• ホーム
• アプリの統合
• MFA統合
• Cisco FirePower 用の 2FA/MFA

Cisco FirePowerの二要素認証（2FA/MFA）を設定する

---

Cisco FirePowerは、ランサムウェアや標的型攻撃に対する保護、可視性、分析において、まったく新しいレベルの高度な次世代クラウドサンドボックス技術を提供します。Cisco FirePower SSL VPNをセットアップした後、セキュリティを強化したい場合もあるでしょう。その方法の一つとして、 Sophos VPNで多要素認証（MFA）を有効にすることが挙げられます。

miniorange MFA/2FAはCisco FirePower VPNと連携し、Sophos VPNおよびファイアウォールにアクセスする管理者とエンドユーザーに、追加の認証レイヤーと保護を提供します。2FAを有効にすると、ユーザーは通常どおりユーザー名とパスワード（第一要素）を入力するだけでなく、設定済みの2FA方式に基づく認証コードを入力してCisco FirePower SSL VPNにアクセスする必要があります。

miniOrangeは、2つ目の認証要素として、Google、Microsoft、Authy、miniOrange Authenticator、SMS/メールによるワンタイムパスワードなど、15種類以上の多要素認証（MFA）方法を提供しています。

miniOrangeによるCisco FirePowerログイン用の2FA/MFA認証

miniOrangeは、ユーザーが入力したユーザー名とパスワードをRADIUSリクエストとして受け取り、Active Directory（AD）などのユーザーストアに対してユーザーを検証するRADIUSサーバーとして機能することで、これを実現します。最初の認証レベルが完了すると、miniOrange MFAソリューションはユーザーに2つ目の認証要素の入力を求め、ユーザーの入力に基づいてアクセスを許可または取り消します。

1. プライマリ認証は、ユーザーがユーザー名とパスワードを送信することで開始されます。 Cisco FirePower.
2. ユーザーリクエストは、 認証リクエスト RADIUS サーバー (miniOrange) へ。
3. miniOrange RADIUS サーバー ユーザー資格情報を渡して、AD (Active Directory) / データベースに保存されている資格情報と照合して検証します。
4. ユーザーの最初のレベルの認証が検証されると ADはRADIUSサーバーに確認を送信します.
5. miniOrange RADIUSサーバーは、 2要素認証チャレンジ ユーザに提供する。
6. ここで、ユーザーはハードウェア/電話で受信した応答/コードを送信します。
7. ユーザーの応答 miniOrange の RADIUS サーバー側でチェックされます。
8. 成功した場合 第二要素認証 ユーザーにログイン権限が付与されます。

Cisco FirePowerで多要素認証（2FA/MFA）を有効にする

1. miniOrangeでCisco FirePowerを設定する

• miniOrangeにログイン 管理コンソール.
• ソフトウェアの制限をクリック カスタマイズ >> ログインと登録のブランディング ダッシュボードの左側のメニューにあります。
• In 基本設定、 をセットする 組織名 custom_domain 名として。
• 詳しくはこちら Save設定すると、ブランドログインURLは次の形式になります。 https://<custom_domain>.xecurify.com/moas/login



• に行く アプリ、をクリックします アプリケーションを追加



• In アプリケーションを選択、 select RADIUS (VPN) アプリケーション タイプのドロップダウンから選択します。



• ソフトウェアの制限をクリック Cisco FirePower アプリケーションタブ。アプリケーションが見つからない場合は、 Radius クライアント アプリケーションタブ。



• ソフトウェアの制限をクリック 「RADIUS IP を表示」 Radius サーバーの IP を取得します。



• Radius クライアントを構成するために必要な Radius サーバー IP をコピーして保存します。



• Radius クライアントを追加するには、以下の詳細を設定します。




名前を表示します。	参照用の名前。
クライアント IP:	Radius 認証要求を送信する VPN サーバーの IP アドレス。
共有秘密:	セキュリティキー。 例えば 「共有シークレット」 (これを保管してください。VPN サーバーで同じ設定を行う必要があります)。

