【Prisma Access】Prisma Accessでの認証ルール設定手順

2026.09.09

セキュリティ
ネットワーク

今回はPrisma Accessで実施した「認証ルール」の検証内容について解説します。

Prisma Access環境において、ユーザーのWebアクセス時にキャプティブポータルへリダイレクトさせ、Entra ID（旧Azure AD）を用いたMFA認証を強制させるための設定手順を整理しました。

今回の目標

今回の目標は、Webアクセス時にユーザーへ適切な認証（Entra ID MFA）を行わせることです。

前提条件

・ Entra IDとCIE（Cloud Identity Engine）の連携が完了していること。
・ Entra ID側で多要素認証（MFA）が設定されていること。
・端末からGlobalProtectへの接続が正常に行われていること。

設定手順

認証ルール適用にあたり、以下のステップで実施していきます。

証明書作成
認証プロファイル作成
認証ポータル設定
認証ルール作成
復号ルール作成

1. 証明書作成

ユーザーがWebサイトにアクセスした際、認証ポータルへ安全に（HTTPS通信で）リダイレクトさせ、ブラウザ側で証明書エラー（警告画面）を出さずに認証画面を表示・処理させるために必要となります。

まずは、認証ポータルで使用するサーバー証明書を作成していきます。

オブジェクト > 証明書の管理 > カスタム証明書

設定項目	設定値
Name	test-auth.com_cert
Common Name(CN)	test-auth.com
認証局	有効化
Subject Alternative Name	test-auth.com

続いて、認証ポータル通信で使用するSSL/TLS Service Profileを作成していきます。

オブジェクト > 証明書の管理 > SSL/TLS Service Profile

設定項目	設定値	補足・説明
Name	test-auth_cert_profile	-
Certificate	test-auth.com_cert	-
Protocol Setting (Min Version)	Tls1.2	認証ポータルでは、TLS1.3は利用できないためTLS1.2に固定します。
Protocol Setting (Max Version)	Tls1.2	認証ポータルでは、TLS1.3は利用できないためTLS1.2に固定します。

2. 認証プロファイル作成

Prisma Accessがユーザーの認証要求を受け取った際、どの認証基盤（今回はCIE経由のEntra ID）を使用して認証処理を行うか、またどのような条件（MFAの制御等）を適用するかを定義するために作成します。

認証プロファイルを作成します。

IDサービス > 認証 > 認証ルール > 認証プロファイル

設定項目	設定値	補足・説明
認証方式	Cloud Identity Engine	-
プロファイル名	test-auth_profile	-
プロファイル	Entra IDと連携しているCIEのプロファイルを選択	-
クラウドで多要素認証を強制する	有効化	Palo Alto Networksのクラウド基盤側で多要素認証（MFA）の適用を制御・連携させる設定
認証可能ユーザ	all	このプロファイルで認証を通す対象ユーザー（今回は全ユーザー）

3. 認証ポータル設定

ユーザーがWebアクセスを行った際、リダイレクト先となる認証画面（キャプティブポータル）の動作パラメータを制御するために必要となります。

認証ポータルの設定をしていきます。

IDサービス > 認証 > 認証ルール > 認証ポータル

設定項目	設定値	補足・説明
Mode	Redirect	未認証ユーザーのHTTP/HTTPS通信を認証ポータルのURLへ自動リダイレクトさせるモード
IPアドレスまたはホスト名	test-auth.com	クライアントがリダイレクトされる認証画面のFQDN/IP（今回は、Prisma Accessのキャプティブポータルリダイレクト IP アドレスに紐づくFQDNを使用しています）
Enable	有効化	指定したホスト名/IPアドレスへのリダイレクト機能を有効化する設定
Timeout	1440	認証成功後の認証セッション保持期間（分単位。1440分＝24時間 ※認証画面自体のタイムアウトは下部の「タイマー」項目で設定します）
Roaming	有効化	クライアントのIPアドレスが切り替わった場合でも認証セッションを維持する設定
SSL/TLS Service Profile	test-auth_cert_profile	認証ポータルのHTTPS通信に適用するTLSプロファイル
認証プロファイル	test-auth_profile	認証処理のバックエンドとして使用する認証プロファイル
アイドルタイマ	60	アイドル状態（無通信）が指定時間続いた場合に再認証を要求するタイマー（分単位）
タイマ	60	認証処理（認証画面の入力応答）自体のタイムアウト時間（分単位）
インバウンド認証プロンプト用のネットワークポート(UDP)	4501	認証通知やプロンプト受信等で使用するインバウンド通信ポート

