5.1. クライアント証明書認証の設定をする

FRAポータルにて設定するクライアント証明書認証の利用手順について説明します。

GlobalProtectポータルとGlobalProtectゲートウェイの設定変更が必要です。

• 5.1.4. クライアント証明書認証の設定をする
• 5.1.5. クライアント証明書のCA証明書を変更する
• 5.1.6. クライアント証明書のCA証明書の有効期限を確認する
• 5.1.7. クライアント証明書を削除する

5.1.1. 注意事項、前提条件

• 各変更手順にて注意事項・前提条件をご確認ください。

• Fsecコンソールに表示されるクライアント証明書のCA証明書の有効期限が切れるとクライアント証明書認証が利用できなくなるので、ご注意ください。

  有効期限が切れる前に 5.1.5. クライアント証明書のCA証明書を変更する を行ってください。
• 利用者端末へクライアント証明書のインストールが必要になります。
• 以下の手順の変更を実施する前に利用者端末にクライアント証明書をインストールしておく必要があります。

  5.1.4.6. Global Protectポータルの設定変更手順

  5.1.4.7. Global Protectゲートウェイの設定変更手順

5.1.2. 事前に準備いただくもの

• FRAポータルアカウント/パスワード
• FRAポータルIPアドレス
• お客さまが発行したクライアント証明書に対応したCA証明書

5.1.3. お申込みの流れ、全体説明

図5.1.3.1. 設定変更の流れ

5.1.4. クライアント証明書認証の設定をする

5.1.4.1. 注意事項、前提条件

• 設定は必ず0系/1系（東西冗長を利用している場合は各エリアの0系/1系）で同じ設定にしてください。
• 設定変更後、0系/1系で必ずコミットを実施してください。
• 設定変更後、FRAクライアントを再接続すると設定が反映されます。

5.1.4.2. 事前に準備いただくもの

なし

5.1.4.3. クライアント証明書プロファイルの作成手順(FRAが発行する証明書を利用する場合))

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.4.3.1 サービスグループ選択

3. [新規追加]ボタンを押下します。

図5.1.4.3.2 [新規追加]ボタン

4. 「クライアント証明書認証新規追加」画面で必要な情報を入力します。入力が完了したら[確認]ボタンを押下します。

図5.1.4.3.3 クライアント証明書認証新規追加

表 5.1.4.3.1. クライアント証明書認証新規追加

項番	項目	説明	変更可否
1	証明書プロファイル名	証明書プロファイルの名前を入力してください。半角英数記号(-_) のみ使用可能です。	×
2	説明	本設定に任意の説明文を登録することができます。説明文は半角英数記号(-_) のみ使用可能です。	×
3	認証時に使用する証明書ファイルの発行元	「サービス側で発行する証明書ファイルを利用する」を選択してください。	×

5. 入力内容の確認を行い、[実行]ボタンを押下します。

図5.1.4.3.4 設定内容の確認

6. [OK]ボタンを押下します。

図5.1.4.3.5 申し込み完了

7. 「クライアント証明書認証」画面で証明書プロファイルが作成されたことを確認します。

図5.1.4.3.6 申し込み完了後のクライアント証明書認証画面

8. 左メニューの[操作履歴]をクリックし、 「操作履歴」画面 でステータスが「COMPLETE」になっていることを確認します。

5.1.4.4. クライアント証明書のダウンロード(FRAが発行する証明書を利用する場合)

