皆さん、こんにちは。

SB C&Sでネットワーク/セキュリティ関連のプリセールスを担当している　大東です。

SASEや様々なSaaSサービスとEntraIDをシングルサインオン連携しているお客様は多いかと思います。

EntraIDでは、シングルサインオンで利用するSAML証明書が最長「3年」という期限があるため、3年以内に更新する必要があります。

SAML証明書を更新しない場合は、シングルサインオン連携でエラーとなり、認証ができない状態となります。

ZIAは基本的に一度ログインするとZCC端末からログアウトしない限りは基本的に再認証は発生しませんが、ZPAについてはデフォルトでは「7日」ごとに再認証が必要となります。ZPAは内部アクセス通信のため、セキュリティ保護の観点から定期的に認証が必要になっています。

ZIAについても、新しく入社した方などがZCCからログインしようとするとEntraIDとの認証部分でエラーとなってしまいます。

■EntraIDとのシングルサインオン用の証明書が切れて、エラーになっている画面

これを防ぐためにも、3年が経過する前にSAML証明書を更新する必要があります。

主な手順は下記のとおりです。

１．EntraID側で新しいSAML証明書を発行し、アクティベート

２．SAML証明書をダウンロードし、Zscaler側にインポート

ZIAでの証明書更新手順

まず、ZIAとEntraIDにおけるSAML証明書の期限を確認します。

■ZIA

[Administration]＞[Authentication Settings]>[Identity Providers]>[EntraIDと連携している項目]

■EntraID側

[エンタープライズアプリケーション]＞[ZIAと連携している項目]>[2.シングルサインオンの設定]>[SAML証明書]

■新しいSAML証明書発行とダウンロード

シングルサインオンの設定をクリックし、SAML証明書で編集をクリックします。

[新しい証明書]をクリックして、証明書を作成し、保存します。

保存前であれば、証明書の期限を変更することが可能です（最長で3年）

新しく作成した証明書の右端にある「・・・」をクリックしアクティブにします。（テストは「いいえ」をクリックします）

証明書(Base64)からダウンロードします

ZIAでは、「PEM」形式でないと登録できないため、ダウンロードした証明書の拡張子を「pem」に変更します。

■ZIA側でのSAML証明書更新

ZIAの管理画面にて、対象のIDP設定の編集をクリック

アップロードをクリックし、EntraIDからダウンロードした証明書をアップロードします。

更新後、SAML証明書の有効期限が更新されていることを確認します。

確認後、保存をクリックします。最後に有効化を忘れずにクリックします。

ZIA側の証明書更新作業は以上となります。

---

ZPAでの証明書更新手順

まず、ZPAとEntraIDにおけるSAML証明書の期限を確認します。

■ZPA

[Authentication]＞[User Authentication]>[IdP Configuration]>[EntraIDと連携している項目]

■EntraID側

[エンタープライズアプリケーション]＞[ZPAと連携している項目]>[2.シングルサインオンの設定]>[SAML証明書]

■新しいSAML証明書発行とダウンロード

シングルサインオンの設定をクリックし、SAML証明書で編集をクリックします。

[新しい証明書]をクリックして、証明書を作成し、保存します。

保存前であれば、証明書の期限を変更することが可能です（最長で3年）

この段階ではまだ証明書はアクティブにはしないでください。（テストは「いいえ」をクリックします）

[フェデレーション　メタデータXML]をダウンロードします（証明書(Base64)ではないので注意）

このファイルの中に、新旧両方のデータが入っています。

■ZPA側でのSAML証明書更新

ZIAの管理画面にて、対象のIDP設定の編集をクリック

EntraIDからダウンロードしたXMLファイルをアップロードします。

[Save]をクリックすると、警告画面が表示されますが、[このまま続行]をクリックします。

以前の証明書が期限切れ前で有効な場合は、特にユーザー側にメッセージは表示されず、利用可能です。

ZPA側で証明書が更新されていることを確認します。

■新しいSAML証明書をアクティブ化

EntraIDの画面に戻り、新しい証明書の右にある[・・・]をクリックし「証明書をアクティブにする」をクリックします。

メッセージが出ますが、「はい」をクリックして適用します。

EntraID側でも証明書が更新されていることを確認してください。古い証明書(非アクティブになる)は、特に必要がなければ期限切れ後に削除して問題ございません。

ZPA側の証明書更新作業は以上となります。

ZPAで認証タイムアウトポリシーなどを設定している場合、再認証を効いてくることがありますので、その際は再認証をしてください。

まとめ

シングルサインオンは大変便利ですが、EntraIDではSAML証明書の更新が最長で3年ごとに更新が必要になります。忘れると、認証が通らずに障害となってしまうため、あらかじめスケジュールを切って、有効期限が来る前に更新をするようにしてください。

弊社では、Zscalerの勉強会や希望に応じてハンズオンなども実施しておりますので、担当営業までご相談いただければ幸いです。