約のベンダー様にどちらの方法が良いかをご相談ください。