Device Authentication機能のEoLと移行

概要

以下のProduct Updateにて通知されましたDevice Authentication 機能のEoLとClient Connectivity Policyへの移行についてご案内いたします。

2024年4月現在のデバイス認証機能ではClient Access > Device Authentication メニューにて接続をブロックするOS、証明書のチェックを行うOS、証明書のアップロードの3点の設定が行えます。

新仕様ではClient Access > Device Authentication メニューでは証明書のアップロードのみを行い、ポリシーの作成はClient Connectivity Policyにて行います。

現行	新仕様
Device Authentication 接続をブロックするOSの定義証明書のチェックを行うOSの定義証明書のアップロード	Device Authentication 証明書のアップロード Client Connectivity Policy 接続をブロックするOSの定義証明書のチェックを行うOSの定義

新仕様のUI

Cato Knowledge Baseより抜粋

新規作成されるCC2アカウント 4月14日以降、Device証明書のチェック機能についてはClient Connectivity PolicyならびにDevice Posture機能を用いてのみ構成可能となります。

既存のCC2アカウント条件に応じて自動移行可能なアカウントと手動移行が必要なアカウントがあります。手動移行が必要なアカウントについては、2024年6月1日までに設定変更が必要です。

自動移行対象のCC2アカウント Device Authentication > Blocked OS : CC2アカウント全体のみ設定している Device Authentication > Blocked OS：ユーザー個別のみ設定している

手動移行が必要なCC2アカウント Device Authentication > Device Certificates：CC2アカウント全体/ユーザー個別を問わず設定している Device Authentication > Blocked OS：CC2アカウント全体の設定とユーザー個別の設定を併用している

自動移行が可能なCC2アカウントについてはCato Networksより通知が送信されたうえで

設定が自動でClient Connectivity Policyへ移行されますのでアクションは不要となります。

手動移行が必要なCC2アカウントは以下の手動移行のサンプルをご参考にClient Connectivity Policyへの移行対応を行ってください。

以下の設定環境でのClient Connectivity Policyへの移行のサンプルを示します。

1.Device Checkの定義

Client Connectivity PolicyではDevice Postureプロファイルを用いてポリシー定義を行います。Device Posture > Device Checks タブにてデバイス証明書カテゴリのデバイスチェックを作成します。

2.Device Posture Profileの定義

次にDevice Posture > Device Posture Profilesタブにてデバイス証明書カテゴリのデバイスチェックを指定したプロファイルを作成します。

3.Client Connectivity Policyの定義

Client Connectivity Policyにてポリシーの定義を行います。サンプルでは以下の通りポリシーを定義しています。

※ユーザー個別のデバイス認証設定を行っている場合には[Users/Groups]を指定したポリシーを適宜追加します。

最後にEoLとなるDevice AuthenticationでのOSポリシーの定義を解除して移行は完了です。