Cato ClientのローカルユーザーログインにSecureW2証明書をMFAとして利用する

検証概要

本検証では、Cato CloudのローカルユーザーがCato Clientでログインを行う際に、SecureW2から発行したクライアント証明書をMFAとして利用する構成を検証します。
Cato Clientの認証では、IdPと連携したSSOやMFAを利用する構成が有効です。一方で、外部委託先、保守業者、グループ会社、一時利用者、緊急用アカウントなど、運用上Cato Cloudのローカルユーザーを利用する場面もあります。
このようなローカルユーザーをID/パスワードのみで運用している場合、パスワード漏えい、共有、使い回し、不要アカウントの残存といったリスクが課題になります。

本記事では、SecureW2で発行した証明書をCato Clientログイン時の追加認証要素として利用し、Cato Cloudのローカルユーザー認証を強化する構成を検証します。これにより、IdP連携の対象外となるユーザーや例外アカウントに対しても、パスワードだけに依存しない認証を適用できます。

なぜCatoローカルユーザーに証明書MFAが必要なのか

Cato Cloudの認証管理では、OneLoginなどのIdPと連携し、ユーザー管理と認証を一元化する構成が有効です。IdP連携を行うことで、SSO、多要素認証、ユーザーライフサイクル管理、アカウント無効化といった制御をIdP側に集約できます。一方で、実際の運用では、すべてのユーザーをIdP管理下に置けるとは限りません。

例えば、以下のようなケースでは、Cato Cloudのローカルユーザーを利用することがあります。

• 外部委託先や保守業者など、社内IdPに登録しにくいユーザーへ一時的なリモートアクセスを許可したい場合
• グループ会社やM&A先のユーザーなど、IdP統合前のユーザーを暫定的に利用させたい場合
• IdP障害時や緊急対応用の代替手段として、管理者用アカウントをCato Cloud側に保持したい場合

このようなローカルユーザーは運用上便利である一方、ID/パスワードだけに依存するとセキュリティ上の弱点になりやすいです。

Cato Clientは、社外からCatoのセキュアネットワークへ接続するための入口です。そのため、ローカルユーザーのパスワードが漏えいした場合、攻撃者にリモートアクセス経路を与えてしまう可能性があります。また、ID/パスワードだけの認証では、「正しい認証情報を知っているか」は確認できますが、「正しい証明書を保持しているか」や「想定された端末から接続しているか」といった観点での確認は弱くなります。

SecureW2から発行した証明書をMFAとして利用することで、Cato Clientログイン時に以下のような認証強化が可能になります。

• ID/パスワードだけではログインできない構成にできる
• 証明書を保持しているユーザーまたは端末のみログインできる構成にできる
• 管理対象端末に証明書を配布することで、端末ベースの制御に展開しやすくなる

つまり、本構成はCato Cloudのローカルユーザーを積極的に推奨するものではありません。IdP連携による一元管理を基本としつつ、運用上ローカルユーザーが必要となる場合に、その認証強度を補完するための構成です。弊社取り扱いのIDaaS、OneLoginを使用したIdP連携による一元管理については、以下の記事で紹介しています。ぜひあわせてご覧ください。

関連記事：Cato SASEクラウドのSaaS認証・ユーザー管理の一元化をOneLoginで実現する

今回の検証における連携構成

主な構成要素は以下の通りです。

本構成では、Cato Cloud上に作成したローカルユーザーがCato Clientでログインを行います。ログイン時には、ユーザー名とパスワードによる認証に加え、端末にインストールされたSecureW2発行のクライアント証明書を追加認証要素として利用します。

これにより、仮にローカルユーザーのパスワードが漏えいした場合でも、有効な証明書を保持していない端末からのCato Clientログインを防止しやすくなります。

動作概要

本検証における動作概要は以下の通りです。

1. ユーザーはCato Clientを起動し、Cato CloudのローカルユーザーとしてID/パスワードを入力します。
2. クライアント接続ポリシーにより、端末にクライアント証明書が存在するかを確認します。
3. 端末にインストールされたSecureW2発行のクライアント証明書が、追加の認証要素として評価されます。
4. 認証が成功すると、Cato ClientとCatoのPoP（Point of Presence）間で暗号化されたトンネルが確立されます。

前提条件

本検証には、以下の前提条件を満たす必要があります。

• Cato Management Application（CMA）の管理者権限を持つアカウントをお持ちであること
• Cato Cloud上でローカルユーザーを作成していること
• Cato CloudローカルユーザーにSDPライセンスを付与していること
• SecureW2の管理者アカウントをお持ちであること
• 検証用クライアント端末にCato Clientをインストールしていること

