FortiGate SSL-VPNの認証をMicrosoft Entra ID SAML連携に移行する構成手順とグループ制御

ID管理の効率化とセキュリティ強化のため、FortiGateのVPN認証をローカルパスワードからEntra ID(旧Azure AD)とのSAML連携へ変更。多要素認証(MFA)を強制しつつ、部署ごとにアクセス可能なリソースを制限する必要があります。

原因と落とし穴

SAML連携への切り替え自体は容易ですが、Entra ID側のセキュリティグループとFortiGate側のユーザーグループのマッピングを正しく設計しないと、全員に同一の権限が付与されてしまうリスクがあります。

切り分け・対処手順

Entra ID側でのアプリ登録: エンタープライズアプリケーションとしてFortiGateを登録し、SAML署名証明書を発行します。

グループクレームの設定: SAML応答にグループID(オブジェクトID)を含めるよう構成し、FortiGate側で受け取れるようにします。

FortiGate側のポリシー: 受信したグループIDに基づいて、特定のVPNポータルやファイアウォールポリシーへ割り当てます。

まとめ

SAML連携によりMFAを導入するだけでなく、グループベースのアクセス制御を組み合わせることで、ゼロトラストに近いセキュアなVPN運用が実現します。

■ この記事に関連するテンプレート

VPNのグループとアクセスできるリソースの対応は、構成図や機器の設定と一緒に残しておくと、後から見直しやすくなります。拠点のネットワーク構成をNotionで管理するためのテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。

Discussion