COLUMN コラム
TOP > コラム > Cisco Secure AccessのSCCとMicrosoft Entra IDをSSO連携する手順

Cisco Secure AccessのSCCとMicrosoft Entra IDをSSO連携する手順

弊社にてCiscoのSASE製品である Cisco Secure Access を構築した際、一般的な導入手順ではあまり触れられない設定を実施しました。本記事ではその事例として、Cisco Security Cloud Control（SCC）とMicrosoft Entra IDをSAML連携し、SSO（シングルサインオン）および管理者権限のグループマッピングを実施する手順をご紹介します。

同様の構成を検討されている方の参考となれば幸いです。

1. 目的

SCCとMicrosoft Entra IDをSAMLで連携し、Entra IDのユーザーがSCCへシングルサインオンできるようにします。

また、Entra IDのグループとSCCのAdmin Groupをマッピングし、ユーザーの所属グループに応じてSCCおよび各製品のロールを割り当てます。

2. 設定の流れ

以下の順序で設定を実施します。

  1. SCCでドメインを登録する
  2. SCCでIdP登録を開始し、SCCのメタデータを取得する
  3. Entra IDでSCCをサービスプロバイダーとして登録する
  4. Entra IDのメタデータをSCCに登録し、IdPを有効化する
  5. SCCでAdmin Groupを作成し、ロールを割り当てる
  6. Entra IDグループとSCCのAdmin Groupをマッピングする
  7. SSOおよび権限の動作を確認する
SCCとMicrosoft Entra IDのSSO連携における設定の流れ。SCCでのドメイン登録、IdP登録の開始、Entra IDでのサービスプロバイダー登録、IdPの有効化、Admin Groupの作成、グループマッピング、動作確認までの7ステップを示した図

3. 事前準備

3.1 必要な権限

作業前に、以下の権限が付与されていることを確認します。

  • SCCの管理者権限
  • Microsoft Entra IDのエンタープライズアプリケーションを管理できる権限
  • 対象ドメインのDNSレコードを登録または変更できる権限

3.2 必要な情報

以下の情報を事前に準備します。

  • SCCへのログインに使用するユーザーのドメイン
  • SCCと連携するEntra IDユーザーまたはグループ
  • SCCに作成するAdmin Group名
  • SCCおよびSecure Accessで割り当てるロール
  • Entra ID上の対象ユーザーに設定されている以下の属性
    • First name
    • Last name
    • Email address

3.3 注意事項

  • Entra ID側の対象ユーザーには、First nameとLast nameの設定が必要である。
  • First nameまたはLast nameが未設定の場合、SCC上にアカウントが作成されず、ログインできない可能性がある。
  • SCCでドメインのVerifyが完了した後は、ユーザー権限ではドメインを変更できないため、登録するドメインに誤りがないことを十分に確認する。
  • Entra ID側で多要素認証を設定している場合、SCC側のDuo MFAは原則として無効で問題ない。
  • Entra IDグループの表示名をマッピングに使用するため、グループ名の変更が連携に影響する可能性がある。

4. SCCでのドメイン登録

4.1 Domains画面の表示

  1. SCCへ管理者アカウントでログインする。
  2. SCCの管理画面から、以下を選択する。
    Platform Management
    └ Domains
  3. Domains画面で「Add domain」を選択する。

4.2 ドメインの登録

  1. Entra IDで保有しているドメインを入力する。
    入力例：example.co.jp
  2. 入力したドメインに誤りがないことを確認する。
  3. SCCの画面に表示されたDNS検証用レコードを確認する。

4.3 DNSレコードの登録

  1. 対象ドメインを管理しているDNSサーバまたはDNSサービスへログインする。
  2. SCCに表示されたレコードを、対象ドメインのDNSレコードとして登録する。
  3. 以下の項目がSCCの表示内容と一致していることを確認する。
    ・レコード種別
    ・ホスト名
    ・値
    ・TTL
  4. DNSレコードの登録後、レコードが反映されるまで待つ。

