ここ数年、クラウドベースIdP(IDプロバイダー)の採用が飛躍的に伸びています。これほどまでに成長した背景には、多くの企業がユーザーIDの管理をオンプレミスからクラウドに移行したいと望んでいることがあげられます。

多くの企業が、クラウドベースのIdPを採用することで、可用性・信頼性・拡張性を損なうことなく、パスワードの複雑性管理や多要素認証(MFA)、シングルサインオン(SSO)などによる厳密なアクセス制御と一元的なセキュリティ強化をはかっています。

ただしオンプレミスの認証方式(RADIUS、LDAP、Kerberosなど)からクラウド認証方式(Azure Active Directory を使用したSAML認証、Okta、Google Identityなど)への移行には時間やリソースがかかることがあり、そこからプロジェクトが遅延してしまう可能性もあります。企業側はエンドユーザーのセキュリティを損なわずにハイブリッド型・分散型のIDストアのかかえる複雑さを克服する方法を必要としています。

今回、弊社のクラウド型セキュリティプラットフォームを代表する製品であるPrisma Accessは、企業の皆さまに2つの重要なソリューションをご提供することで、こうした導入の複雑さを解消し、ユーザーの段階的なクラウド認証移行を支援いたします。

1. Multiple Portal Authentication Support: マルチポータル認証に対応しました。これにより単一のPrisma Accessインスタンス内でクラウド認証とオンプレミス認証を構成できます。Prisma Access内でオンプレミス認証とクラウド認証を共存させることでユーザー認証を段階的にオンプレミスからクラウドへ移行できます。
2. Cloud Identity Engineによるクラウド認証サービス: CIE (Cloud Identity Engine)によるクラウド認証サービスは単一インターフェースから複数のIDプロバイダーと統合し、クラウドIdPによる認証を簡素化して運用上の問題の解決を支援します。

Multiple Portal Authentication Support (マルチポータル認証に対応)

Multiple Portal Authentication Supportにより、IT管理者は同じPrisma Accessテナント上に2つのモバイルユーザーGlobalProtectポータルを構成できるようになります。たとえばRADIUSからSAMLへの移行を検討している場合、Multiple Portal Authentication Supportを有効にすれば、お使いのPrisma Accessインスタンスにポータルを追加して有効化できます。

Portal 1でRADIUS認証の既存ユーザーにサービス提供を続けたまま、Portal 2を有効化してSAML認証に対応できます。

Portal 2で一部のユーザーを対象にSAML認証を検証したら、後はGlobalProtectエージェント上でポータルを変更するだけで、段階的にほかのユーザーに展開できます。

Cloud Identity Engine (CIE)によるクラウド認証サービス

Cloud Identity Engine (CIE)は、オンプレミスIdPとクラウドIdPの両方のMFAを管理する単一実装ポイントをネットワーク セキュリティ チームに提供します。CIEは数回クリックするだけで1つないし複数のIdPと統合できるので、セキュリティ デバイスごとにIdPを設定して回る煩わしさから解放されます。

Prisma AccessはCIEによるマルチ認証に対応しました。CIEのマルチ認証により、SAML 2.0や複数の証明書認証方式・IDプロバイダーに対し、単一の認証プロファイルを構成できるようになります。

たとえば、アクセスを試みたユーザーに応じ、単一のGlobalProtect認証フローでOkta、Azure Active Directory、証明書ベースの認証に対応できます。複数種類の認証に対応する複数種類のIdPがネットワーク上に混在している場合、マルチ認証への対応が不可欠です。

IDセキュリティとZTNA2.0

Prisma AccessにおけるID関連のイノベーションについて詳しくはPrisma AccessとCloud Identity Engineの最新リリースノートをご確認ください。IDはゼロトラスト フレームワークの基本要素でありZTNA 2.0の最重要要素です。ハイブリッドなIDストアのIDセキュリティを簡素化すれば、統合された単一のセキュリティ製品を実現し、「例外なしのゼロトラスト」をもたらすことができます。