• 詳しくはこちら 次へ.
• 下 属性マッピング タブで、応答としてカスタム属性を送信する場合は、トグルを有効にします。



• 応答としてグループを送信するには、ベンダー グループ属性 ID については以下の表を参照してください。
  

  業者名	ベンダー属性	値型	属性
  Cisco ASA	ASA グループポリシー	ユーザー	グループ
  フォーティネット	フォーティネットグループ名	ユーザー	グループ
  パロアルト	PaloAlto ユーザー グループ	ユーザー	グループ
  SonicWall	Sonicwall ユーザー グループ	ユーザー	グループ
  Citrix	Citrix ユーザー グループ	ユーザー	グループ
  デフォルト（ベンダーがリストにない場合に使用できます）	フィルターID	ユーザー	グループ

• 値の型と属性は要件に応じて変更できます。
• ソフトウェアの制限をクリック 次へ をクリックして次に進みます。
• MFAデバイスに移動する 政策 タブをクリックし、 ポリシーを追加



• Radius クライアントの次のポリシー詳細を構成します。




グループ名：	ポリシーが適用されるグループ。
ポリシー名:	ポリシー名を指定する任意の識別子。
最初の要素	このポリシーに関連付けられているユーザーのログイン方法。
2要素認証を有効にする	このポリシーに関連付けられているユーザーのログイン時に 2 番目の要素を有効にします。
適応認証を有効にする	このポリシーに関連付けられているユーザーのログインに対して適応認証を有効にします。

• 上記の詳細を設定したら、 送信
注意： あなたが従うことができます このガイドMSCHAPv2 プロトコルを使用して Radius MFA を構成する場合。

注: 『Brooklyn Galaxy』のために、倪氏はブルックリン美術館のコレクションからXNUMX点の名品を選び、そのイメージを極めて詳細に描き込みました。これらの作品は、彼の作品とともに中国ギャラリーに展示されています。彼はXNUMX年にこの作品の制作を開始しましたが、最初の硬貨には、当館が所蔵する オンプレミス バージョンによっては、接続をテストする前に以下の手順に従ってください。



オンプレミス版のみ

ファイアウォール ポートを開きます。

• RADIUSリクエストを受信するには、 UDPトラフィックを開く ポート上 1812と1813 オンプレミス IdP がデプロイされているマシン用。
• ホスティングマシンが Windows マシンならフォローできる この の資料をご参照ください。
• ホスティングマシンが Linux マシンならフォローできる この の資料をご参照ください。

注: マシンが AWS でホストされている場合は、AWS パネルからポートを有効にします。

2. Cisco FirePowerでRADIUSを設定する

• FTD SSL VPNデバイスを管理するFMCコンソールにログインしてください。
• MFAデバイスに移動する オブジェクト → オブジェクト管理 → AAAサーバー* → RADIUSサーバーグループ （またはFirepowerのバージョンによっては、オブジェクト→オブジェクト管理→RADIUSサーバーグループ）をクリックしてクリックします RADIUSサーバーグループを追加する.
• 「RADIUSサーバーグループの追加」フォームに記入してください。

Setting	値
名前	「miniOrangeRADIUS」のように、分かりやすい名前を入力してください。スペースを含む名前は入力できません。
詳細説明	有益な情報が掲載されています。
グループ会計モード	独身のまま退出。
再試行間隔	10のままにしておく。
レルム	領域を選択する必要はありません。
認証のみを有効にする
暫定的なアカウント更新を有効にする
動的認証を有効にする	有効にしないでください。

• RADIUS サーバー フォームの該当箇所で、緑色のプラス記号をクリックしてRADIUSサーバーを追加します。
• 記入する 新しいRADIUSサーバー 形：

Setting	値
IPアドレス/ホスト名	miniOrange RADIUSサーバーの完全修飾ホスト名またはIPアドレス。
認証ポート	1812 (またはauthproxy.cfgファイルで指定したポート番号)。
キー	RADIUS設定で使用されている正確な共有シークレット。
確認キー	共有秘密鍵を再度入力してください。
サーバーアカウンティングポート	デフォルト値は1813です（miniOrange RADIUSはRADIUSアカウンティングをサポートしていないため、この値は重要ではありません）。
タイムアウト	認証完了には60秒あれば十分でしょう。
を使用して接続します	「ルーティング」または「特定インターフェイス」のいずれかを選択して設定してください。ここでの選択は、FTDからminiOrange RADIUS AAAサーバーへの接続方法によって異なります。詳細については、Firepower Management Center構成ガイド バージョン6.3の第18章「RADIUSサーバーオプション」セクション、またはオンラインのFMC 6.3ガイドを参照してください。この例では、ルーティングを使用しています。
リダイレクトACL	リダイレクトACLを選択または追加します（FTDとISEを併用する場合のみ）。詳細については、Firepower Management Center構成ガイドバージョン6.3の第18章「RADIUSサーバーオプション」セクション、またはこちらのオンラインFMC 6.3ガイドを参照してください。この例では、ISE ACLは使用されていません。