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.4.4.1 サービスグループ選択

3. 「クライアント証明書認証」画面で作成した証明書プロファイルの[操作]プルダウンメニューより、[ダウンロード]をクリックします。

図5.1.4.4.2 [クライアント証明書のダウンロード]ボタン

4. 「クライアント証明書認証ダウンロード」画面で、証明書インストール時に使用するパスフレーズを設定します。

   パスフレーズは以下条件を満たしてください。

   ①8～31文字で入力してください

   ②大文字英字/小文字英字/数字を最低1文字入力してください。

図5.1.4.4.3 クライアント証明書認証ダウンロード

5. [ダウンロード]ボタンを押下します。

図5.1.4.4.4 [ダウンロード]ボタン

6. ご利用端末の任意の場所にクライアント証明書ファイルを保存してください。

   Edgeブラウザでアクセスしている場合、ダウンロード通知の「名前を付けて保存」ボタンを押下後、

   保存先を選択して「保存」ボタン押下で証明書ファイルを保存します。

図5.1.4.4.5 [名前を付けて保存]ボタン

図5.1.4.4.6 保存ボタン

7. ダウンロードしたクライアント証明書をダブルクリックします。

図5.1.4.4.7 クライアント証明書をダブルクリック

8. [開く]ボタンを押下します。

図5.1.4.4.8 クライアント証明書を開く

9. [証明書のインストール]をクリックします。

図5.1.4.4.9 クライアント照明書のインストール

10. 現在のユーザーにチェックをし、[次へ]ボタンを押下します。

図5.1.4.4.10 [次へ]ボタンを押下

11. 秘密キーのパスワード入力が必要になります。

    ①手順4.で設定したパスフレーズを入力してください

    ②すべての拡張プロパティを含めるにチェックを入れてください。

    ③[次へ]ボタンを押下します。

図5.1.4.4.11 秘密キーの設定

12. 証明書をすべて次のストアに配置する(P)にチェックをし、[参照]ボタンを押下します。

図5.1.4.4.12 [参照]ボタンを押下

13. 個人を選択し[OK]ボタンを押下します。

図5.1.4.4.13 個人を選択

14. [次へ]ボタンを押下します。

図5.1.4.4.14 [次へ]ボタンを押下

15. [完了]ボタンを押下します。

図5.1.4.4.15 [完了]ボタンを押下

16. 正常に完了した旨のメッセージが表示されます。[OK]ボタンを押下しインストールを完了します。

図5.1.4.4.16 インストール完了メッセージ

5.1.4.5. クライアント証明書プロファイルの作成手順(お客さまが発行する証明書を利用する場合)

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.4.5.1 サービスグループ選択

3. [新規追加]ボタンを押下します。

図5.1.4.5.2 [新規追加]ボタン

4. 「クライアント証明書認証新規追加」画面で必要な情報を入力します。入力が完了したら[確認]ボタンを押下します。

図5.1.4.5.3 クライアント証明書認証新規追加

表 5.1.4.5.1. クライアント証明書認証新規追加

項番	項目	説明	変更可否
1	証明書プロファイル名	証明書プロファイルの名前を入力してください。半角英数記号(-_) のみ使用可能です。	×
2	説明	本設定に任意の説明文を登録することができます。説明文は半角英数記号(-_) のみ使用可能です。	×
3	認証時に使用する証明書ファイルの発行元	「お客さまで発行する証明書ファイルを利用する」を選択してください。お客様で発行したクライアント証明書のCA証明書の「＋ファイル追加」ボタンを押下し、CA証明書のファイルを追加します。1つのクライアント証明書に複数のCA証明書が紐づいている場合、すべてのCA証明書のファイルを追加してください。証明書ファイルの拡張子は「.crt」または「.cer」としてください。	×

