免責事項 このドキュメントに記載されている情報は このドキュメントの発行時点におけるマクロソフトの見解を反映したものです 変化する市場状況に対応する必要があるため このドキュメントに記載された内容は その実現に関するマクロソフトの確約とは見なされないものとします また 発行日以降に発表される情報の正

Transcription

1 Microsoft Forefront Unified Access Gateway と DirectAccess Better Together

2 免責事項 このドキュメントに記載されている情報は このドキュメントの発行時点におけるマクロソフトの見解を反映したものです 変化する市場状況に対応する必要があるため このドキュメントに記載された内容は その実現に関するマクロソフトの確約とは見なされないものとします また 発行日以降に発表される情報の正確性に関して マクロソフトはいかなる保証もいたしません このホワトペーパーに記載された内容は情報提供のみを目的としており 明示 黙示または法律の規定に関わらず これらの情報についてマクロソフトはいかなる責任も負わないものとします お客様ご自身の責任において 適用されるすべての著作権関連法規に従ったご使用を願います このドキュメントのいかなる部分も 米国 Microsoft Corporation の書面による許諾を受けることなく その目的を問わず どのような形態であっても 複製または譲渡することは禁じられています ここでいう形態とは 複写や記録など 電子的な または物理的なすべての手段を含みます ただしこれは 著作権法上のお客様の権利を制限するものではありません マクロソフトは このドキュメントに記載されている内容に関し 特許 特許申請 商標 著作権 またはその他の無体財産権を有する場合があります 別途マクロソフトのラセンス契約上に明示の規定のない限り このドキュメントはこれらの特許 商標 著作権 またはその他の無体財産権に関する権利をお客様に許諾するものではありません 別途記載されていない場合 このソフトウェゕおよび関連するドキュメントで使用している会社 組織 製品 ドメン名 電子メールゕドレス ロゴ 人物 場所 出来事などの名称は架空のものです 実在する商品名 団体名 個人名などとは一切関係ありません 2009 Microsoft Corporation. All rights reserved. Microsoft Active Directory Domain Services ActiveSync コード名 "Geneva" Dynamics CRM DirectAccess Exchange Server Forefront Threat Management Gateway Forefront Unified Access Gateway Forefront Client Security Office Communicator Office Groove Outlook Web Access Outlook Anywhere Outlook Mobile Access SharePoint SharePoint Server Windows 7 Windows Server 2008 R2 Windows Vista および Windows XP は Microsoft Corporation の米国およびその他の国における登録商標または商標です 2/19 ページ

3 その他 記載されている会社名 製品名には 各社の商標のものもあります 3/19 ページ

4 目次 概要... 5 このホワトペーパーの対象読者... 5 このホワトペーパーで扱うトピック... 6 結論... 6 接続されていない世界における接続... 7 ンフラストラクチャの課題... 7 ネットワークゕクセステクノロジの課題... 7 リモートゕクセスの将来... 8 DirectAccess ソリューション DirectAccess と Forefront Unified Access Gateway による "Better Together" の実現 DirectAccess と Forefront Unified Access Gateway を一緒に展開することの利点 実際のシナリオ DirectAccess と Forefront Unified Access Gateway の組み合わせによるソリューションゕーキテクチャ プラットフォームの統合 ID およびゕクセス管理 ID フェデレーション セキュリテゖで保護されたメッセージングとコラボレーションのサポート 結論 参考情報 /19 ページ

5 概要 モバルワークというスタルがより一般的になるにつれて 遠隔地やデバスからエンタープラズネットワークにゕクセスするための セキュリテゖで保護されたメカニズムを組織が保有することの重要性はますます高まっています その結果 企業の IT グループでは 地理的に分散した場所にいる作業者 リモートの社員 パートナーやベンダーのネットワークの拡大 およびブランチオフゖスの数の増加により適切に対処できる企業ネットワークの構築がますます必要とされるようになっています 社員は 社内にいても 社外にいても 情報にゕクセスするだけでなく ビジネスプロセスに完全に関与できることを望んでいます しかし ほとんどの組織では 企業リソースへの迅速かつシームレスなゕクセスを可能にしつつ 各種のリモートデバスを最新の状態に保ち 適切に管理して 日々発生するさまざまなセキュリテゖ上の問題に対処する という課題に依然として直面しています 加えて 組織では ゕクセスの増加に伴う セキュリテゖ上のリスクや潜在的な IT コストの増大といった問題にも直面しています ユーザーの要求を満たし ゕプリケーションと情報への広範にわたるゕクセスに伴う課題を解決するために 多くの企業では 現在 複数のベンダーが提供する異なるシステムを使用していますが それらを統合および管理することは困難です このホワトペーパーでは セキュリテゖが強化された包括的なゕクセスを可能にするための Microsoft ソリューションの概要について説明します このソリューションは Microsoft Windows 7 と Windows Server 2008 R2 による DirectAccess 機能を Microsoft Forefront Unified Access Gateway (UAG) と組み合わせたものであり 組織がリモートユーザーによるシームレスなリモートゕクセスを可能にしつつ IT のリスクとコストの低減を図るために役立ちます このホワイトペーパーの対象読者 このホワトペーパーは 次のような専門家向けに作成されています IT プロフェッショナル : ソリューションの管理者であり ソフトウェゕの購入に関する決定権を持ち 自社の IT の方向性に影響を与える立場にあります IT 担当者 : サーバーの展開やネットワークの構成からネットワークのセキュリテゖポリシーの管理に至る リモート接続の維持に必要な作業を行い 新しいネットワークテクノロジによるビジネスニーズの向上を図って パフォーマンスなどの問題が生じることなくリモートユーザーがネットワークにゕクセスできるようにします IT に関する意思決定者 : リモートゕクセスソリューションの展開 管理 および運用に携わるスタッフの管理に一義的な責任を持ちます (IT マネージャー デゖレクター 最高情報責任者など ) リモートインフラストラクチャ最適化マネージャー : ブランチオフゖスで勤務し 待機時間 パフォーマンス およびダウンタムに関する問題に対処します ( ほとんどの大規模および中規模の会社では 複数の場所にオフゖスを構えています これらのオフゖスは 数と規模が増大し続けており 通常は本社への最適な接続が保証されていません ) 5/19 ページ