• miniOrange RADIUSサーバーをグループに追加したら、クリックします。 Save 新しい miniOrange RADIUS サーバー グループを作成します。




リモートアクセスVPN認証方法をminiOrange RADIUSに変更します



• MFAデバイスに移動する デバイス → VPN → リモートアクセス.
• 以下を行うには、 VPN構成 そこにminiOrangeを追加したいのですね。
• を見ながら 接続プロファイル 選択した VPN 構成のタブで、右端の鉛筆アイコンをクリックして、miniOrange RADIUS AAA サーバーグループの使用を開始する接続プロファイルを編集します。
• 一度 接続プロファイルの編集 フォームをクリック 単4 タブには何も表示されないことに注意してください。
• 以下のスクリーンショットに示すように、ジョブタイプを 認証サーバー 既存の選択範囲から、以前作成した miniOrange RADIUS サーバー グループに変更します。
• 通常、「認証サーバー」または「会計サーバー」を選択する必要はありません。
• 「パスワード管理」オプションは設定しないでください。
• クリック Save 「接続プロファイルの編集」フォームのボタン

3. ユーザーディレクトリを構成する

miniOrangeは、ディレクトリ（ADFS、Microsoft Active Directory、Microsoft Entra ID、OpenLDAP、Google、AWS Cognitoなど）、IDプロバイダー（Okta、Shibboleth、Ping、OneLogin、KeyCloakなど）、データベース（MySQL、MariaDB、PostgreSQLなど）といった様々な外部ソースからのユーザー認証を提供します。既存のディレクトリ/ユーザー ストアを設定したり、miniOrangeにユーザーを追加したりできます。

AD/LDAPをユーザーディレクトリとして設定する

miniOrangeをユーザーディレクトリとして設定する

Microsoft Active Directory、Microsoft Entra ID、OpenLDAP などの既存のディレクトリを構成します。

• ソフトウェアの制限をクリック ID プロバイダー >> ID プロバイダーの追加 ダッシュボードの左側のメニューにあります。



• IDプロバイダーの選択で、 AD/LDAP ディレクトリ をドロップダウンから選択します。



• 次に検索 AD/LDAP それをクリックします。



• MINIORANGE に LDAP 設定を保存する: miniOrange の設定を維持する場合は、このオプションを選択してください。Active Directory がファイアウォールの背後にある場合は、AD への受信リクエストを許可するためにファイアウォールを開く必要があります。
• LDAP 構成をオンプレミスに保存: 設定を社内に保持し、社内のADへのアクセスのみを許可する場合は、このオプションを選択します。ダウンロードしてインストールする必要があります。 miniOrange ゲートウェイ あなたの前提に基づいて。




• LDAPを入力してください 表示名 (NAIST) と 識別する 名前。
• 選択 ディレクトリの種類 as Active Directory.
• LDAPサーバーのURLまたはIPアドレスをLDAPに対して入力します サーバー URL フィールド。
• 以下を行うには、 試験用接続 ボタンを押して接続が成功したかどうかを確認します LDAPサーバー.



• Active Directoryで、ユーザーコンテナ/OUのプロパティに移動し、 識別名属性バインドアカウントには、Active Directory のディレクトリ参照に必要な最低限の読み取り権限が必要です。また、プロビジョニング（ユーザーまたはグループの作成、更新、削除など）を伴うユースケースの場合は、アカウントに適切な書き込み権限も付与する必要があります。



• 有効なバインド アカウント パスワードを入力します。
• 以下を行うには、 バインドアカウント資格情報のテスト LDAP 接続の LDAP バインド資格情報を確認するボタン。



• 検索ベース ディレクトリ内でユーザーの検索が開始される場所です。識別名を取得したのと同じ場所から取得します。



• ドロップダウンメニューから適切な検索フィルターを選択します。 単一グループ フィルターのユーザー or 複数グループフィルターのユーザーを置き換えますグループDN> 検索フィルターに、ユーザーが所属するグループの識別名を入力します。カスタム検索フィルターを使用するには、 「カスタム フィルターを作成する」 オプションを選択し、それに応じてカスタマイズします。



