コンテンツにスキップ

管理者ログイン-パスワード認証

文書更新日:2025-03-09

目的

  • PIO-IDのユーザで、FortiGateへ管理者権限でログインします。
  • 接続する際の認証方式は、パスワードです。
  • PIO-IDの標準RADIUSサーバを利用します。
  • ユーザ/グループによるアクセス制限をします。

設定方法

PIO-IDのグループの作成

  1. PIO-ID 管理者ポータル＞グループ画面へ移動します。
  2. グループ追加をクリックします。グループ追加画面がポップアップします。
  3. グループ名を入力し、登録ボタンをクリックします。

PIO-IDのユーザの作成

  1. PIO-ID 管理者ポータル＞ユーザ画面へ移動します。
  2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
  3. ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
  4. メンバーとなるグループを選択し、登録ボタンをクリックします。

PIO-IDのRADIUSサイトの登録

  1. PIO-ID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
  2. カタログ表示ボタンをクリックします。
  3. カタログからFortiGate NGFWの登録ボタンをクリックします。FortiGate NGFW画面がポップアップします。

  4. 基本情報タブに、以下を設定します。

    設定項目 設定内容
    有効/無効 有効を選択します。
    サーバ 標準を選択します。
    サーバ番号 適切なサーバ番号を選択します。選択するサーバの番号により、RADIUSサーバのポート番号が異なります。PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞RADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。
    IP or ホスト名 FortiGate NGFW側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。グローバルIPアドレスが、動的の場合には、DDNS（ダイナミックDNS）を利用してホスト名（FQDN）を設定します。

    注意: グローバルIPアドレスにIPv4の共用IPアドレスが使用されるインターネット接続サービス（IPv6インターネット接続、マンションタイプのインターネット接続、CATVインターネット、モバイルインターネット）の場合やDDNSサービスの利用ができない場合には、拡張RADIUSサーバの利用を検討してください。
    シークレット 任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

  5. 管理アクセスの認証タブへ移動します。

  6. 許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。

    Info

    必要に応じて権限を設定します。権限の詳細については、FortiGateの管理者ガイドをご確認ください。

    • prof_admin
    • super_admin
    • super_admin_readonly
    • radius_user_access1（ユーザ独自で作成したプロファイル）
    • radius_user_access2（ユーザ独自で作成したプロファイル）
    • radius_user_access3（ユーザ独自で作成したプロファイル）

  7. 登録ボタンをクリックします。

FortiGateのRADIUSサーバの設定

  1. FortiGate 管理GUI＞ユーザ＆認証＞RADIUSサーバ画面へ移動します。
  2. 新規作成ボタンをクリックします。新規RADIUSサーバ設定画面が表示されます。

  3. 以下を設定します。

    設定項目 設定内容
    名前 任意の文字列を設定します。（例：PIO-ID_RADIUS）
    プライマリサーバ
    IP/名前 PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞IPアドレスのプライマリです。
    シークレット PIO-IDのRADIUSサイトの登録の手順のシークレットに設定した文字列です。
    セカンダリサーバ
    IP/名前 PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞IPアドレスのセカンダリです。
    シークレット PIO-IDのRADIUSサイトの登録の手順のシークレットに設定した文字列です。

    Screenshot

  4. OKボタンをクリックします。

  5. PIO-IDのRADIUSサイトの登録でサーバ番号2～10を選択した場合は、FortiGate CLIからRADIUS認証の通信ポート番号を設定します。サーバ番号1を選択した場合は、FortiGateの初期値であるUDP 1812を使用するため、この手順は不要です。

    設定項目 設定内容
    RADIUSサーバの名前 手順3で設定した名前です。（例：PIO-ID_RADIUS）
    RADIUS認証の通信ポート番号 PIO-IDのRADIUSサイトの登録で選択したサーバ番号のポート番号です。PIO-ID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞RADIUSポート番号を確認してください。
    FortiGate CLI
    config user radius
    edit "<RADIUSサーバの名前>"
        set radius-port <RADIUS認証の通信ポート番号>
    next
end

    Info

    FortiGateのRADIUSサーバ設定画面で接続をテストボタンをクリックします。実行するタイミングは、選択したサーバ番号により異なります。

    • サーバ番号1を選択した場合：RADIUSサーバを作成した後
    • サーバ番号2～10を選択した場合：RADIUS認証の通信ポート番号を設定した後

    接続が成功しない場合には、以下をご確認ください。

    • 設定内容が間違いないこと
    • FortiGateからPIO-IDのRADIUSサーバのIPアドレスおよびRADIUS認証の通信ポート番号へ接続可能であること

    Warning

    PIO-IDのRADIUSサーバでは、FortiGateのVPNアクセスや管理アクセスのみ認証可能となるように制限をかけているため、ユーザクレデンシャルをテストボタンをクリックし、正しいユーザ情報を入力しても成功となりませんが、問題ではありません。

FortiGateのユーザグループの設定

  1. FortiGate 管理GUI＞ユーザ＆認証＞ユーザグループ画面へ移動します。
  2. 新規作成ボタンをクリックします。新規ユーザグループ画面が表示されます。

  3. 以下を設定します。

    設定項目 設定内容
    名前 任意の文字列を設定します。（例：PIO-ID）
    タイプ ファイアウォールを選択します。
    リモートグループ リモートサーバ：FortiGateのRADIUSサーバの設定の手順で設定したサーバの名前です。（例：PIO-ID_RADIUS）　グループ：いずれかを追加します。

    Screenshot

  4. OKボタンをクリックします。

FortiGateの管理者の設定

  1. FortiGate 管理GUI＞システム＞管理者画面へ移動します。
  2. 新規作成＞管理者ボタンをクリックします。新規管理者画面が表示されます。

  3. 以下を設定します。

    設定項目 設定内容
    ユーザ名 任意の文字列を設定します。（例：PIO-ID）
    タイプ リモートサーバグループのすべてのユーザと一致を選択します。
    管理者プロファイル admin_no_accessを選択します。
    ユーザグループ FortiGateのユーザグループの設定の手順で設定したユーザグループの名前を選択します。（例：PIO-ID）

    Screenshot

  4. OKボタンをクリックします。

  5. グループ（FortiGateのユーザグループの設定の手順で設定したユーザグループの名前）のメンバーは、admin_no_accessプロファイルにより管理者権限はありません。しかし、以下のコマンドを実行することで、RADIUSサーバで認証が成功した場合に、指定したプロファイル（例：super_admin_readonly）で上書きできます。

    FortiGate CLI
    # config system admin
    edit "PIO-ID"
    set accprofile-override enable
end

    Info

    Fortinet社の以下の情報を参考にさせていただきました。
    Technical Tip: Remote admin login with Radius selecting admin access account profile

動作確認方法

パスワードによる管理者ログインの認証が可能なことを確認します。

  1. FortiGate 管理GUI https://FortiGateの管理IPアドレス/ へアクセスします。

  2. 以下の情報でログインを試みます。

    設定項目 設定内容
    ユーザ名 PIO-IDのRADIUSサイトの登録の手順で許可したユーザ
    パスワード ユーザのパスワードです。

    Screenshot

  3. ログインが成功することを確認します。

    Screenshot

補足

以下の画面が表示されたときには、CLIからset accprofile-override enableがセットされていることを確認してください。

Screenshot

FortiGate CLI
# config system admin
(admin) # edit "PIO-ID"
(PIO-ID) # show
config system admin
    edit "PIO-ID"
        set remote-auth enable
        set accprofile "admin_no_access"
        set vdom "root"
        set wildcard enable
        set remote-group "PIO-ID"
        set accprofile-override enable
    next
end