を使用して AzureAD を使用して ID プロバイダー証明書を検証するを有効にする FW CA

を使用して AzureAD を使用して ID プロバイダー証明書を検証するを有効にする FW CA

67950
Created On 07/02/20 19:35 PM - Last Modified 09/21/21 00:40 AM


Symptom


SAMLセキュアな展開フォームCVE-2020-2021PAN-OSに、パロアルトネットワークスは、アップグレードせずにソリューションを共有する次のドキュメントを発行 Firewall PAN-OS します。 詳細については、以下のリンクを参照してください。

セキュリティ保護 SAML 展開
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u0000008UXK


クイックサマリー:

署名済み SAML 応答: 使用している IdP が ADFS 、Azure AD 、Google、OneLogin、PingFederate、PingOne の場合、署名付き SAML の応答やアサーションを送信するアクションを実行する必要はありません。 Okta または他の IdP を使用している場合は、応答またはアサーションに署名するように IdP を設定しているかどうかを確認してください SAML 。 セキュリティのベスト プラクティスとして、 SAML 応答、アサーション、またはその両方に署名するように IdP を構成する必要があります SAML 。

ID プロバイダー証明書の検証を有効にする:ID プロバイダー証明書の検証チェックボックスを有効にするには、IdP プロバイダーの証明書が認証局によって発行されている必要があります。多くの一般的な ID プロバイダーは、既定で自己署名 IdP 証明書を生成しますが ADFS AD 、Azure、Okta、Ping One、OneLogin は CA- 、発行された IdP 証明書を使用する方法を提供します。

この記事では、Azure で構成するためにアップグレードせずに ID プロバイダー証明書の検証を有効にするソリューションについて説明 SAML AD します。

Environment


パロアルトネットワークの顧客で SAML NGFW 、 シリーズ VM- 、デバイス、または 上で 使用 Panorama Prisma Access している場合は IMPACTED CVE-2020 PAN-OS 、-2021 : SAML 認証のバイパスを使用しています。
  • NGFW、 VM- シリーズ
  • Panorama
  • GlobalProtect ポータル/ゲートウェイ
  • Prisma Access
  • SAML
 


 

Cause


パロアルトネットワークスは最近 PAN-OS 、ベース認証が使用されている機能に影響を与える問題を認識 SAML し、悪意のある攻撃者が有効な資格情報を持たないさまざまなサービスに対して正常に認証される可能性があります。 影響を受けるデバイスおよびソフトウェアには GlobalProtect 、ゲートウェイ、ポータル、クライアントレス VPN 、キャプティブ ポータル、 Prisma Access および Web 管理インターフェイスが含 PAN-OS Panorama まれます。 この脆弱性を悪用するには、特定の構成設定 PAN-OS を有効にする必要があります。 Okta のようなシングル サインオン プロバイダーを使用する場合、影響の可能性は高く、必要な構成が一般的であると考えています。

Resolution



Azure AD 

CA-発行された証明書を構成し、ID プロバイダー証明書の検証を有効にする手順PAN-OS 

手順 1 - Azure で CA- IdP 証明書として発行された証明書を追加する AD

  1. Azure からの指示 AD に従って、新しく CA- 発行された証明書 https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/manage-certificates-for-federated-single-sign-on#create-a-new-certificate を追加します。
  2. IdP メタデータをエクスポートして次の手順を完了する前に、古い証明書を削除してください。

手順 2 - メタデータをインポートし、"ID プロバイダー証明書の検証" を有効にする PAN-OS

CA-発行された証明書が IdP に設定されたら、IdP を と に再登録する必要があります PAN-OS Panorama 。 これを行うには:

  1. IdP 管理者に IdP メタデータを問い合わせてください
  2. IdP メタデータをにインポート PAN-OS し Panorama 、[ID プロバイダー証明書の検証] チェックボックスが有効になっていることを確認します。 クリック OK
  3. IdP の証明書を発行したのと同じ CA 証明書を使用して証明書プロファイルを作成する
  4. 新しく作成した IdP サーバー プロファイルと証明書プロファイルを認証プロファイルに追加する SAML
  5. 構成を、 Panorama または firewall
注: エンタープライズ証明機関を使用して証明書を生成します。以下 Firewall は、この目的のために自己署名証明書チェーンを生成するために使用されます。

 
ユーザー追加イメージ
 
  1. PKCS12 ファイル形式で証明書をエクスポートする
ユーザー追加イメージ
 
ユーザー追加イメージ
 
  1. Azure ポータルにログインし、[Azure アクティブ ディレクトリ] を選択します。
ユーザー追加イメージ
 
  1. エンタープライズ アプリケーションの選択
ユーザー追加イメージ
 
  1. グローバル保護の選択
ユーザー追加イメージ
 
  1. [グローバル保護] で、[シングル サインオン] を選択 します。
ユーザー追加イメージ
 
  1. [ SAML- ベースのサインオン] で、[ SAML 署名証明書 ] オプションを選択します。
ユーザー追加イメージ
 
  1. パスワードを使用して証明書 (SAML_AzureSign) をインポート PFX する
ユーザー追加イメージ
 
  1. 証明書をインポートした後、それをアクティブにし、前の証明書を削除してください
  2. これでフェデレーション メタデータ XML をダウンロードまたはエクスポートできます。 firewall
ユーザー追加イメージ
 
  1. ダウンロードしたメタデータのインポート先 firewall
ユーザー追加イメージ
 
ユーザー追加イメージ
 
ユーザー追加イメージ
 
  1. SAML プロファイルはリンクで表示され、オプションのアイデンティティープロバイダー証明書SAML_AzureSign証明書を呼び出します
ユーザー追加イメージ
 
  1. ルート証明書と中間証明書を使用した証明書プロファイルの作成
ユーザー追加イメージ
 
  1. IdP サーバと証明書プロファイルを呼び出す認証プロファイルに移動します。
ユーザー追加イメージ
 
  1. すべての変更をコミットし、認証プロファイルを使用する任意の機能にログインしてみてください SAML
Other users also viewed:
Actions
  • Print
  • Copy Link

    https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u0000008UfECAU&lang=ja&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail

Choose Language