• 以下を行うには、 次へ ボタン、またはに移動します ログインオプション タブには何も表示されないことに注意してください。
• ADの設定時に以下のオプションを設定することもできます。有効化 LDAPをアクティブ化する AD/LDAPからユーザーを認証するには、 次へ ユーザーストアを追加するためのボタン。




以下に属性のリストと、有効にした場合の動作を示します。これに応じて有効/無効にすることができます。

属性	詳細説明
LDAPをアクティブ化する	有効にすると、すべてのユーザー認証はLDAP認証情報を使用して行われます。
フォールバック認証	LDAP認証に失敗した場合、ユーザーはminiOrangeを通じて認証されます。
管理者ログインを有効にする	これを有効にすると、miniOrange管理者ログインはLDAPサーバーを使用して認証されます。
ユーザーにIdPを表示する	このオプションを有効にすると、このIdPはユーザーに表示されます
miniOrangeでユーザーを同期する	LDAP認証後、miniOrangeにユーザーが作成されます。



• 以下を行うには、 次へ ボタン、またはに移動します Attributes タブには何も表示されないことに注意してください。

ADからの属性マッピング

• デフォルトではuserName、firstName、lastName、emailが設定されています。下にスクロールしてクリックしてください。 Save ボタンをクリックします。Active Directoryから追加の属性を取得するには、 構成された属性を送信する左側に、アプリケーションに公開する名前を入力します。右側に、Active Directoryの属性名を入力します。例えば、Active Directoryから会社属性を取得し、それを組織名として設定済みアプリケーションに送信する場合は、次のように入力します。

  SP に送信される属性名 = 組織
  IDPからの属性名 = 会社






• 以下を行うには、 次へ ボタン、またはに移動します プロビジョニング タブには何も表示されないことに注意してください。

ADからのユーザーのインポートとプロビジョニング

• プロビジョニングを設定する場合は、 こちらをクリックしてください。 詳細については、こちらをご覧ください。この手順はここでは省略します。

ADからパスワードポリシーをインポートする

• Active Directory のパスワード ポリシーを miniOrange にインポートする場合は、 こちらをクリックしてください。 詳細については、こちらをご覧ください。この手順はここでは省略します。

接続のテスト

• ディレクトリのリストが表示されます。 アイデンティティプロバイダー。 ドロップダウンから選択します AD/LDAP ディレクトリ、設定したディレクトリを検索し、その横にある3つの点をクリックして選択します。 試験用接続.



• LDAP 構成を確認するためにユーザー名とパスワードの入力を求めるポップアップが表示されます。



• On Successful: LDAP サーバーに接続すると、成功メッセージが表示されます。

テスト属性マッピング

• ディレクトリのリストが表示されます。 アイデンティティプロバイダー。 ドロップダウンから選択します AD/LDAP ディレクトリ、設定したディレクトリを検索し、その横にある3つの点をクリックして選択します。 テスト属性マッピング.



• ポップアップが表示され、ユーザー名を入力してクリックします。 ホイール試乗.



• テスト属性マッピング結果が表示されます。

AD を外部ディレクトリとしてセットアップする構成が完了しました。

注： WindowsサーバーでのLDAP設定については、弊社のガイドを参照してください。

• miniOrange にユーザーを追加するには、次の 2 つの方法があります。

1. miniOrangeでユーザーを作成する

2. ユーザーの一括アップロード

1. miniOrangeでユーザーを作成する

• ソフトウェアの制限をクリック ユーザー >> ユーザーリスト >> ユーザーの追加.



• ここで、パスワードなしでユーザーの詳細を入力し、 ユーザーの作成



• ユーザーの作成が成功すると通知メッセージが表示される 「エンドユーザーが正常に追加されました」 ダッシュボードの上部に表示されます。



• ソフトウェアの制限をクリック オンボーディングステータスタブ登録したメールIDでメールを確認し、アクションを選択してください パスワードリセットリンクを記載したアクティベーションメールを送信する from アクションを選択 ドロップダウンリストをクリックし、 Apply



• さて、あなたのメールIDを開いてください。miniOrangeから受信したメールを開いて、 アカウントのパスワードを設定します。
• 次の画面でパスワードと確認パスワードを入力し、 シングルサインオン（SSO）パスワードのリセット



