SRX シリーズ ファイアウォール上の認証済みデバイスの ID に基づいてネットワーク リソースへのアクセスを制御するには、次の手順を実行する必要があります。
A) デバイスまたはデバイス セットを特徴付けるエンド ユーザー プロファイルを設定します。エンド ユーザー プロファイルは、プロファイルに設定されている属性に応じて、特定のデバイス グループまたは特定のデバイスの特性を示す属性のコレクションを含むデバイス アイデンティティ プロファイルです。エンド ユーザー プロファイルには、ドメイン名と、各属性に少なくとも 1 つの値が含まれている必要があります。属性には、デバイス アイデンティティ、デバイス カテゴリ、デバイス ベンダー、デバイス タイプ、デバイス OS、およびデバイス OS バージョン1 が含まれます。エンド ユーザー プロファイルは、Junos Space Security Director または CLI2 を使用して設定できます。
C) セキュリティ ポリシーでエンド ユーザー プロファイルを参照します。セキュリティ ポリシーは、送信元アドレス、宛先アドレス、ゾーン、プロトコル、ポート、アプリケーションなどの指定された基準に一致するトラフィックに対して実行するアクションを定義するルールです。セキュリティ ポリシーのソース エンド ユーザー プロファイル フィールドでエンド ユーザー プロファイルを参照し、トラフィックの発行元デバイスに基づいてトラフィックの送信元を識別できます。SRX シリーズ デバイスは、デバイスの IP アドレスをエンド ユーザー プロファイルと照合し、それに応じてセキュリティ ポリシーを適用します3。セキュリティ ポリシーでエンド ユーザー プロファイルを参照するには、Junos Space Security Director または CLI4 を使用します。
E) デバイスの認証に使用する認証ソースを設定します。認証ソースは、SRX シリーズ デバイスにデバイス ID 情報を提供するシステムです。認証ソースには、Microsoft Windows Active Directory またはサードパーティのネットワーク アクセス制御 (NAC) システムを使用できます。
デバイスの認証とデバイス ID 情報の SRX シリーズ デバイスへの送信に使用する認証ソースを設定する必要があります。SRX シリーズ デバイスは、デバイス ID 情報をデバイス ID 認証テーブル5 に保存します。認証ソースは、Junos Space Security Director または CLI6 を使用して設定できます。
他のオプションは、次の理由で正しくありません。
B) セキュリティ ゾーンでエンド ユーザー プロファイルを参照することは、認証されたデバイスの ID に基づいてネットワーク リソースへのアクセスを制御するための有効な手順ではありません。セキュリティ ゾーンは、同様のセキュリティ要件を持つインターフェイスの論理グループです。セキュリティ ゾーンでユーザー ロールを参照して、ネットワーク リソースにアクセスしているユーザーを識別することはできますが、エンド ユーザー プロファイルを参照することはできません。
D) デバイスを接続するインターフェイスでエンドユーザー プロファイルを適用することも、認証されたデバイスの ID に基づいてネットワーク リソースへのアクセスを制御する有効な手順ではありません。エンドユーザー プロファイルはインターフェイス レベルでは適用できず、セキュリティ ポリシー レベルでのみ適用できます。エンドユーザー プロファイルはファイアウォール フィルタやセキュリティ ポリシーではなく、セキュリティ ポリシーで参照されるデバイス ID プロファイルです1。
参照: エンドユーザープロファイルの概要 エンドユーザープロファイルの作成 source-end-user-profile ファイアウォールポリシールールの作成 デバイスアイデンティティ認証テーブルとそのエントリの理解 デバイスアイデンティティの認証ソースの設定 user-role