有線LANアクセス-クライアント証明書認証

文書更新日:2025-08-24

目的

• SingleIDのユーザで、Cisco Meraki ネットワークスイッチへアクセスします。
• 接続する際の認証方式は、クライアント証明書認証（EAP-TLS）です。
• SingleIDの標準RADIUSサーバを利用します。
• ユーザ/グループによるアクセス制限をします。

設定方法

SingleIDのグループの作成

1. SingleID 管理者ポータル＞グループ画面へ移動します。
2. グループ追加をクリックします。グループ追加画面がポップアップします。
3. グループ名を入力し、登録ボタンをクリックします。

SingleIDのユーザの作成

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. 登録ボタンをクリックします。ユーザ登録画面がポップアップします。
3. ユーザ登録画面の基本情報を入力します。グループタブをクリックします。
4. メンバーとなるグループを選択し、登録ボタンをクリックします。

SingleIDのクライアント証明書の発行

1. SingleID 管理者ポータル＞ユーザ画面へ移動します。
2. クライアント証明書を発行したいユーザの行にあるチェックボックスを選択します。
3. 選択実行ボタンの▼をクリックし、プルダウンメニューの証明書の発行を選択します。
4. 証明書発行画面がポップアップします。
5. プロファイル（例：デフォルト）および配布形式（例：一般）を選択します。
6. 発行ボタンをクリックして、クライアント証明書を発行します。ユーザのメールアドレス宛に発行されたクライアント証明書のダウンロードリンクが送信されます。

SingleIDのRADIUSサイトの登録

1. SingleID 管理者ポータル＞認証＞RADIUS＞簡易設定タブへ移動します。
2. カタログ表示ボタンをクリックします。
3. カタログからCisco Meraki ネットワークスイッチの登録ボタンをクリックします。Cisco Meraki ネットワークスイッチ画面がポップアップします。

4. 基本情報タブに、以下を設定します。

   設定項目	設定内容
   有効/無効	有効を選択します。
   サーバ	標準を選択します。
   サーバ番号	適切なサーバ番号を選択します。選択するサーバの番号により、RADIUSサーバのポート番号が異なります。SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞RADIUSポート番号にサーバの番号と通信ポート番号の対応が記載されています。
   IP or ホスト名	Cisco Meraki ネットワークスイッチ側のグローバルIPアドレスです。インターネットに出ていくときの送信元のIPアドレスです。グローバルIPアドレスが、動的の場合には、DDNS（ダイナミックDNS）を利用してホスト名（FQDN）を設定します。 注意: グローバルIPアドレスにIPv4の共用IPアドレスが使用されるインターネット接続サービス（IPv6インターネット接続、マンションタイプのインターネット接続、CATVインターネット、モバイルインターネット）の場合やDDNSサービスの利用ができない場合には、拡張RADIUSサーバの利用を検討してください。
   シークレット	任意の文字列を設定します。英大文字、英小文字、数字、記号を組み合わせて、最低でも14文字以上の複雑な文字列を設定することをお勧めします。

5. ネットワークアクセスの認証タブへ移動します。

6. 許可したいユーザおよび許可したいグループをダブルクリックし、許可へ移動させます。

   Info

   • 証明書認証（EAP-TLS）のみ許可を有効にすると、クライアント証明書認証以外の認証方式のアクセスを拒否します。
   • 認証したユーザおよびグループにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。

7. MACアドレス認証バイパスタブへ移動します。

8. 802.1x認証をサポートしていないデバイスのMACアドレスを大文字英数字のハイフン区切りで入力します。（例：00-E1-5C-68-16-04）

   Info

   MACアドレスにVLAN IDを割り当てたい場合には、VLAN ID入力欄に、割り当てたいVLAN IDを入力します。

9. 登録ボタンをクリックします。

Cisco Meraki ネットワークスイッチの設定

1. Cisco Merakiの管理画面へログインします。
2. Swiching＞Access Policies画面へ移動します。Add Policyボタンをクリックします。Access Policy Detail画面が表示されます。

3. 以下を設定します。

   設定項目	設定内容
   Name	任意の文字列を設定します。（例: singleid）
   Authentication method	RADIUS Serverを選択します。
   RADIUS Servers	Add serverをクリックし、プライマリおよびセカンダリのRADIUSサーバを登録します。
   Host	SingleID 管理者ポータル＞認証＞RADIUS＞基本情報タブの標準RADIUSサーバ＞IPアドレスのプライマリおよびセカンダリです。
   Secret	SingleIDのRADIUSサイトの登録の手順のシークレットに設定した文字列です。
   Auth	チェックボックスにチェックします。
   Port	SingleIDのRADIUSサイトの登録の手順のサーバ番号に対応したポート番号です。
   Connection
   Policy Type	MACアドレス認証バイパスを利用する場合は、Hybrid authentication、利用しない場合は、802.1Xを選択します。
   Host mode	Single-Hostを選択します。 注意: 選択するモードや環境によっては、RADIUSレスポンスに、Cisco-AVPair属性(device-traffic-class=voice)が必要な場合があります。SingleIDは、Cisco-AVPair属性をサポートしておりません。詳細は、Cisco Merakiの技術情報/MS Switch Access Policies (802.1X)を参照してください。
   802.1X control direction	bothを選択します。

4. Saveボタンをクリックします。

5. Swiching＞Switch ports画面へ移動します。
6. 認証を有効化したいポートをクリックします。

7. 以下を設定します。

   設定項目	設定内容
   Type	Accessを選択します。
   Access policy	設定したAccess policyを選択します。(例: singleid)

8. Updateボタンをクリックします。

動作確認方法

以下を参考にクライアントを設定して動作確認します。

クライアント接続設定