> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/ja/ptaru/akusesutorru/rules/general-structure.md).

# 基本構造

ルールによりさらなる制限が可能

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FuqYqmbOeQMm3Kt6sqOCd%2Fimage.png?alt=media&amp;token=46329c49-8f32-417c-821f-b913b11c5526" alt=""><figcaption></figcaption></figure>

## ルールコレクション

{% hint style="info" %}
ルールには説明的な名前を付けることをお勧めします。そうすることで、Insight で明確に識別できるようになります [ログ](/ja/ptaru/insights/log.md).
{% endhint %}

すべてのルールには次の項目を持たせることができます **名前、説明** があり、特定の認証タイプに対して指定されます。\
現在、ルールを定義できるのは **Wi-Fi**, **LAN** と **VPN**。さらに、 **有効化** または **無効化** できます。

\[ルール] タブには、構成済みのすべてのルール、その位置、そのタイプ（Wi-Fi、LAN、VPN、または汎用許可）、その **名前** と **説明**、 **認証方式** として受け入れるもの、 **フィルター** が適用される対象、 **付与するもの**、および有効かどうかが一覧表示されます。

## ルールの作成

をクリックすると、 **ルールを追加** を選択できます。方式として、汎用許可、Wi-Fi、LAN、または VPN を選べます。

を選ぶと、 **Wi-Fi**, **LAN** または **VPN** ガイド付きの 4 ステップのウィザードが開きます。ダイアログ下部のライブな「平易な言葉で」要約は、作成中のルールを平易な言葉で言い換えます。たとえば次のようになります:

> **平易な言葉で**
>
> CN=SCEPman-SaaS-CA,O=Contoso からの証明書のみで認証する Wi-Fi リクエストで、Cert Subject (DN) が OU=Printers に一致するものには VLAN 16（静的）が付与されます。

以下の手順では、上記の説明の簡単な例を用いてルールエディターを示します:

{% stepper %}
{% step %}

### 識別情報

単なる **名前**、任意の **説明**、および有効/無効の切り替えです。メディアと認証方式は後の手順で設定されるため、名前には意図だけを記述すれば十分です。たとえば、SSID や VLAN を名前に埋め込むのではなく、「Corporate Wi-Fi Access」のようにします。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F6Tn0vpMOXCp1JcPRlfN6%2Fimage.png?alt=media&amp;token=d9e7629e-c5ee-41ca-b0ec-950615ef5675" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### 誰が認証できるか（認証方式）

証明書ベースおよび/またはユーザー名/パスワードベースの認証を有効にします。少なくとも 1 つは有効である必要があります。証明書を有効にすると、任意の **ルート証明書の制限** トグルが表示され、プラットフォームが信頼する任意の証明書ではなく、特定の信頼されたルートにルールを絞り込めます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FSWdFFR7MVVHQa2YihETQ%2Fimage.png?alt=media&amp;token=be6cb085-f598-4379-8266-589da4ffb053" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### 適用対象（フィルター）

フィルターはルールを絞り込み、AND で組み合わされます。つまり、要求は一覧にあるすべてのフィルターを満たす必要があります。この手順を空のままにすると、ルールはすべての場所に適用されます。利用できるフィルターは方式によって異なり、各フィルターには個別の値または再利用可能なグループを指定できます。各方式で提供される具体的なフィルターと実例については、以下の Wi-Fi、LAN、VPN の各セクションを参照してください。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FoAXR3DnBtKqws4WDsMBX%2Fimage.png?alt=media&amp;token=d1e4b0d0-dceb-459b-9881-82af78edda3a" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### 付与内容（割り当て）

ルールが一致したときに返されるアクセスを定義します。VLAN および/または追加の RADIUS 属性で、いずれも **静的** （固定値）または **動的**。動的割り当てでは、証明書の Issuer、SAN、DN、またはカスタム Extension のいずれかから値を読み取り、それに正規表現パターンを適用して、付与される値にマッピングします。同じ正規表現の仕組みは、ステップ 3 の証明書属性フィルターにも使用されます。パターンに一致しない場合の動作として、要求を拒否するか、デフォルト値にフォールバックするかも定義できます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F76FxD3SSjW9CjxRucRqv%2Fimage.png?alt=media&amp;token=a00c2935-d390-4e42-a7f5-a2683b6f3b5f" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

***

## 認証方式

「誰が認証できるか」で定義できる認証方式は、認証が受け入れられるために使用する必要がある技術的な媒体を制限します。

#### 証明書ベース認証

CBA のみを有効にしてその種の認証すべてに一致させることも、特定の CA によって署名された証明書に対する認証をさらに制限することもできます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F8uj6FaXx1Y9wnjJI3r4N%2Fimage.png?alt=media&amp;token=b52dbab5-8b10-49c2-863f-ca8d78727a32" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
フィルターを使って CBA をさらに制限し、使用される証明書の Issuer、SAN、DN、または拡張に一致させることができます。
{% endhint %}