5. 入力内容の確認を行い、[実行]ボタンを押下します。

図5.1.4.5.4 [実行]ボタン

6. [OK]ボタンを押下します。

図5.1.4.5.5 申し込み完了

7. 「クライアント証明書認証」画面で証明書プロファイルが作成されたことを確認します。

図5.1.4.5.6 申し込み完了後のクライアント証明書認証画面

8. 左メニューの[操作履歴]をクリックし、 「操作履歴」画面 でステータスが「COMPLETE」になっていることを確認します。

5.1.4.6. Global Protectポータルの設定変更手順

注釈

Global Protectポータルの設定変更をする前に利用者端末にクライアント証明書をインストールしておく必要があります。

1. FRAクライアントソフトでVPN接続後、FRAポータルにアクセスします。

2. ①[Network]をクリックします。

   ②GlobalProtectの[ポータル]をクリックします。

   ③[GP-Portal]をクリックします。

図5.1.4.6.1 ポータル画面

3. ①[認証]をクリックします。

   ②クライアント認証の設定画面で[証明書プロファイル]をNoneから選択可能な認証プロファイルを選択します。

図5.1.4.6.2 GlobalProtectポータルの設定（認証）

4. [認証]にて変更対象のクライアント認証をクリックするとクライアント認証の設定が表示されます。

   [ユーザー資格情報またはクライアント証明書を使用した認証を許可]をNoに変更し[OK]ボタンを押下します。

図5.1.4.6.3 クライアント認証

注釈

• クライアント認証の変更は、認証プロファイルとユーザー資格情報またはクライアント証明書を使用した認証を許可の変更のみが可能です。その他の項目は変更しないでください。

5.1.4.7. Global Protectゲートウェイの設定変更手順

注釈

Global Protectゲートウェイの設定変更をする前に利用者端末にクライアント証明書をインストールしておく必要があります。

1. ①[Network]をクリックします。

   ②GlobalProtectの[ゲートウェイ]をクリックします。

   ③[GP-GW]をクリックします。

図5.1.4.7.1 ゲートウェイ画面

2. ①[認証]をクリックします。

   ②クライアント認証の設定画面で[証明書プロファイル]をNoneから選択可能な認証プロファイルを選択します。

図5.1.4.7.2 GlobalProtectゲートウェイの設定（認証）

3. [認証]にて変更対象のクライアント認証をクリックするとクライアント認証の設定が表示されます。

   [ユーザー資格情報またはクライアント証明書を使用した認証を許可]をNoに変更し[OK]ボタンを押下します。

図5.1.4.7.3 クライアント認証の設定

注釈

• クライアント認証の変更は、ユーザー資格情報またはクライアント証明書を使用した認証を許可の変更のみが可能です。その他の項目は変更しないでください。

4. 設定内容をコミットし、正常に反映されたことを確認します。コミット手順は 「2.2.7. 設定を反映する(0系と1系の両方で作業を実施)」 を参照してください。

5.1.5. クライアント証明書のCA証明書を変更する

5.1.5.1. 注意事項、前提条件

• 設定は必ず0系/1系（東西冗長を利用している場合は各エリアの0系/1系）で同じ設定にしてください。

• 設定変更後、0系/1系で必ずコミットを実施してください。

• 設定変更後、FRAクライアントを再接続すると設定が反映されます。

• 以下の手順の変更を実施する前に利用者端末にクライアント証明書をインストールしておく必要があります。

  5.1.4.6. Global Protectポータルの設定変更手順

  5.1.4.7. Global Protectゲートウェイの設定変更手順

5.1.5.2. 事前に準備いただくもの

なし

5.1.5.3. クライアント証明書プロファイルの作成手順(FRAが発行する証明書を利用する場合)

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.5.3.1 サービスグループ選択

3. [新規追加]ボタンを押下します。

図5.1.5.3.2 [新規追加]ボタン

4. 「クライアント証明書認証新規追加」画面で必要な情報を入力します。入力が完了したら[確認]ボタンを押下します。

図5.1.5.3.3 クライアント証明書認証新規追加

表 5.1.5.3.1. クライアント証明書認証新規追加

項番	項目	説明	変更可否
1	証明書プロファイル名	証明書プロファイルの名前を入力してください。半角英数記号(-_) のみ使用可能です。	×
2	説明	本設定に任意の説明文を登録することができます。説明文は半角英数記号(-_) のみ使用可能です。	×
3	認証時に使用する証明書ファイルの発行元	「サービス側で発行する証明書ファイルを利用する」を選択してください。	×

