SSL-VPNのSSO（SAML）について

FortigateのSSL-VPNのログインをOktaで認証する方法を記述します。
これを行うことで、SSL-VPNでログインボタンをクリックすると、Oktaのダイアログが表示されOktaの認証を行うことでログインできるようになります。

メリット

Oktaの多要素認証が使用できるようになりセキュアになります。
ユーザーはパスワードが不要になり操作が楽になります。
Fortigate側にVPN用のユーザーを登録する必要がなくなります。

前提

Fortigate ファームウェアバージョン6.2以上であること

Oktaにアプリケーションを作成する

※Fortigateのカタログはありません。

Create App Integration > SAML2.0 > 1.General Settingsで任意のアプリ名、ロゴを入力します。
2.Configure SAMLでSingle sign on URLとAudience URI (SP Entity ID)を設定します。もちろんVPNのポートが443ではない場合はドメイン、IPの後ろに:portの形で入力します。
Single sign on URL：https://<fortigateの公開ドメイン or IP>/remote/saml/login/
Audience URI (SP Entity ID)：https://<fortigateの公開ドメイン or IP>/remote/saml/metadata/
アプリの作成が終わったらアプリのSign Onタブのページに「View SAML setup instructions」というボタンがあるので押します。
開いた画面にFortigate側に設定する上表が表示されます。X.509 Certificate（証明書）はダウンロードしておきます。

当然ですが、使用するユーザーをアプリにアサインしておいてください。

FortigateにSAML設置を行う

証明書の登録

Oktaでダウンロードした証明書をFortigateにアップロードします。
システム > 証明書 > インポート > リモート

SAMLの設定

FortigateのCLIで以下を実行します。

config user saml
edit "okta-saml-sslvpn"
set cert "Fortinet_Factory"
set entity-id "https://<fortigateの公開ドメイン or IP>/remote/saml/metadata/"
set single-sign-on-url "https://<fortigateの公開ドメイン or IP>/remote/saml/login/"
set single-logout-url "https://<fortigateの公開ドメイン or IP>/remote/saml/logout/"
set idp-entity-id "http://www.okta.com/exk1zztym0xfjZG70697"
set idp-single-sign-on-url
"https://trial-7179599.okta.com/app/trial-7179599_sample_1/exk1zztym0xfjZG70697/sso/saml"
set idp-cert "REMOTE_Cert_1"
set user-name "username"
next
end

config user group
edit "ssl-saml-grp"
set member "okta-saml-sslvpn"
next
end

editの後の"okta-saml-sslvpn"はユーザー名です。任意の値で構いません。
certは固定で「Fortinet_Factory」です。
entity-id、single-sign-on-urlはOktaのアプリで設定した値と同じです。entity-idにはAudience Restriction、single-sign-on-urlにはSingle Sign On URLを設定します。
single-logout-urlはよくわかりませんが適当に設定しています。必要ないかもしれません。
idp-entity-id、idp-single-sign-on-urlはOktaの「How to Configure SAML 2.0」画面で表示された「Identity Provider Issuer」、「Identity Provider Single Sign-On URL」をそれぞれ設定します。
idp-certはアップロードした証明書のFortigate上の名前です。
user-nameは"username"とします。これはSAMLのXMLで渡すユーザー名の属性名になります。
作成したユーザーのグループを作成します。グループ名は任意で構いません。

SSL-VPNに登録する

SSL-VPNの認証/ポータルマッピングにグループを追加します。
ファイアウォールのポリシーにグループを追加します。

登録方法はトラスト・ログインのサイトが詳しいです。参考に記述しているリンクの「SSL-VPN設定を行います。」「ファイアウォールポリシーを設定します。」を参照してください。

SSL-VPNクライアントに設定する

トラスト・ログインから画像を借りていますが、以下のように設定します。
接続名：任意
リモートGW：SSL-VPNのURL
ポートの編集：チェックしポートを設定
Enbale Single Sign On(SSO) for VPN Tunnel：チェック
Use external browser as user-agent for saml user authentication：チェック

これで設定は終了です。

参考

以下のサイトはトラスト・ログインのページです設定することはほとんど同じです。
FortiGate のSAML認証設定方法