#### ユーザー名/パスワードベース認証

この方式を有効にすると、証明書ベース認証を使用しない認証を許可できます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FXds3gWHKjuVLrtEk4ejG%2Fimage.png?alt=media&amp;token=f2472c65-0893-41f7-995d-85683c51b7de" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
フィルターを使ってユーザー名/パスワードベース認証をさらに制限し、ユーザー名または所有者に一致させることができます。
{% endhint %}

***

## フィルター

フィルターを使用すると、特定の状況でのみ一致する詳細なルールを作成できます。さまざまな場面で使用できるフィルターが複数あります:

#### すべてのルールで使用可能

* クライアント IP
* 証明書属性
* ユーザー名/パスワード
* Intune ID

#### 特定のルールで使用可能

* SSID（Wi-Fi ルール）
* スイッチ MAC（LAN ルール）
* NAS 識別子（VPN ルール）
* NAS IP（VPN ルール）

### クライアント IP

クライアント IP フィルターを使用すると、認証の WAN-IP アドレスに基づいてルールを一致させることができます。単一アドレス、CIDR、または定義済みグループを使用できます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FE3pAICCrGZGSXmW390KP%2Fimage.png?alt=media&amp;token=89fd3dc1-978f-4865-9748-78406221ba26" alt=""><figcaption></figcaption></figure>

### 証明書属性

提示されたクライアント証明書に必要な情報が含まれている場合にのみルールを一致させるには、このフィルター種別を使用します。次の属性でフィルターできます:

* 発行者
* SAN（Subject Alternative Name）
* DN（Distinguished Name）
* 拡張

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2Fm6Unp9GxJi66ve2Sx07b%2Fimage.png?alt=media&amp;token=21ba8b61-da02-4dcf-bd2a-78515b744d29" alt=""><figcaption></figcaption></figure>

#### 例:

* SAN フィルターを使用して `.*-ext@contoso\.com$` に一致させると `john.smith-ext@contoso.com` → 契約社員の ID 証明書、VLAN 10。
* DN を使用して `OU=Printers` サブジェクトに一致させると `CN=PRINTER07,OU=Printers,O=Contoso` → VLAN 16（プリンター）を割り当てます。
* DN を使用して `OU=Finance` サブジェクトに一致させると `CN=jdoe,OU=Finance,O=Contoso` → VLAN 30（Finance）。
* SAN フィルターを使用して `^platform:windows$` 特定のプラットフォームに一致させるには、値がある URI SAN を使用します `platform:windows` に一致させます。

{% hint style="info" %}
注意: ルールエンジンは値の大文字小文字を区別して一致させます。 `OU=Printers` は一致しません `OU=printers`
{% endhint %}

### ユーザー名/パスワード

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FHh9k0z7W2eLiQYiS2KF0%2Fimage.png?alt=media&amp;token=77f318e2-6959-49f8-97ff-25dd688827d4" alt=""><figcaption></figcaption></figure>

#### 例:

* ユーザー名 `^ext-.*` に一致します `ext-jsmith` → VLAN 50（契約社員）
* 所有者 `IT-AssetPool` 共有/キオスク デバイスタグに一致します → Filter-Id `kiosk-acl`

### SSID

{% hint style="info" %}
このフィルター種別は Wi-Fi ルールでのみ使用できます
{% endhint %}

SSID をフィルターするには、1 エントリごとに単一の SSID に一致させるか、定義済みの SSID グループを追加できます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FIE4wj6NbEtM2RQvoN8bW%2Fimage.png?alt=media&amp;token=8df3bca5-11e6-4f1c-8249-9ec1ee732be2" alt=""><figcaption></figcaption></figure>

### スイッチ MAC

{% hint style="info" %}
このフィルター種別は LAN ルールでのみ使用できます
{% endhint %}

スイッチ MAC をフィルターするには、1 エントリごとに単一アドレスに一致させるか、定義済みのスイッチ MAC グループを追加できます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FiC3J7Jch7WMVcNeh1WLQ%2Fimage.png?alt=media&amp;token=f358bc05-5ce7-4de1-86c8-3864ed2d5cb9" alt=""><figcaption></figcaption></figure>

### NAS 識別子

{% hint style="info" %}
このフィルター種別は VPN ルールでのみ使用できます
{% endhint %}

他のフィルターと同様に、1 エントリごとに単一の NAS 識別子に一致させるか、定義済みの NAS 識別子グループを追加できます。

### NAS IP

{% hint style="info" %}
このフィルター種別は VPN ルールでのみ使用できます
{% endhint %}

他のフィルターと同様に、1 エントリごとに単一の NAS IP に一致させるか、定義済みの NAS IP グループを追加できます。

### Intune ID

これは履歴的なフィルターです。クライアントが AAD-Join 中に受け取った証明書で認証している場合は、Intune Tenant ID でフィルターしたいはずです。