5. 入力内容の確認を行い、[実行]ボタンを押下します。

図5.1.5.3.4 設定内容の確認

6. [OK]ボタンを押下します。

図5.1.5.3.5 申し込み完了

7. 「クライアント証明書認証」画面で証明書プロファイルが作成されたことを確認します。

図5.1.5.3.6 申し込み完了後のクライアント証明書認証画面

8. 左メニューの[操作履歴]をクリックし、 「操作履歴」画面 でステータスが「COMPLETE」になっていることを確認します。

5.1.5.4. クライアント証明書のダウンロード(FRAが発行する証明書を利用する場合)

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.5.4.1 サービスグループ選択

3. 「クライアント証明書認証」画面で作成した証明書プロファイルの[操作]プルダウンメニューより、[ダウンロード]をクリックします。

図5.1.5.4.2 [クライアント証明書のダウンロード]ボタン

4. 「クライアント証明書認証ダウンロード」画面で、証明書インストール時に使用するパスフレーズを設定します。

   パスフレーズは以下条件を満たしてください。

   ①8～31文字で入力してください

   ②大文字英字/小文字英字/数字を最低1文字入力してください。

図5.1.5.4.3 クライアント証明書認証ダウンロード

5. [ダウンロード]ボタンを押下します。

図5.1.5.4.4 [ダウンロード]ボタン

6. ご利用端末の任意の場所にクライアント証明書ファイルを保存してください。

   Edgeブラウザでアクセスしている場合、ダウンロード通知の「名前を付けて保存」ボタンを押下後、

   保存先を選択して「保存」ボタン押下で証明書ファイルを保存します。

図5.1.5.4.5 [名前を付けて保存]ボタン

図5.1.5.4.6 保存ボタン

7. ダウンロードしたクライアント証明書をダブルクリックします。

図5.1.5.4.7 クライアント証明書をダブルクリック

8. [開く]ボタンを押下します。

図5.1.5.4.8 クライアント証明書を開く

9. [証明書のインストール]をクリックします。

図5.1.5.4.9 クライアント照明書のインストール

10. 現在のユーザーにチェックをし、[次へ]ボタンを押下します。

図5.1.5.4.10 [次へ]ボタンを押下

11. 秘密キーのパスワード入力が必要になります。

    ①手順4.で設定したパスフレーズを入力してください

    ②すべての拡張プロパティを含めるにチェックを入れてください。

    ③[次へ]ボタンを押下します。

図5.1.5.4.11 秘密キーの設定

12. 証明書をすべて次のストアに配置する(P)にチェックをし、[参照]ボタンを押下します。

図5.1.5.4.12 [参照]ボタンを押下

13. 個人を選択し[OK]ボタンを押下します。

図5.1.5.4.13 個人を選択

14. [次へ]ボタンを押下します。

図5.1.4.4.14 [次へ]ボタンを押下

15. [完了]ボタンを押下します。

図5.1.4.4.15 [完了]ボタンを押下

16. 正常に完了した旨のメッセージが表示されます。[OK]ボタンを押下しインストールを完了します。

図5.1.5.4.16 インストール完了メッセージ

5.1.5.5. クライアント証明書プロファイルの作成手順(お客さまが発行する証明書を利用する場合)

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.5.5.1 サービスグループ選択

3. [新規追加]ボタンを押下します。

図5.1.5.5.2 [新規追加]ボタン

4. 「クライアント証明書認証新規追加」画面で必要な情報を入力します。入力が完了したら[確認]ボタンを押下します。

図5.1.5.5.3 クライアント証明書認証新規追加

表 5.1.5.5.1. クライアント証明書認証新規追加

項番	項目	説明	変更可否
1	証明書プロファイル名	証明書プロファイルの名前を入力してください。半角英数記号(-_) のみ使用可能です。	×
2	説明	本設定に任意の説明文を登録することができます。説明文は半角英数記号(-_) のみ使用可能です。	×
3	認証時に使用する証明書ファイルの発行元	「お客さまで発行する証明書ファイルを利用する」を選択してください。お客様で発行したクライアント証明書のCA証明書の「＋ファイル追加」ボタンを押下し、CA証明書のファイルを追加します。1つのクライアント証明書に複数のCA証明書が紐づいている場合、すべてのCA証明書のファイルを追加してください。証明書ファイルの拡張子は「.crt」または「.cer」としてください。	×