• これで、資格情報を入力して miniOrange アカウントにログインできます。

2. CSV ファイルをアップロードして miniOrange にユーザーを一括アップロードします。

• MFAデバイスに移動する ユーザー >> ユーザーリスト。 をクリックしてください ユーザーを追加する



• 一括ユーザー登録 サンプルのcsv形式をダウンロード コンソールから、指示に従ってこの csv ファイルを編集します。



• ユーザーを一括アップロードするには、ファイルを選択し、 カンマ区切りの .csv ファイル形式 次に「アップロード」をクリックします。



• csv ファイルが正常にアップロードされると、リンクを含む成功メッセージが表示されます。
• そのリンクをクリックすると、アクティベーション メールを送信するユーザーのリストが表示されます。アクティベーション メールを送信するユーザーを選択し、[アクティベーション メールの送信] をクリックします。選択したユーザーにアクティベーション メールが送信されます。

ユーザー グループの作成 (推奨)

AD ユーザー グループ

miniOrange ユーザーグループ

• この手順では、Active Directory からユーザー グループをインポートし、プロビジョニングします。
• に行く プロビジョニング。 切り替える プロビジョニングのセットアップ タブを選択 Active Directory ドロップダウンメニューから選択します。



• 選択 グループのプロビジョニング/デプロビジョニング タブをクリックしてオンに切り替えます インポートグループ オプションを選択します。
• 入力する ベースDN グループ同期の場合はクリック Save.



• miniOrangeに存在するグループにユーザーを動的に割り当てる場合は、 「ユーザーをグループに割り当てる」



• 今すぐに切り替えます グループのインポート オプションと選択 Active Directory ユーザーをインポートする場所。
• 最後に、をクリックします インポート ボタンをクリックしてください。グループがインポートされます。




(Active Directory グループ プロビジョニング (同期) の設定が完了しました。これで、LDAP サーバーでユーザーが作成または変更されるたびに、ユーザーをグループに割り当てるが有効になっている場合は、LDAP サーバーのユーザー グループ属性が自動的に同期され、miniOrange でそれに応じてユーザー グループが割り当てられるか変更されます。)

• 選択 グループ >> グループの管理 左のパネルから。
• 以下を行うには、 グループを作成 ボタンを押します。



• 適切な グループ名 をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します グループを作成.



• このガイドでは、名前でグループを作成しました VPN_グループ。
• グループにさまざまなメンバーを割り当てるには、 ユーザーの割り当て グループ リスト内のグループに関連付けられたオプション。



• このグループに割り当てる必要があるユーザーを選択します。次に、 グループに割り当てる アクションドロップダウンの選択で、[適用]ボタンをクリックします。



• これらのグループは複数の 2FAポリシー アプリケーションについて。

4. Cisco FirePowerのMFAを設定する

• ここでは、 ポリシーを構成する 作成したユーザーグループ このステップ そして、それをCisco FirePower VPNアプリケーションに関連付けます。
• ソフトウェアの制限をクリック ポリシー >> アプリ ログイン ポリシー。



• ソフトウェアの制限をクリック ポリシーを追加
• アプリケーションセクションで、 RADIUS アプリ 手順 1 で先ほど構成したものです。
• 必要なユーザーグループを選択してください グループ名 そして、入力します。 ポリシー名.
• このガイドでは、 パスワードのみ のための政策 「VPN_グループ」これにより、VPN_Group メンバーのみが 2 番目の要素なしで VPN サービスにアクセスできるようになります。
• ポリシー設定が完了したら、 送信 ポリシーを追加します。

5. Cisco FirePower MFA のテスト

• VPNアイコンを右クリックして選択 "接続する"



• 同じログイン ユーザー名とパスワード。



• 次のように求められます OTPを入力してください表示されるダイアログ ボックスにこれを入力します。
• トレイ アイコンが赤から緑に変わったかどうかを確認して、接続を確認します。

トラブルシューティング

よくある質問（FAQ）

さらなる参考文献

• miniOrange はどのようにしてすべてのネットワーク デバイスのセキュリティ保護に役立ちますか?
• miniOrange はどのようにして企業のサイバー保険実現を支援しますか?
• VPN、ネットワークデバイス、サーバー上の MFA
• Radius および tacacs+ 認証による MFA
• パスワードレス認証
• Sophos UTM ファイアウォールの多要素認証 (MFA/2FA)