Active Directory ユーザーとグループに関するよくある質問 (FAQ)

AD サーバーを設定し、AD グループをファイアウォールにインポートするには、Active Directory 認証を設定するを参照してください。

高可用性クラスタでは、AD グループをプライマリデバイスにインポートしてください。

いいえ。インポートアシスタントを使用してグループをインポートする必要があります。詳細は、Active Directory グループをインポートするを参照してください。

または、AD サーバーとファイアウォールの両方でグループを手動で作成してください。

AD グループをインポートすると、選択したグループだけがインポートされます。ユーザーがサインインするたびに、ファイアウォールはユーザーのグループを評価し、変更点を適用します。

サインインしたユーザーの AD グループがファイアウォール内に存在しない場合、ファイアウォールはそのユーザーをデフォルトグループに割り当てます。

デフォルトグループは、「ファイアウォール認証手段」の「認証 > サービス」で確認できます 。デフォルトでは、「オープングループ」になっています。

Active Directory は、プライマリグループ情報をユーザー属性やグループ属性に追加しません。したがって、この情報はファイアウォールに追加されません。

AD のデフォルトのプライマリグループをドメイングループとして保持している場合、ユーザーはこのグループには追加されません。AD のプライマリグループを別のグループ (グループAなど) に変更した場合、ユーザーはこのグループに追加されません。

以下の動作の例をご覧ください。

ファイアウォールには、AD ユーザーのメイングループと他のグループのメンバーシップが保持されています。

「認証 > ユーザー」に移動し、目的のユーザーをクリックします。ユーザーのグループは、「ポリシー」に次のように表示されます。

• グループ: ファイアウォールがユーザーを認証するときの、ユーザーのグループリスト内の最初のグループ。これが、ファイアウォール内のユーザーのメイングループとなります。一部のルールおよびポリシーでは、メイングループのみがサポートされます。詳細は、Active Directory グループメンバーシップのサポートを参照してください。
• その他のグループメンバーシップ: ユーザーが所属する他のグループ。

次に例を示します。

プライマリデバイスでインポートアシスタントを使用してください。詳細は、Active Directory グループをインポートするを参照してください。

ファイアウォールの「認証 > グループ」のグループの順番で、ユーザーのメイングループが決まります。

ファイアウォールにおけるユーザーのメイングループは、次のいずれかによって変更できます。

• AD でユーザーのグループを追加または削除するか、ユーザーのグループメンバーシップを変更する。
• ファイアウォールの「認証 > グループ」でグループの順番を変更する。そのためには、ユーザーのメイングループを、そのユーザーが属する他のグループの下にドラッグ＆ドロップします。

ユーザーが次にサインインしたときに、AD で行った変更に基づいて、ユーザーがグループに追加またはグループから削除されます。続けて、ファイアウォール内のグループの順序を評価し、リスト内の最初のグループをユーザーのメイングループとして設定します。

次の手順を実行します。

1. 「認証 > グループ」に移動します。

2. 「並べ替え」をクリックします。

   

3. 目的のグループをドラッグ＆ドロップします。

4. 「閉じる」をクリックします。

ルールおよびポリシーによって、ユーザーの複数のグループメンバーシップをサポートしているものと、メイングループのみをサポートしているものがあります。

詳細は、Active Directory グループメンバーシップのサポートを参照してください。

複数のグループメンバーシップをサポートするルールやポリシーの場合、ルールまたはポリシーをトラフィックと照合し、ルールまたはポリシーの中の最初に一致するグループが選択されます。これは、メイングループ、または他のグループメンバーシップのいずれかとなります。詳細は、Active Directory グループメンバーシップのサポートを参照してください。

ポリシーと設定は、「認証 > グループ」で更新できます。または、「認証 > ユーザー」から、個々のユーザーのポリシーおよび設定を更新できます。

ユーザーのポリシーおよび設定は、グループのポリシーおよび設定よりも優先されます。

ユーザーが次にサインインするまで待つ必要があります。ユーザーがサインインするたびに、ユーザーのグループ、グループの順序、ポリシーおよび設定に関する変更内容が適用されます。

次の手順を実行します。

1. AD サーバーでグループを削除します。
2. ファイアウォールでグループを削除します。

AD サーバーとファイアウォールの両方で、ユーザーを削除する必要があります。AD サーバーからユーザーを削除しないと、ユーザーがサインインしようとするとファイアウォールで再度作成され、認証されます。

次の手順を実行します。

1. まず、AD サーバーからユーザを削除します。

2. ファイアウォールでこのユーザーを削除するには、次の手順に従います。

   1. 「認証 > ユーザー」に移動します。

   2. 「AD ユーザーの消去」をクリックします。

      ここでユーザーを選択する必要はありません。AD サーバーがチェックされ、サーバーから削除した AD ユーザーのみが自動的に削除されます。

      高可用性クラスタでは、プライマリデバイスの AD ユーザーを消去してください。すると、プライマリデバイスおよび補助デバイスからその AD ユーザーのレコードが削除されます。

   ユーザーの消去によって、ユーザーのサインインやサインアウト、および利用通信量の計算が中断されることはありません。

ファイアウォールのエクスポート対象は、手動で作成したユーザーのみとなります。AD や RADIUS などの外部認証サーバーで認証したユーザーは、サインイン時にファイアウォールに自動的に追加されますが、エクスポートの対象とはなりません。

インポートした AD グループと、ファイアウォールで手動で作成した AD グループをエクスポートできます。

バックアップは、認証サーバーからのグループとユーザーも含め、すべてのグループとユーザーが対象となります。

はい。詳細は、Synchronized User ID 認証を参照してください。

いいえ。Synchronized User ID 認証を参照してください。