5. 入力内容の確認を行い、[実行]ボタンを押下します。

図5.1.5.5.4 [実行]ボタン

6. [OK]ボタンを押下します。

図5.1.5.5.5 申し込み完了

7. 「クライアント証明書認証」画面で証明書プロファイルが作成されたことを確認します。

図5.1.5.5.6 申し込み完了後のクライアント証明書認証画面

8. 左メニューの[操作履歴]をクリックし、 「操作履歴」画面 でステータスが「COMPLETE」になっていることを確認します。

5.1.5.6. Global Protectポータルの設定変更手順

注釈

Global Protectポータルの設定変更をする前に利用者端末にクライアント証明書をインストールしておく必要があります。

1. FRAクライアントソフトでVPN接続後、FRAポータルにアクセスします。

2. ①[Network]をクリックします。

   ②GlobalProtectの[ポータル]をクリックします。

   ③[GP-Portal]をクリックします。

図5.1.5.6.1 ポータル画面

3. ①[認証]をクリックします。

   ②クライアント認証の設定画面で[証明書プロファイル]を新しく作成した認証プロファイルに変更します。

図5.1.5.6.2 GlobalProtectポータルの設定（認証）

5.1.5.7. Global Protectゲートウェイの設定変更手順

注釈

Global Protectゲートウェイの設定変更をする前に利用者端末にクライアント証明書をインストールしておく必要があります。

1. ①[Network]をクリックします。

   ②GlobalProtectの[ゲートウェイ]をクリックします。

   ③[GP-GW]をクリックします。

図5.1.5.7.1 ゲートウェイ画面

2. ①[認証]をクリックします。

   ②クライアント認証の設定画面で[証明書プロファイル]を新しく作成した認証プロファイルに変更します。

図5.1.5.7.2 GlobalProtectゲートウェイの設定（認証）

3. 設定内容をコミットし、正常に反映されたことを確認します。コミット手順は 「2.2.7. 設定を反映する(0系と1系の両方で作業を実施)」 を参照してください。