4.4 ドメインのVerify

  1. SCCのDomains画面へ戻る。
  2. 対象ドメインの「Verify」を選択する。
  3. SCC側でDNSレコードの確認が行われる。
  4. Verifyが正常に完了し、対象ドメインが検証済みの状態になったことを確認する。

確認項目：

  • 登録したドメイン名が正しいこと
  • SCC指定のDNSレコードが正しく登録されていること
  • ドメインのVerifyが完了していること

注意事項：

ドメインのVerify完了後は、ユーザー権限ではドメインを変更できないため、登録前にドメイン名を十分に確認します。

5. SCCでのIdP登録開始

この工程では、SCCにIdPの基本情報を登録し、Entra IDへ取り込むSCCのメタデータXMLを取得します。

5.1 IdPの追加

  1. SCCの管理画面から、以下を選択する。
    Platform Management
    └ Identity Provider
  2. 「Add identity provider」を選択する。
  3. Identity provider Nameに任意の名称を入力する。
  4. Duo-based MFAの設定は今回は省きます。
    IDP側でMFAを設定している場合offで問題ないです。

5.2 SCCメタデータの取得

  1. 「Security Cloud Sign On SAML metadata」のダウンロードをクリックする
  2. SCCのメタデータXMLファイルをダウンロードする。
  3. ダウンロードしたXMLファイルを、Entra IDの設定時に使用できる場所へ保存する。

6. Entra IDでのSP登録

6.1 エンタープライズアプリケーションの作成

  1. Microsoft Entra管理センターへ管理者アカウントでログインする。
  2. 以下を選択する。
    Entra ID
    └ エンタープライズアプリケーション
    　└ すべてのアプリケーション
  3. 「新しいアプリケーション」を選択する。
  4. 「独自のアプリケーションの作成」を選択する。
  5. 任意のアプリケーション名を入力する。
    入力例：Cisco SCC
  6. 「ギャラリーに見つからないその他のアプリケーションを統合します」を選択する。
  7. アプリケーションを作成する。

6.2 ユーザーとグループの割り当て

  1. 作成したエンタープライズアプリケーションを開く。
  2. 「ユーザーとグループ」を選択する。
  3. SCCとのSAML連携を許可するユーザーまたはグループを追加する。
  4. 割り当て内容を保存する。

確認事項：

  • SCCを利用するユーザーまたはグループが割り当てられていること
  • テストユーザーが対象グループに所属していること
  • 不要なユーザーが割り当てられていないこと

6.3 SAML方式の選択

  1. 作成したエンタープライズアプリケーションで、「シングルサインオン」を選択する。
  2. シングルサインオン方式として「SAML」を選択する。

6.4 SCCメタデータのアップロード

  1. SAML設定画面で、「メタデータファイルをアップロードする」を選択する。
  2. SCCからダウンロードしたメタデータXMLファイルを選択する。
  3. XMLファイルから読み込まれた以下の情報を確認する。
    ・識別子（エンティティID）
    ・応答URL
    ・サインオンURL
    ・ログアウトURL
  4. 内容に問題がないことを確認し、設定を保存する。

7. Entra IDでの属性とクレームの設定

SCCでユーザーを作成し、Entra IDのグループとSCCのAdmin Groupをマッピングするため、SAML属性とクレームを設定します。

7.1 必要な属性

以下の属性を設定します。

  • SAMLIDPUserGroups
  • firstName
  • lastName
  • email

各属性には、対象ユーザーの情報を返すEntra ID属性を設定します。

設定内容：

SAMLIDPUserGroups：user.groups
firstName：user.givenname
lastName：user.surname
email：user.userprincipalname
一意のユーザーID：user.userprincipalname

参考：Cisco公式ドキュメント「Integrating Microsoft Entra ID with Security Cloud Sign On」
https://securitydocs.cisco.com/docs/scc/admin/95997.dita

7.2 グループ要求の追加

  1. SAML設定画面で、「属性とクレーム」を開く。
  2. 「グループ要求を追加する」を選択する。
  3. グループ要求の対象として、以下を選択する。
    アプリケーションに割り当てられているグループ
  4. ソース属性として、以下を選択する。
    クラウド専用のグループの表示名
  5. 「グループ要求の名前をカスタマイズする」にチェックを入れる。
  6. グループ要求の名前に、以下を入力する。
    SAMLIDPUserGroups
  7. 設定を保存する。
  8. 属性とクレームの一覧に「SAMLIDPUserGroups」が表示されていることを確認する。

