• ASA は、SAML 認証用に次のシグニチャをサポートしています。

  • RSA および HMAC を使用する SHA1

  • RSA および HMAC を使用する SHA2

• ASA は、すべての SAML IdP でサポートされる SAML 2.0 Redirect-POST バインディングをサポートしています。

• ASA は SAML SP としてのみ機能します。ゲートウェイ モードやピア モードでアイデンティティ プロバイダーとして動作することはできません。

• SAML 2.0 SSO は、内部 SAML IdP と SP をサポートしておらず、プライベート ネットワーク外部の SAML IdP と SP のみをサポートしています。

• この SP SAML SSO 機能は相互排他認証方式です。この方式は、AAA や証明書と併用できません。

• ユーザー名/パスワード認証、証明書認証、および KCD に基づく機能はサポートされません。たとえば、ユーザー名/パスワードの事前フィルタリング機能、フォーム ベースの自動サインオン、マクロ置換ベースの自動サインオン、KCD SSO などです。

• DAP 評価で使用可能な SAML 認証属性は（AAA サーバーから RADIUS 認証応答で送信される RADIUS 属性と同様に）サポートされていません。ASA は、DAP ポリシーで SAML 対応トンネルグループをサポートします。ただし、ユーザー名属性は SAML ID プロバイダーによってマスクされるため、SAML 認証の使用中はユーザー名属性を確認できません。

• 既存のクライアントレス VPN のタイムアウト設定は、まだ SAML セッションに適用されます。

• 認証アサーションが適切に処理され、タイムアウトが適切に機能するように、ASA の管理者は、ASA と SAML IdP とのクロック同期を確保する必要があります。

• ASA の管理者は、次の点を考慮して、ASA と IdP の両方で有効な署名証明書を保持する責任があります。

  • ASA に IdP を設定する際には、IdP の署名証明書が必須です。

  • ASA は、IdP から受け取った署名証明書に対して失効チェックを行いません。

• SAML アサーションには、NotBefore と NotOnOrAfter 条件があります。ASA SAML に設定されているタイムアウトと、これらの条件との相関関係は次のとおりです。

  • NotBefore とタイムアウトの合計が NotOnOrAfter よりも早い場合は、タイムアウトが NotOnOrAfter に優先します。

  • NotBefore + タイムアウトが NotOnOrAfter よりも遅い場合は、NotOnOrAfter が有効になります。

  • NotBefore 属性が存在しない場合、ASA はログイン要求を拒否します。NotOnOrAfter 属性が存在せず、SAML タイムアウトが設定されていない場合、ASA はログイン要求を拒否します。

• 二要素認証（プッシュ、コード、パスワード）のチャレンジ/応答中に FQDN が変更されるため、ASA がクライアントとのプロキシを強制的に認証する、内部 SAML を使用した展開では ASA は Duo と連携しません。

• 信頼できないサーバー証明書は、組み込みブラウザでは許可されません。

• 組み込みブラウザ SAML 統合は、CLI モードまたは SBL モードではサポートされません。

• Web ブラウザに確立された SAML 認証は AnyConnect と共有されず、その逆も同じです。

• 設定に応じて、組み込みブラウザ搭載のヘッドエンドに接続するときに、さまざまな方法が使用されます。たとえば、AnyConnect では IPv6 接続よりも IPv4 接続の方が好ましく、組み込みブラウザでは IPv6 の方が好ましい場合もあります。あるいは、その逆もあります。同じく、プロキシを試して障害が発生したのに AnyConnect がどのプロキシにもフォールバックしない場合もあれば、プロキシを試して障害が発生した後で組み込みブラウザがナビゲーションを停止する場合もあります。

• SAML 機能を使用するためには、ASA の Network Time Protocol（NTP）サーバを IdP NTP サーバと同期する必要があります。

• ASDM の VPN ウィザードは現在、SAML 設定をサポートしていません。

• 内部 IdP を使用してログインした後に SSO で内部サーバーにアクセスすることはできません。

• SAML IdP NameID 属性は、ユーザーのユーザー名を特定し、認証、アカウンティング、および VPN セッション データベースに使用されます。

以下の例を実行する際は、Onelogin の情報とネーミングの代わりにサードパーティ製の SAML 2.0 IdP を使用してください。

1. IdP と ASA（SP）間での時刻の同期を設定します。

   ciscoasa(config)# ntp server 209.244.0.4
   

2. サードパーティ製 IdP で指定されている手順に従って、IdP から IdP の SAML メタデータを取得します。

3. トラストポイントに IdP の署名証明書をインポートします。

   ciscoasa(config)# crypto ca trustpoint onelogin
   ciscoasa(config-ca-trustpoint)# enrollment terminal
   ciscoasa(config-ca-trustpoint)# no ca-check
   ciscoasa(config-ca-trustpoint)# crypto ca authenticate onelogin
   Enter the base 64 encoded CA certificate.
   End with the word "quit" on a line by itself
   quit
   INFO: Certificate has the following attributes:
   Fingerprint:     85de3781 07388f5b d92d9d14 1e22a549
   Do you accept this certificate? [yes/no]: yes
   Trustpoint CA certificate accepted.
   % Certificate successfully imported

4. トラストポイントに SP（ASA）署名 PKCS12 をインポートします

   ciscoasa(config)# crypto ca import asa_saml_sp pkcs12 password
   Enter the base 64 encoded pkcs12.
   End with the word "quit" on a line by itself:
   quit
   INFO: Import PKCS12 operation completed successfully

5. SAML IdP を追加します。

   ciscoasa(config-webvpn)# saml idp https://app.onelogin.com/saml/metadata/462950
   

6. saml-idp サブモードで属性を設定します。

   IdP サインイン URL とサインアウト URL を設定します。

   ciscoasa(config-webvpn-saml-idp)# url sign-in https://ross.onelogin.com/trust/saml2/http-post/sso/462950 
   ciscoasa(config-webvpn-saml-idp)# url sign-out https://ross.onelogin.com/trust/saml2/http-redirect/slo/462950
   

   IdP トラストポイントと SP トラストポイントを設定します

   ciscoasa(config-webvpn-saml-idp)# trustpoint idp onelogin
   ciscoasa(config-webvpn-saml-idp)# trustpoint sp asa_saml_sp
   

   クライアントレス VPN ベース URL、SAML 要求の署名、および SAML アサーション タイムアウトを設定します。

   ciscoasa(config-webvpn-saml-idp)# base-url https://172.23.34.222      
   ciscoasa(config-webvpn-saml-idp)# signature
   ciscoasa(config-webvpn-saml-idp)# timeout assertion 7200
   

7. トンネル グループの IdP を設定し、SAML 認証をイネーブルにします。

   ciscoasa(config)# webvpn
   ciscoasa(config-webvpn)# tunnel-group-list enable
   ciscoasa(config)# tunnel-group cloud_idp_onelogin type remote-access
   ciscoasa(config)# tunnel-group cloud_idp_onelogin webvpn-attributes
   ciscoasa(config-tunnel-webvpn)# authentication saml
   ciscoasa(config-tunnel-webvpn)# group-alias cloud_idp enable
   ciscoasa(config-tunnel-webvpn)# saml identity-provider https://app.onelogin.com/saml/metadata/462950
   

8. ASA の SAML SP メタデータを表示します。

   ASA の SAML SP メタデータは、https://172.23.34.222/saml/sp/metadata/cloud_idp_onelogin から取得できます。この URL の cloud_idp_onelogin は、トンネル グループ名です。

9. サードパーティ製 IdP で指定されている手順に従って、その IdP で SAML SP を設定します。