スマートカード/PKI/証明書認証

PAM360は機密パスワードのセキュアな保管庫として機能し、ソフトウェアへのアクセスには堅牢な認証メカニズムが必要です。多様な環境に対応するため、PAM360はローカル認証に加え、Active Directory（AD）、Microsoft Entra ID、LDAPなどの外部IDストアとの連携を含む複数の認証オプションを提供しています。セキュリティをさらに強化するために、PAM360はスマートカード認証をサポートしています。この高度な認証方式では、スマートカードの所持と関連するPINの知識の両方が必要であり、強化されたアクセス制御を実現します。

PAM360におけるスマートカード認証は、主要な認証メカニズムとして機能するものであり、二要素認証とは異なる点に注意することが重要です。スマートカード認証がご使用の環境に導入されている場合、PAM360はAD、Entra ID、LDAP、またはローカル認証などの従来の第一要素認証方式を迂回し、スマートカードによるユーザー認証を行うように設定できます。

PAM360でスマートカード認証を有効にする手順：

1. 認証メカニズムの理解
2. 認証ワークフロー
3. ルートCA証明書をインポート
4. スマートカード証明書とPAM360ユーザーストア間のユーザー詳細のマッピング
5. ユーザー証明書向けのステータスチェックの設定
6. 認証確認のためのユーザー証明書の比較
7. PAM360のスマートカード認証の有効化
8. 高可用性シナリオでのスマートカード認証
9. トラブルシュートのヒント

1.認証メカニズムの理解

ユーザーがPAM360 Webインターフェースへのアクセスを試みる際、まずスマートカードを提示し、関連するPINを入力することで、マシン上でのスマートカード認証を完了する必要があります。PAM360はスマートカードテクノロジーをSSL通信で補完し、アクセスのためにユーザーにX.509証明書の提供を求めます。ユーザーは以下のいずれかを行うことができます：

• スマートカードまたはローカル証明書ストアから証明書を提供する場合、PAM360はユーザーを認証します。
• 証明書を提供できない場合、PAM360はユーザーを認証のための標準ログインページにリダイレクトします。

2.認証ワークフロー

2.1 スマートカード認証ワークフロー

1. ユーザーがPAM360サーバーに接続します。
2. サーバーはクライアント（Webインターフェース）に証明書を提示します。
3. クライアントはブラウザの認証局に対してサーバーの証明書を検証します。
4. 検証が成功すると、クライアントはユーザーのスマートカード証明書をサーバーに送信します。
5. サーバーはサーバーのトラストストアに対してクライアント証明書を検証し、OCSPサーバー（該当する場合）でその失効ステータスを確認し、ユーザー証明書がAD/LDAPまたはPAM360ユーザーストアに保存されているものと一致することを確認します。
6. 検証が成功すると、サーバーはWebインターフェースへのアクセスを許可します。

2.2 PAM360のスマートカード認証

1. ユーザーはPAM360のWebインターフェースへのアクセスを試みます。
2. スマートカード証明書の一意の識別子が、PAM360ユーザーストア内の対応する属性と照合されます。
3. PAM360データベースに保存されているユーザー証明書（X.509）（手動で追加されたユーザーの場合）、またはAD/LDAPから取得された証明書が、提示された証明書と比較されます。
4. 証明書が完全に一致した場合にアクセスが許可されます。

3. ルートCA証明書をインポート

内部証明書を使用する場合は、X.509ユーザー証明書を発行したCAのルート証明書を指定してください。サードパーティCAによって署名された証明書の場合、この手順はスキップできます。ルート証明書をインポートするには、次の手順に従ってください：

1. 「管理」>>「認証」>>「スマートカード / PKI / 証明書」に移動します。
2. 「 ルートCA証明書をインポート」セクションで、 ルートCA証明書パスを指定し、「いますぐインポート」をクリックします。
   
3. 次に、PAM360サーバーを再起動します。
   

インポートが完了すると、このCAによって署名された証明書は自動的に認識されます。

4.スマートカード証明書とPAM360ユーザーストア間のユーザー詳細のマッピング

スマートカード認証をPAM360と統合するための重要な手順は、スマートカード証明書とPAM360ユーザーデータベース間のユーザー詳細をマッピングすることです。このプロセスにより、ユーザーを一意に識別するスマートカード証明書内の属性が、PAM360ユーザーデータベース内の対応する属性と一致することが保証されます。