4. 認証ルール作成

どの通信に対して認証を要求するかを制御するために作成します。

また、認証処理に必要なIdP（Entra ID/CIE）や認証ポータル宛ての通信自体が認証ルールの対象になると、リダイレクトの無限ループが発生して認証が完了できなくなるため、事前に「認証除外ルール」を定義しておく必要があります。

今回はすべてのWeb通信に対して認証ルールを適用させたいため、宛先はanyとしています。しかし、リダイレクト先となる認証ポータルやEntra ID側の認証基盤FQDNは除外させます。

先に認証除外となるFQDNをURLリストで作成していきます。

セキュリティサービス > URLアクセス管理 > カスタムURLカテゴリ

設定項目	設定値 / FQDN	補足・説明
Name	test-auth_url_list	-
Type	URL List	-
URL List (登録対象)	apl.se-platform.com	Palo Alto Networks CIE（Cloud Identity Engine）の認証サービスエンドポイント
	CIEプロファイルのSP Entity ID FQDN	CIEで使用しているプロファイルの「SP Entity ID」のFQDN
	*.microsoftonline.com	Microsoft Entra IDのサインイン・認証処理用FQDN
	*.msauth.net	Microsoftの多要素認証（MFA）および認証ブローカー用FQDN

次に、認証除外ルールを作成していきます。

IDサービス > 認証 > 認証ルール > 認証ルール（除外ルール）

設定項目	設定値
送信元 (Zone / Address / User)	Any / Any / 自身のGPユーザ
宛先 (Zone / Address / User)	Any / Any / Any
サービス	http/https/quic
URLカテゴリ	test-auth_url_list
Action	認証しない

続いて、認証ルールを作成していきます。この認証ルールは先ほど作成した認証除外ルールの下に配置してください。

IDサービス > 認証 > 認証ルール > 認証ルール

設定項目	設定値	補足・説明
送信元 (Zone / Address / User)	Any / Any / 自身のGPユーザ	-
宛先 (Zone / Address / User)	Any / Any / Any	-
サービス	http/https/quic	-
URLカテゴリ	Any	-
Action	認証する	-
└ 認証セッションタイムアウト	60 min	認証成功後に認証状態を維持する期間（認証ポータルの「Timeout」と重複する項目であり、設定値が短い方が優先適用されます）
└ 認証プロファイル	test-auth_profile	条件に合致した通信の認証に使用するプロファイル

5. 復号ルール作成

暗号化されたHTTPS通信（Port 443等）の中身をPrisma Accessが読み取り、認証ポータルへ正しくリダイレクトさせるにはSSL復号（SSL Forward Proxy）が不可欠となります。ただし、認証基盤（IdP）宛ての通信は証明書検証等でエラーとなるのを防ぐため、復号除外に設定します。

復号ルールと復号除外ルールを作成していきます。

まずは、復号除外ルールを作成していきます。

セキュリティサービス > 復号（復号除外ルール）

設定項目	設定値
送信元 (Zone / Address / User)	Any / Any / 自身のGPユーザ
宛先 (Zone / Address / User)	Any / Any / Any
サービス	Any
URLカテゴリ	test-auth_url_list
Action	復号しない

次に、復号ルールを作成します。この復号ルールは先ほど作成した復号除外ルールの下に配置してください。

セキュリティサービス > 復号

設定項目	設定値
送信元 (Zone / Address / User)	Any / Any / 自身のGPユーザ
宛先 (Zone / Address / User)	Any / Any / Any
サービス	http/https/quic
URLカテゴリ	Any
Action	復号する
└ 復号化プロファイル Type	SSL Forward Proxy
└ 復号化プロファイル	best-practice

まとめ

今回はGlobalProtect接続環境下において、Prisma Accessの認証ルールおよび認証ポータルの設定検証を行いました。

検証を通して、リダイレクトループを防止するためのURL除外定義が必要不可欠である点に気付くのが遅れ、少し手間取ってしまいました。

今回はGlobalProtectに接続済みの状態で認証ルールを適用させましたが、GlobalProtect接続時はクライアント側ですでにユーザー識別が行われています。そのため本来のユースケースとしては、境界ファイアウォールやRemote Network（拠点接続）環境など、「ユーザー認証がまだ完了していないIPベースの通信が発生する状況」において、認証ルールによってキャプティブポータルへ誘導し、動的にユーザーマッピングを行うための機能であるように感じました。

ブログ一覧へ戻る