Cloud Identity Engineは、ディレクトリ内の各グループをそのグループに対応する認証の種類と関連付けることにより、最小特権アクセスの原則を遵守します。たとえば「製品管理部門の社員グループはOkta経由でSAML認証」、「契約社員グループはPingID経由でSAML認証」、「別のグループは証明書ベースで認証」というように、これらすべての認証を単一の認証プロファイルで管理できます。このアプローチはIDセキュリティを大幅に簡素化し、ハイブリッドな職場環境をかかえる組織全体に一貫したセキュリティをもたらします。

Prisma AccessにおけるZTNA 2.0が今日のハイブリッド企業やハイブリッド職場環境のセキュリティ確保にどのように貢献できるのかは、ぜひこちらからご確認ください。

The adoption of cloud-based identity providers (IdPs) has grown exponentially in the past several years. The reason for this level of growth is largely due to the desire of most businesses to migrate from on-prem to the cloud to manage user identities.

Enterprises are adopting cloud-based identity providers (IdPs) for their ability to tightly control access and centrally increase security with password complexity management, multi-factor authentication (MFA), and single sign-on (SSO) without negatively impacting availability, reliability, or scalability.

However, migrating from on-prem authentication methods (such as RADIUS, LDAP, and Kerberos) to cloud authentication methods (e.g. SAML with Azure AD, Okta, Google Identity) can be a time-consuming and resource-intensive effort that can lead to delayed projects. Organizations need ways to navigate the complexity of hybrid and distributed identity stores without compromising end user security.

Prisma Access, our flagship cloud-delivered security platform, now provides organizations two key solutions to help navigate deployment complexity and gradually migrate users to cloud authentication:

1. Multiple Portal Authentication Support allows organizations to configure cloud authentication and on-prem authentication within a single Prisma Access instance. The co-existence of on-prem and cloud authentication within Prisma Access helps enable the gradual migration of user authentication from on-prem to cloud.
2. Cloud Authentication Service with Cloud Identity Engine integrates with multiple identity providers from a single interface and simplifies authentication with cloud IdPs to help solve operational challenges.

Multiple Portal Authentication Support

Multiple Portal Authentication Support enables IT administrators to configure two mobile user GlobalProtect portals on the same Prisma Access tenant. For example, a customer who wants to migrate from RADIUS to SAML can enable Multiple Portal Authentication Support to activate an additional portal on their Prisma Access instance.

Portal 1 can service existing RADIUS-authenticated users without service disruption while Portal 2 can be enabled for SAML authentication.

The customer can use Portal 2 to test SAML authentication for a subset of its users, gradually rolling it out to other uses with a simple portal change on the GlobalProtect agent.

Fig 1: Both RADIUS and SAML portals are active within a singular Prisma Access instance.

Cloud Authentication Service with CIE

Cloud Identity Engine (CIE) provides network security teams a single implementation point to manage MFA for both on-premises and cloud IdP. CIE integrates with one or more IdPs in a few clicks, eliminating the frustration of configuring IdPs on individual security devices.

Prisma Access now supports CIE multi-authentication. CIE Multi Authentication allows companies to configure a single authentication profile with SAML 2.0 and multiple certificate authentication methods or identity providers.

For example, a single GlobalProtect authentication flow can be completed with Okta, Azure Active Directory, or certificate-based authentication, depending on which user is trying to gain access. This is essential when multiple IdPs with multiple authentication types are present on a network.

Fig 2: Cloud Identity Engine simplifies cloud authentication setup and management for multiple IdPs.

Identity Security and ZTNA 2.0

Check out the latest Prisma Access and Cloud Identity Engine release notes to learn more about the innovations we are driving around identity on Prisma Access. Identity is a fundamental component of a Zero Trust framework and an essential component of ZTNA 2.0. Simplifying identity security across hybrid identity stores enables a unified security product to deliver Zero Trust outcomes with Zero Exceptions.

Cloud Identity Engine aligns with principles of least privilege access by allowing customers to associate each group in their directory with the appropriate authentication type for that group. For example, customers can have their product management employee group authenticate with SAML through Okta, a contractor group authenticate with SAML through PingID, and another group authenticate via certificate-based authentication—all under one authentication profile. This approach greatly simplifies identity security while ensuring consistent security across hybrid organizations with hybrid workforces.

Get started exploring how ZTNA 2.0 on Prisma Access can help secure today’s hybrid enterprises and workforces.