5.1.6. クライアント証明書のCA証明書の有効期限を確認する

5.1.6.1. 注意事項、前提条件

なし

5.1.6.2. 事前に準備いただくもの

なし

5.1.6.3. クライアント証明書のCA証明書の有効期限確認手順

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.6.3.1 サービスグループ選択

3. 「クライアント証明書認証」画面でクライアント証明書のCA証明書の有効期限を確認します。

図5.1.6.3.2 クライアント証明書認証画面

5.1.7. クライアント証明書を削除する

5.1.7.1. 注意事項、前提条件

なし

5.1.7.2. 事前に準備いただくもの

なし

5.1.7.3. クライアント証明書の削除手順

1. SDPFポータルメニューより、「Flexible Remote Access」を選択しFsecコンソールにアクセスします。

2. ①左メニューの「サービスグループ情報」から作成したサービスグループを選択します。

   ②[クライアント証明書認証]をクリックします。

図5.1.7.3.1 サービスグループ選択

3. 「クライアント証明書認証」画面で削除する証明書の[操作]プルダウンメニューより、[削除]をクリックします。

図5.1.7.3.2 [削除]ボタン

4. 内容を確認し、 [上記について確認しました。]にチェックを入れ、[実行]ボタンを押下します。

図5.1.7.3.3 クライアント証明書認証削除の確認

5. [OK]ボタンを押下します。

図5.1.7.3.4 削除お申し込み完了

6. 「クライアント証明書認証」画面で削除したい証明書プロファイルが削除されたことを確認します。

図5.1.7.3.5 削除お申し込み完了後のクライアント証明書認証画面

7. 左メニューの[操作履歴]をクリックし、 「操作履歴」画面 でステータスが「COMPLETE」になっていることを確認します。

目次

• 1. FRAメニューの基本
  • 1.1. 始める前の準備
  • 1.2. FRAのリソースとは
  • 1.3. Fsecコンソールとは
  • 1.4. FRAポータルとは
  • 1.5. お申し込みの流れ
• 2. FRAサービスを利用する
  • 2.1. FRAサービスを申し込む
  • 2.2. FRAポータルにアクセスして必要な初期設定をする
  • 2.3. FRAサービスに接続する【利用者向け】
  • 2.4. サービスグループを変更する
  • 2.5. FRAグループを変更する
  • 2.6. FRAユニットを変更する
  • 2.7. FIC-Connectionを変更する
  • 2.8. FIC経由でFRAポータルにアクセスをする
  • 2.9. FRA基盤のOSバージョンアップをする
  • 2.10. FRAポータルアカウントを変更する
  • 2.11. サービスグループを削除する
  • 2.12. FRAサービスを廃止する
• 3. リモートアクセスの設定をする
  • 3.1. リモートアクセスユーザー登録/変更/削除の設定をする
  • 3.2. スプリットトンネルの設定をする
  • 3.3. FRAクライアントソフト接続方式の変更をする
  • 3.4. 内外判定の設定をする
  • 3.5. 東西冗長オプション利用時の設定をする
  • 3.6. 東西冗長オプション利用時の手動切り替えをする
• 4. セキュリティポリシーの設定をする
  • 4.1. UTM機能の設定をする
  • 4.2. UTM機能の推奨設定をする
  • 4.3. HIP機能の設定をする
  • 4.4. SSL復号化機能の設定をする
  • 4.5. テナントアクセス制御サポート機能の設定をする
  • 4.6. コンフィグコピー機能を利用する
• 5. 認証の設定をする
  • 5.1. クライアント証明書認証の設定をする
  • 5.2. SAML認証連携利用時のグループマッピング機能の設定をする
  • 5.3. SAML認証連携の設定をする
  • 5.4. LDAP認証連携の設定をする
  • 5.5. Microsoft Entra ID（旧AzureAD）との認証連携の設定をする
  • 5.6. docomo business RINK IDaaSとの認証連携の設定をする
  • 5.7. Active DirectoryとのLDAP認証連携の設定をする
• 6. 端末の設定をする
  • 6.1. FRAクライアントソフトの情報を確認する【トラブルシューティング】
  • 6.2. FRAクライアントソフトのバージョンアップをする【利用者向け】
  • 6.3. FRAクライアントソフトのアンインストールをする(Windows/Mac/iPad/iPhone/Android)【利用者向け】
• 7. ログの設定をする
  • 7.1. ログを参照する
  • 7.2. ログをCSVに出力する
  • 7.3. Syslog転送の設定をする
  • 7.4. Syslogサーバーに転送されるログ項目を確認する
• 8. FRAポータルで設定変更をする
  • 8.1. FRAサービスでサポート対象の設定項目を確認する
  • 8.2. ACC
  • 8.3. Monitor
  • 8.4. Policies
  • 8.5. Objects
  • 8.6. Network
  • 8.7. Device
• 9. お困りの時は
  • 9.1. ID/PWに誤りがある場合(ローカル認証ご利用者さま)
  • 9.2. クライアント証明書がインストールされていない場合
  • 9.3. ID/PWまたはLDAPサーバIPに誤りがある場合(LDAP認証ご利用者さま)
• 10. お問い合わせ
  • 10.1. お問い合わせいただく前に
  • 10.2. お問い合わせの流れ
  • 10.3. チケット作成方法
  • 10.4. チケット回答の確認方法
  • 10.5. チケット回答への返信方法

---

5. 認証の設定をする

5.2. SAML認証連携利用時のグループマッピング機能の設定をする