このマッピングには、次の2つの重要なアクションが含まれます：

1. 比較のためにスマートカード証明書内の属性を定義する。
2. PAM360ユーザーデータベース内の一致する属性を指定する。
   

4.1 証明書属性の指定

PAM360は、お使いの環境内でユーザーを一意に識別するスマートカード証明書から任意の属性を選択する柔軟性を提供します。SAN.OtherName、SAN.RFC822Name、SAN.DirName、SAN.DNSName、SAN.URI、またはCommon Nameなどの属性を選択できます。認証プロセス中、PAM360は選択した属性の値を取得し、PAM360ユーザーデータベース内の対応する属性と比較します。

これを設定するには、「証明書属性」ドロップダウンメニューから目的の属性を選択します。

4.2 PAM360における一致属性の指定

証明書属性を選択した後、PAM360ユーザーデータベース内の対応するマッピング属性を定義します。この属性は、ユーザーがPAM360に追加された方法（手動またはActive Directory/LDAP経由）によって決まります。

PAM360に手動で追加されたユーザーの場合、PAM360データベース内のusername属性が、スマートカード証明書との比較に使用できる唯一の実用的な選択肢となります。このような場合は、テキストフィールドにデフォルト値のusernameをそのまま残してください。

Active DirectoryまたはLDAPからインポートされたユーザーの場合、ユーザーを一意に識別するために使用されるデフォルト属性は通常userPrincipalNameです。ただし、環境によっては、この目的のためにdistinguishedNameなどの他の属性が使用される場合があります。お使いのセットアップに基づいて適切な属性を選択してください。

証明書属性とPAM360でのマッピングの両方の設定が完了したら、「保存」して設定を確定します。

5.ユーザー証明書向けのステータスチェックの設定

PAM360は、オンライン証明書ステータスプロトコル（OCSP）を使用して証明書の失効ステータスを確認します。OCSPの詳細が含まれていない証明書については、次のようにOCSPサーバー情報を設定します。

1. 「ユーザー証明書の状態チェックを設定」セクションの下で、「いますぐ設定」ボタンをクリックします。
2. 表示されるポップアップフォームに、OCSPサーバー名およびOCSPサーバーポートなどのOCSPサーバーの詳細を入力します。
3. ［保存］をクリックして変更を適用します。
   
   
   
   
   

OCSP checksを無効にするには、<PAM360_インストールディレクトリ>/conf/system_properties.conf ファイルで、 「ocsp.check=false」 にしてください。

6.認証確認のためのユーザー証明書の比較

認証プロセスにおけるもう一つの重要なステップは、ユーザーが提示した証明書を、システムまたは Active Directory/LDAP 内に保存されている証明書と照合することです。手動で追加されたユーザーの場合、PAM360 データベースに保存されている X.509 証明書が、認証時にユーザーが提供した証明書と照合されて検証されます。

環境に AD または LDAP がない場合は、スマートカード認証に使用する X.509 形式の SSL 証明書を PAM360 に手動で登録する必要があります。そのためには、以下の手順に従ってください。

1. 「ユーザー」タブに移動し、対象ユーザーの横にある「ユーザーアクション」から「ユーザーを編集」をクリックします。
2. 開いた「ユーザーを編集」ウィンドウで、「User Certificate」フィールドに X.509 証明書のパスを入力します。
3. 次に、「保存」をクリックして変更を適用します。
   

7.PAM360のスマートカード認証の有効化

上記の必要な操作をすべて完了すると、PAM360 アプリケーションでスマートカード認証を有効にすることができます。これを行うには、「管理」>>「認証」>>「スマートカード / PKI / 証明書」に移動し、「有効化」をクリックしてスマートカード認証を有効化します。

スマートカード認証を有効または無効にした後は、変更を適用するために PAM360 サーバーと Web ブラウザを再起動してください。

8.高可用性シナリオでのスマートカード認証

高可用性が設定されている場合は、セカンダリサーバーにスマートカード認証設定をレプリケートします。そのためには、以下の手順に従ってください。

1. PAM360プライマリサーバーを停止し、PAM360セカンダリサーバーに接続します。
2. 「管理」>>「認証」>>「スマートカード / PKI / 証明書」に移動します。
3. 上記で説明したセクションの操作を実行します。
   
4. セカンダリサーバーを再起動します。