説明どおりに Tenant ID を入力している場合、 [こちら](https://docs.radiusaas.com/admin-portal/settings/trusted-roots#intune-id)に示したように、RADIUSaaS の既定動作では、拡張 OID を持つ証明書を提示するマシンだけが **1.2.840.113556.5.14** および Tenant ID のホワイトリスト値を持つマシンだけがネットワークにアクセスできます。ルールエンジンでは、特定のルールについてアクセスをさらに特定の Intune ID に制限したり、証明書拡張を無視したりすることができます。これにより、対応する OID を提供する証明書を持つクライアントと、持たないクライアントが混在するマルチデプロイ構成を実現できます。

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FRwLK1xhjETI3bbmPQKPZ%2Fimage.png?alt=media&amp;token=6853e911-db5a-427b-ace7-6152a7da4a0b" alt=""><figcaption></figcaption></figure>

***

## 割り当て

認証が有効でルールに一致する場合、返される Access-Accept パケットには、認証側に追加の指示を与えるための特定の情報を含めることができます。

### VLAN

VLAN ID は静的に割り当てることができ、その場合は一致するすべての認証がこの VLAN ID を受け取ります。あるいは、証明書属性またはユーザー名/所有者のいずれかから目的の値を抽出して動的に割り当てることもできます。

#### 証明書サブジェクト（DN）による

* 証明書の Subject Name のプロパティに基づいて VLAN ID を割り当てることもできます
* そのため、VLAN ID がどのプロパティに格納されるかを指定します
* 次に、VLAN ID の前に付く文字列を設定します
* VLAN ID にプレフィックスは必須ではありません。ただし、Subject Name に同じ属性が複数回含まれる場合（たとえば CN が複数あるのはよくあります）は、プレフィックスの使用が必要になることがあります。

例として、次の割り当ては正規表現パターンを使用してクライアント証明書の DN 属性に一致します `OU=vlan-(\d+)` を使用して最初の一致グループを結果の値として使用します。

次の証明書サブジェクト（DN）の場合 `CN=CLIENT01,OU=vlan-15` 、VLAN の割り当て結果は次のようになります **15**.

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FDHD7alAihmloa8O1XEt6%2Fimage.png?alt=media&amp;token=e5989ef7-01f2-4130-97f0-a9fb293b65b2" alt=""><figcaption></figcaption></figure>

#### 証明書拡張による

{% hint style="info" %}
現在、Microsoft Intune や JAMF を含む多くの MDM システムでは、SCEP プロファイルにカスタム証明書拡張を追加することはサポートされていません。

そのため、VLAN 割り当てを追加するには、代わりに証明書のサブジェクトを使用することをお勧めします。
{% endhint %}

* 作成した証明書拡張のいずれかを選択します
* 目的の値を取得するための正規表現パターンを選択します

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2FN9UlNW9yIpgbinlP5A3z%2Fimage.png?alt=media&amp;token=a4d9dafd-ecca-4365-979d-126a3c1b2373" alt=""><figcaption></figcaption></figure>

### 属性

RADIUS の返却属性を使用すると、ネットワーク管理者は個々のユーザーまたはグループに対して特定の設定を定義できます。

たとえば、

* ユーザープロファイル構成では、属性によって最大セッション時間、許可されるサービス（VPN や Wi-Fi など）、および IP アドレス割り当て方法を指定できます。
* 動的 IP アドレス割り当てでは、属性によってユーザーに静的 IP アドレスを割り当てるか、DHCP を使って動的に割り当てるかを指定できます。
* アクセス制御と認可では、属性がユーザーのアクセスレベル（例: ゲスト、従業員、管理者）および制限（例: 時間制限）を決定します。
* セッション管理では、属性によってセッションタイムアウト（ユーザーが接続を維持できる時間）、アイドルタイムアウト（非アクティブ後に切断）、および同時ログインの最大数を指定できます。
* サービス品質（QoS）では、属性によって特定のユーザーの音声トラフィックをデータトラフィックより優先できます。

ベンダーは独自のカスタム属性（ベンダー固有属性、VSA）を作成できます。これにより、標準の IETF 属性を超える追加機能を利用できます。VSA は標準属性 26 の中にカプセル化されます。

VLAN 割り当てと同様に、属性も静的または動的のいずれかで返すことができます。

さまざまな返却属性から選択し、属性カタログで拡張できます:

{% content-ref url="/pages/9e8f74925837f2cf5306ff2e97b91f0daf58f827" %}
[属性カタログ](/ja/ptaru/akusesutorru/rules/katarogu.md)
{% endcontent-ref %}

#### 例:

証明書の RDN L の値を返却属性 Filter-Id に動的に割り当てます

<figure><img src="https://992520889-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FSWU1DQ4UGkqER7uGNUOm%2Fuploads%2F5FXdUmoCWhUkTLLIX77v%2Fimage.png?alt=media&amp;token=bb33b7b7-e9b3-4d67-a5e5-a9c2a50e465f" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.radiusaas.com/ja/ptaru/akusesutorru/rules/general-structure.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.