また、本検証ではCato Cloudのローカルユーザーを対象とします。OneLoginなどのIdPと連携したSSOユーザーは本検証の対象外です。

作業詳細

SecureW2から端末に証明書を配布し、CatoにSecureW2発行の証明書を信頼させる設定を行います。

• SecureW2で証明書を発行
• Cato Cloud側の設定
  • ローカルユーザーの作成
  • SecureW2のCA証明書の登録
  • 証明書MFAの有効化
  • 対象ユーザーへの認証ポリシー適用

SecureW2側の設定

証明書の発行設定

1. 証明書発行を行うために、ルート認証局、中間認証局、証明書テンプレートを作成します。

   

   

   

2. 中間認証局のCA証明書をダウンロードします。Cato Cloudにクライアント証明書を検証させるために使用します。

   

プロファイルと各種ポリシー作成

デバイスに対して証明書配布を行うために、プロファイルと各種ポリシーを作成します。

1. SecureW2上にローカルユーザーを作成するために、Core Platformを作成します。

   

2. Profileを作成します。どのような用途で証明書を配布するのかを設定できます。

   

3. Authentication Policyを作成します。SecureW2上で作成したユーザーにProfileを配布するよう設定します。

   

   

   

4. Policy Workflowを作成します。ユーザーを識別するために設定します。
   

   

   
   

5. Enrollment Policyを作成します。どの中間認証局と証明書テンプレートを使用してクライアント証明書の発行を行うかを定義します。
   

   

   

以上でSecureW2の設定は完了です。

Cato Cloud側の設定

信頼する認証局の登録

クライアント証明書を検証するCA証明書をアップロードします。

Cato Cloud管理画面からアクセス > クライアントアクセス に移動し、「SecureW2側の設定 証明書の発行設定 手順2」でダウンロードしたCA証明書をインポートしたら、保存 をクリックします。

証明書MFAをユーザーに許可

1. リソース > デバイスポスチャー > デバイスチェック に移動し、デバイスチェック条件を作成します。

   

2. デバイスプロファイル に移動し、デバイスプロファイルを作成します。

   

3. アクセス > クライアント接続ポリシー に移動し、クライアント接続ポリシーを作成します。

   

   

以上でCato Cloudの設定は完了です。

動作確認

設定完了後、Cato Clientからローカルユーザーでログインし、証明書MFAが正しく動作することを動画で確認します。
本動画ではWindowsを利用していますが、macOS / iOSでも利用可能です。

ログイン成功確認後、Cato Cloud側でイベントログを確認できます。
赤枠で「ユーザー名」「提示した証明書のCN（Common Name）」「ユーザーのメールアドレス」が確認できます。

なお「Authentication Method」が「User and Password」と記録されているのは、Cato Cloudが証明書をデバイスポスチャーの条件として評価する仕様によるものです。適用ルール（Rule）に「SecureW2 Certificate Authentication」が記録されていることから、証明書による判定が行われたことが確認できます。

おわりに

本検証では、Cato CloudのローカルユーザーがCato Clientでログインする際に、SecureW2から発行したクライアント証明書を追加の認証要素として利用する構成を確認しました。
Cato Cloudの認証管理では、OneLoginなどのIdPと連携し、ユーザー管理や認証ポリシーを一元化する構成が有効です。一方で、外部委託先、保守業者、グループ会社、緊急用アカウントなど、運用上Cato Cloudのローカルユーザーを利用する場面もあります。

このようなローカルユーザーをID/パスワードのみで運用している場合、パスワード漏えいや共有による不正アクセスのリスクが残ります。SecureW2から発行した証明書をCato Client接続時の証明書チェックに利用することで、ID/パスワードだけでは接続できない構成にでき、ローカルユーザーや例外アカウントの認証強度を高めることができます。
また、MDMと組み合わせて証明書を管理対象端末に配布することで、社給端末や管理対象端末からの接続に限定する構成にも展開できます。これにより、ユーザー認証だけでなく、利用端末の正当性も考慮したCato Client接続制御を実現しやすくなります。

本構成は、Cato Cloudのローカルユーザー利用を推奨するものではなく、IdP連携による認証一元化を基本としながら、運用上ローカルユーザーが必要となる場合のリスク低減策として有効です。Cato Cloudのローカルユーザーや例外アカウントの認証強度を高めたい方は、SecureW2証明書を活用した接続制御をご検討ください。以上で「Cato ClientのローカルユーザーログインにSecureW2証明書をMFAとして利用する」検証レポートを終わります。