VPSでSASEの認証基盤を構築する考え方

SASEと認証基盤の関係

SASE / SSEは、ネットワークとセキュリティ機能をクラウド側から提供し、ユーザーや端末の状態に応じてアクセスを制御します。その判断材料を渡すのがIdP（Identity Provider）などの認証基盤です。

User
  │ access
  ▼
SASE / SSE ── authentication request ──▶ IdP
  ▲                                      │
  └──── assertion / token / result ──────┘
  │ policy decision
  ▼
Application

SAMLではSASE側がService Provider、認証基盤側がIdPとして動作する構成が一般的です。OIDCではIDトークンやクレームを使い、認証済みユーザーの情報を連携します。

VPSに検証用IdPを構築する

KeycloakなどのオープンソースIAMをVPSで動かすと、SAMLやOpenID Connectの設定をIdP側から確認できます。社内ネットワークにサーバを公開せず、ラボを独立させやすい点も利点です。

• Realm、ユーザー、グループの設計
• Client ID、Redirect URI、Entity IDの設定
• 署名証明書とメタデータの交換
• Claim / AttributeとSASEポリシーの対応
• MFAやセッション有効期限の確認

SAML / OIDC連携を検証する

Prisma Access / GlobalProtect

検証環境では、GlobalProtectからPrisma Accessへ接続し、認証要求をVPS上のIdPへ転送する流れを確認できます。ログイン画面へのリダイレクト、Assertion、属性、セッションまで追うと理解が深まります。

GlobalProtect → Prisma Access → SAML IdP on VPS
                                      │
                         user authentication

Cloudflare Access

OIDC連携では、Client ID、Client Secret、Authorization Endpoint、Token Endpoint、Redirect URIなどを対応させます。同じIdPを複数サービスと連携すると、製品側の設定差も比較できます。

User → Cloudflare Access → OIDC → Keycloak on VPS

通信キャプチャやブラウザの開発者ツールを使う場合でも、パスワード、トークン、Cookieを記録・共有しないよう注意します。

FreeRADIUSでRADIUS認証を試す

VPSにFreeRADIUSを構築すれば、VPNやネットワークアクセス認証で使われるAuthentication、Authorization、Accountingの流れを検証できます。LDAPやSQLなどのバックエンドと組み合わせる構成もあります。

VPN / Network Service ── RADIUS ──▶ VPS / FreeRADIUS

RADIUSをインターネットへ無制限に公開する設計は避けます。接続元IPの制限、VPNや安全なトンネル、共有シークレットの管理、ログの保護を組み合わせてください。

本番環境では可用性と運用設計が必要

認証基盤が停止すると、ユーザーが業務アプリへアクセスできなくなる可能性があります。本番利用では機能だけでなく、継続運用を含めて設計します。

• 冗長化、バックアップ、復旧テスト
• OS・ミドルウェア・証明書の更新
• MFA、最小権限、管理画面のアクセス制限
• 監査ログ、障害監視、時刻同期
• 緊急時の代替認証と運用手順

Microsoft Entra IDやOktaなどのクラウド型IdPを使う選択肢と、自前運用の責任範囲を比較する必要があります。

まとめ

VPSはSASEそのものではなく、その周辺にある認証の仕組みを理解するための検証基盤として活用できます。KeycloakでSAML / OIDC、FreeRADIUSでRADIUSを試すと、SASEの設定画面だけでは見えにくい認証要求、トークン、属性、ポリシー判断のつながりを確認できます。