重要事項：

属性名の大文字と小文字を含め、以下の表記に統一します。

SAMLIDPUserGroups

資料中には「SamlIDPUserGroups」という表記もあるため、実際に登録したクレーム名と、SCCが要求する属性名が完全に一致していることを確認します。

7.3 Entra IDメタデータのダウンロード

  1. SAML設定画面で、「SAML証明書」を開く。
  2. フェデレーションメタデータXMLをダウンロードする。
  3. ダウンロードしたXMLファイルを、SCCへアップロードできる場所へ保存する。

7.4 ユーザー属性の確認

Entra ID上で対象ユーザーを開き、以下が設定されていることを確認します。

  • First name
  • Last name
  • Email

特にFirst nameおよびLast nameが未設定の場合は、SCCでユーザーアカウントが作成されず、ログインに失敗します。

8. SCCでのIdP登録完了

この工程では、Entra IDからダウンロードしたメタデータXMLをSCCへ登録し、IdPを有効化します。

8.1 Entra IDメタデータのアップロード

  1. SCCのIdentity Provider設定画面へ戻る。
  2. 作成途中のIdentity Providerを開く。
  3. Entra IDからダウンロードしたメタデータXMLファイルをアップロードする。
  4. XMLファイルが正常に読み込まれたことを確認する。

8.2 IdPの有効化

  1. 設定内容を確認する。
  2. 「Next」を選択する。
  3. 最終確認画面で、以下を確認する。
    ・Provider Name
    ・対象ドメイン
    ・Entra IDのIdP情報
    ・Duo MFAの有効または無効
  4. 「Activate」を選択する。
  5. Identity Providerが有効な状態になったことを確認する。

9. SCCでのAdmin Group作成とロール設定

Entra IDグループとSCCまたはSecure Accessのグループをマッピングするため、SCCにAdmin Groupを作成します。

既に対象のAdmin Groupが存在する場合は、新規作成は不要です。既存グループに適切なロールが割り当てられていることを確認します。

9.1 Admin Groupの作成

  1. SCCのAdmin Group管理画面を開く。
  2. 「Add admin group」を選択する。
  3. 作成するGroup名を入力する。
  4. Groupの説明を入力する。
    入力例：
    Group名：SCC-SecureAccess-Admin
    説明：Secure Access管理者用グループ
  5. 作成するグループへ既存ユーザーを割り当てる場合は、対象ユーザーを選択する。
    SAMLグループマッピングでユーザーを割り当てる場合は、ユーザーを選択せず空欄のままでもよい。
  6. 「Finish」を選択する。

9.2 Admin Groupへのロール割り当て

  1. 作成したAdmin Groupを選択する。
  2. 「Assign roles」を選択する。
  3. グループに所属するユーザーへ割り当てる、製品ごとのロールを選択する。
  4. SCCおよびSecure Accessなど、対象製品とロールの組み合わせが正しいことを確認する。
  5. 設定を保存する。
  6. 作成したAdmin GroupにRoleが割り当てられていることを確認する。

ロール設定時の注意事項：

  • 必要最小限の権限を割り当てる。
  • 管理者ロールを付与するグループを限定する。
  • 参照のみのユーザーには、設定変更権限を付与しない。
  • 複数製品のロールを割り当てる場合は、製品ごとに割り当て内容を確認する。

10. SCCでのGroup Mapping設定

Entra IDからSAML属性として送信されるグループ名と、SCCのAdmin Groupをマッピングします。

10.1 Group Mapping画面の表示

  1. SCCのIdentity Provider設定画面を開く。
  2. 対象のIdentity Providerを選択する。
  3. 「Map identity provider groups」を選択する。
  4. Group Mapping設定画面で「Next」を選択する。

10.2 グループのマッピング

以下の内容を設定します。

Identity provider group：

Identity provider groupには、Entra IDからSAML属性「SAMLIDPUserGroups」として送信されるグループ表示名を指定します。

オブジェクトIDではなく表示名を使用するため、グループ名変更時は再設定が必要となる場合があります。

入力例：

Entra-SCC-SecureAccess-Admin

Admin group：

対応させるSCCのAdmin Groupを選択します。

入力例：

SCC-SecureAccess-Admin

設定例：

  • Entra-SCC-Administrators → SCC-Administrators
  • Entra-SecureAccess-Operators → SCC-SecureAccess-Operators
  • Entra-SCC-Viewers → SCC-Viewers
Entra IDグループの表示名がSAML属性 SAMLIDPUserGroups として送信され、SCCのAdmin Groupと製品ごとのロールに対応づくグループマッピングの仕組みを示した図

