Workspace ONE UEM により管理された Android デバイスからシングル サインオンを提供するには、VMware Identity Manager の組み込み ID プロバイダで Android 版モバイル SSO 認証を構成します。

前提条件

  • ユーザーから提示された証明書に署名した CA からルート証明書と中間証明書を入手します。

  • 証明書認証のための有効な証明書ポリシーのオブジェクト識別子 (OID) のリスト。

  • 失効チェックのための、CRL のファイルの場所および OCSP サーバの URL。

  • （オプション）OCSP応答署名証明書ファイルの場所。

手順

  1. VMware Identity Manager コンソールの [ID とアクセス管理] タブで、[管理] > [認証方法] の順に選択します。
  2. CertProxyAuthAdapter を有効にして構成するには、[モバイル SSO（Android デバイス）] の鉛筆アイコンをクリックします。

    オプション

    説明

    証明書アダプタを有効にする

    このチェック ボックスを選択して Android 版モバイル SSO を有効にします。

    ルートおよび中間 CA 証明書

    アップロードする証明書ファイルを選択します。エンコードされた複数のルート CA 証明書および中間 CA 証明書を選択できます。ファイル形式には PEM または DER のいずれかを使用できます。

    アップロードされた CA 証明書

    アップロードされた証明書ファイルの内容が表示されます。

    ユーザー ID の検索順序

    証明書内のユーザー ID を特定する検索順序を選択します。

    • [upn]：Subject Alternative Name の UserPrincipalName の値

    • [email]：Subject Alternative Name のメール アドレス。

    • [subject]：サブジェクトの UID 値。

    UPN フォーマットを検証

    [UserPrincipalName] フィールドの形式を検証するには、このチェック ボックスをオンにします。

    承認された証明書ポリシー

    証明書ポリシー拡張で承認されたオブジェクト識別子のリストを作成します。証明書発行ポリシーのオブジェクト ID 番号 (OID) を入力します。[別の値を追加] をクリックして、OID を追加します。

    証明書の失効を有効にする

    証明書の失効チェックを有効にするには、このチェック ボックスをオンにします。これにより、ユーザー証明書が失効したユーザーは認証されなくなります。

    証明書の CRL を使用する

    証明書を発行した CA が公開する証明書失効リスト (CRL) を使用して証明書のステータス（失効しているかどうか）を確認するには、このチェック ボックスをオンにします。

    CRL の場所

    CRL を取得するサーバのファイル パスまたはローカル ファイル パスを入力します。

    OCSP の失効を有効にする

    証明書検証プロトコルとして Online Certificate Status Protocol (OCSP) を使用して、証明書の失効ステータスを取得するには、このチェック ボックスをオンにします。

    OCSP の障害時に CRL を使用する

    CRL と OCSP の両方を構成し、OCSP チェックが利用できない場合に CRL の使用に戻るには、このチェック ボックスをオンにします。

    OCSP Nonce を送信する

    応答時に、OCSP 要求の一意の ID を送信する場合は、このチェック ボックスをオンにします。

    OCSP の URL

    OCSP による失効を有効にした場合は、失効チェック用の OCSP サーバ アドレスを入力します。

    OCSP URL のソース

    失効チェックに使用するソースを選択します。

    • [設定のみ]：テキスト ボックスで指定した OCSP URL を使用して証明書の失効チェックを実行し、証明書チェーン全体を検証します。

    • [証明書のみ (必須)]：チェーン内の各証明書の AIA 拡張機能にある OCSP URL を使用して証明書の失効チェックを実行します。チェーン内の各証明書には OCSP URL が定義されている必要があります。そうでないと、証明書の失効チェックは失敗します。

    • [証明書のみ (オプション)]：証明書の AIA 拡張機能にある OCSP URL のみを使用して証明書の失効チェックを実行します。証明書の AIA 拡張機能に OCSP URL がない場合は、失効チェックを実行しません。

    • [構成へのフォールバック付き証明書]：OCSP URL が使用可能なときに、チェーン内の各証明書の AIA 拡張機能から抽出された OCSP URL を使用して証明書の失効チェックを実行します。OCSP URL が AIA 拡張機能にない場合は、OCSP URL のテキスト ボックスで構成した OCSP URL を使用して失効チェックを実行します。OCSP URL のテキスト ボックスには、OCSP サーバ アドレスを設定する必要があります。

    OCSP レスポンダの署名証明書

    レスポンダの OCSP 証明書のパスを入力します。「/path/to/file.cer」のように入力します。

    アップロードされた OCSP 署名証明書

    このセクションにはアップロードされた証明書ファイルがリストされます。

    リンクのキャンセルを有効にする

    認証が長時間に及ぶ場合、このリンクを有効にすると、ユーザーが [キャンセル] をクリックして認証を停止し、ログインをキャンセルできます。

    キャンセル メッセージ

    認証が長時間におよぶ場合に表示するカスタム メッセージを作成します。カスタム メッセージを作成しない場合、デフォルトのメッセージは「Attempting to authenticate your credentials」になります。

  3. [保存] をクリックします。
  4. [管理] > [ID プロバイダ] を選択し、[ID プロバイダを追加] をクリックします。
  5. [組み込み IDP を作成] を選択するか、既存の組み込み ID プロバイダを選択します。

    オプション

    説明

    ID プロバイダ名

    この組み込み ID プロバイダ インスタンスの名前を入力します。

    ユーザー

    構成されたディレクトリがリストされます。認証するユーザー ディレクトリを選択します。

    ネットワーク

    サービスに構成されている既存のネットワーク範囲が表示されます。Android 版モバイル SSO のポリシー ルールに使用するネットワーク範囲は、VMware Tunnel プロキシ サーバからのリクエストを受け取るために使用される IP アドレスのみで構成する必要があります。

    認証方法

    [モバイル SSO（Android デバイス）] を選択します。

    KDC 証明書のエクスポート

    N/A
  6. [組み込みの ID プロバイダ] ページで [追加] をクリックします。

次のタスク

Android 版モバイル SSO のデフォルトのアクセス ポリシー ルールを構成します。