squidを利用してTenant Restrictionしてみる

初めに

Azure ADのTenant Restriction機能を検証するため、
squidのSSL Bumpを利用して環境を構築してみたので手順をメモ。

※Tenant Restrictionの詳細はこちら
https://docs.microsoft.com/ja-jp/azure/active-directory/manage-apps/tenant-restrictions

※あくまで動作確認用の検証環境の構築手順です。セキュリティ面の考慮はしておりませんので、そのまま本番環境へ適用することはお控えください。

構築手順

• Linuxサーバーを用意する。今回はCentOS8.2を利用。

• サーバーにsshで接続し、まずはSquidをインストール

yum -y install squid

• 念のためOpenSSLを最新化

yum update openssl

• 自己証明書を作成

cd /etc/squid
openssl req -new -newkey rsa:2048 -days 3650 -nodes -x509 -keyout squidCA.pem -out squidCA.pem

• クライアント用のルート証明書を作成

openssl x509 -in squidCA.pem -outform DER -out squid.cer

• 作成した証明書にアクセス権を付与

chown squid:squid squidCA.pem
chmod 400 squidCA.pem

• 証明書データベース用ディレクトリを作成して初期化

mkdir -p /var/lib/squid
/usr/lib64/squid/security_file_certgen -c -s /var/spool/squid/ssl_db -M 4MB
chown -R squid:squid /var/spool/squid

• /etc/squid/squid.confを編集する

vi /etc/squid/squid.conf

以下の行を削除し、

http_port 3128

以下の行を追加

http_port 3128 ssl-bump generate-host-certificates=on >dynamic_cert_mem_cache_size=4MB cert=/etc/squid/squidCA.pem
request_header_add Restrict-Access-To-Tenants "テナント名" all
request_header_add Restrict-Access-Context "ディレクトリID" all

※テナント名、ディレクトリIDに指定する値は以下のリンクを参照。
https://docs.microsoft.com/ja-jp/azure/active-directory/manage-apps/tenant-restrictions#configuration

さらにファイルの末尾に次の行を追加

sslcrtd_program /usr/lib64/squid/security_file_certgen -s /var/spool/squid/ssl_db -M 4MB
sslcrtd_children 5
ssl_bump server-first all
sslproxy_cert_error deny all

• 保存したらSquidを再起動

service squid restart

• 正常に起動しているか確認。「active(runnning)」となっていればOK

sudo systemctl status squid

• sshを終了し、作成したクライアント用のルート証明書をダウンロード

exit
scp -r <ユーザー名>@<サーバーアドレス>:/etc/squid/squid.der "C:\temp"

• ダウンロードした証明書をクライアントにインポート
  （場所は「信頼されたルート証明機関」を指定）
  

• プロキシサーバーに「サーバーアドレス:3128」を指定
  

※Pacファイルでプロキシサーバーを指定しても構いません。
その場合、以下のFQDNへの通信のみ対象としてください。
-login.microsoftonline.com
-login.microsoft.com
-login.windows.net

• ブラウザを再起動し、指定したテナント以外にはつながらないことを確認