10.3 Group Mappingの保存

  1. Identity provider groupとAdmin groupの組み合わせが正しいことを確認する。
  2. 必要なグループ分のマッピングを登録する。
  3. 「Save」を選択する。
  4. 保存後、設定したマッピングが一覧に表示されていることを確認する。

注意事項：

Identity provider groupには、Entra IDのグループ表示名を正確に設定します。

以下の差異があると、マッピングされない可能性があります。

  • 大文字と小文字の違い
  • 全角と半角の違い
  • 不要なスペース
  • ハイフンやアンダースコアの違い
  • Entra ID側でのグループ名変更

11. 動作確認

11.1 事前確認

テスト前に、以下を確認します。

  • テストユーザーにFirst nameが設定されていること
  • テストユーザーにLast nameが設定されていること
  • テストユーザーにEmailが設定されていること
  • テストユーザーが対象のEntra IDグループに所属していること
  • 対象グループがSCCのエンタープライズアプリケーションに割り当てられていること
  • Entra IDグループとSCCのAdmin Groupがマッピングされていること
  • SCCのAdmin Groupに必要な製品ロールが割り当てられていること

11.2 SSO確認

  1. ブラウザーのプライベートウィンドウを開く。
  2. SCCのログイン画面へアクセスする。
  3. SSOでのログインを選択する。
  4. Entra IDの認証画面へ遷移することを確認する。
  5. テストユーザーで認証する。
  6. 認証後、SCCへ正常にログインできることを確認する。
  7. 初回ログイン時に、SCC上へユーザーアカウントが作成されることを確認する。

11.3 グループおよびロール確認

  1. SCCへログインしたテストユーザーの所属Admin Groupを確認する。
  2. Entra IDグループに対応したAdmin Groupが割り当てられていることを確認する。
  3. SCCおよびSecure Accessで、想定したロールが付与されていることを確認する。
  4. ロールで許可された操作が実行できることを確認する。
  5. ロールで許可されていない操作が実行できないことを確認する。

本事例のポイントと再発防止チェックリスト

本事例では、Cisco Secure Access の構築にあたり、SCCとMicrosoft Entra IDをSAMLで連携し、SSOと管理者権限のグループマッピングまでを設定しました。手順の中では、ユーザー属性の設定、クレーム名の表記、グループ表示名の一致が、ログインの可否やマッピングの成否に関わる確認ポイントです。

同種のSAML連携を扱う現場では、以下の観点が設定の精度を左右します。

  • 対象ユーザーにFirst name・Last name・Emailが設定されていることを事前に確認する（First nameまたはLast nameが未設定の場合、SCCにアカウントが作成されずログインに失敗する）
  • ドメインはVerify完了後にユーザー権限で変更できないため、登録前にドメイン名を十分に確認する
  • グループ要求のクレーム名は大文字と小文字を含めて「SAMLIDPUserGroups」に統一する
  • Group MappingにはオブジェクトIDではなくグループ表示名を使うため、大文字と小文字・全角と半角・スペース・ハイフンやアンダースコアの差異がないことを確認する
  • Entra ID側でグループ名を変更した場合は、マッピングの再設定が必要かを確認する
  • Admin Groupには必要最小限の権限を割り当て、管理者ロールを付与するグループを限定する
  • 動作確認はブラウザーのプライベートウィンドウで行い、ロールで許可された操作が実行できること・許可されていない操作が実行できないことの両方を確認する

SAML連携の現場対応では、Entra ID側が送信する値とSCC側が要求する値の一致を、属性名・グループ名の単位で確認することが、確実なSSO導入の近道となります。

一覧へ戻る
弊社パンフレットの請求はこちら
弊社パンフレットの請求はこちら

RECRUIT 採用情報

ヤングライフプロポーサルでは、一緒にお客様の自由時間を創出してくれる仲間を募集します。

採用サイトはこちら

CONTACT お問い合わせ

事業内容や採用に関するお問合せは、こちらからお問合せください。

お問い合わせはこちら
採用情報
お問合せ
トップへ戻る