6 このホワイトペーパーで扱うトピック このホワトペーパーでは 組織がリモートゕクセスにおけるトレンドに適応できるようにするために DirectAccess と Forefront UAG がどのように役立つのかについて説明します 接続されていない世界における接続 : このセクションでは 現在のリモートゕクセスの状況について概要を説明し ソリューションの導入にあたって組織が直面する課題について概説します リモートアクセスの将来 : このセクションでは リモートゕクセスのトレンドを検証し 将来のセキュリテゖの課題に対応するために組織がとるべき手段について説明します DirectAccess ソリューション : このセクションでは DirectAccess ソリューションの概要を説明し DirectAccess を Forefront UAG と組み合わせて使用することの利点について解説します 実際のシナリオ : このセクションでは 3 つの実際のシナリオについて検討し 組織で DirectAccess と Forefront UAG を使用してビジネス上の目標を達成する方法について説明します DirectAccess と Forefront Unified Access Gateway の組み合わせによるソリューションアーキテクチャ : このセクションでは DirectAccess と Forefront UAG のソリューションゕーキテクチャについて概要を説明し 管理されたクラゕントと管理されていないクラゕントの両方のニーズがこのソリューションによってどのように満たされるのかを説明します プラットフォームの統合 : このセクションでは DirectAccess と Forefront UAG をどのように他の Microsoft 製品と統合したら組織に利点がもたらされるのかを説明します 結論 将来は セキュリテゖが強化され シームレスな接続が可能な 簡素化された Web を通じてネットワークにゕクセスできるようになるでしょう また リモートの社員 ビジネスパートナー ベンダー および顧客が 必要なときに 重要な情報により簡単に接続できるようになるでしょう しかし それが本当に実現するのは 何年か先のことです Microsoft の DirectAccess と Forefront UAG の組み合わせによるソリューションは このような利点をすぐに得られるようにするために役立ちます 6/19 ページ

7 接続されていない世界における接続 現在の企業の社員は 以前よりもモバルで作業することが増え デバスを使用する場所や使用するデバスの種類にとらわれず 企業のントラネットに自由にゕクセスすることを望んでいます そのため 企業では ビジネス継続性を向上させるために パートナーおよびベンダーの拡張し続けるネットワークと 世界各地の増え続けるブランチオフゖスに対して 自社のントラネットリソースを セキュリテゖで保護された方法で公開する必要があります IT グループでは 競争力を維持するために 企業ポータル経由での簡素化されたゕクセスを可能にしてコストを削減することが いっそう強く求められるようになっていますが このようなレベルの接続を セキュリテゖで保護された 管理可能でシームレスな方法で実現することは困難です インフラストラクチャの課題 現在 ほとんどの組織では 異種ンフラストラクチャ つまり新旧のクラゕント サーバー およびネットワークサービスが混在した環境で業務を遂行しています 管理されたクラゕントと管理されていないクラゕントの両方からこれらのシステムにリモートゕクセスできるようにするには 次のような課題を解決しなければなりません 異なる管理ツールを使用しながら さまざま種類のクラゕントのゕクセスを効率的に管理する パートナーと顧客が 企業ドメンに属していないコンピューターや信頼されていない提供元のコンピューターから企業リソースにゕクセスできるようにする 決められた正常性の要件を満たしていないクラゕントからネットワークを保護する 複数のデゖレクトリを管理し かつ異なる認証方法を実装しつつ 信頼されているドメンと信頼されていないドメンを分離する ネットワークアクセステクノロジの課題 歴史的に見ても ネットワークゕクセステクノロジは 増え続ける接続のニーズに追いつくことができず 総保有コスト (TCO) もかかりました また 従来の VPN などのネットワークゕクセステクノロジでは 一般に 迅速かつ簡単な接続を実現することは不可能であるため 大規模なコラボレーションは制限され リモートユーザーの作業効率の低下を招きます さらにやっかいなことに リモートゕクセスを有効にするということは VPN リモートデスクトッププロトコル ターミナルサービス リバースプロキシなどの複数の選択肢からいずれかを選ぶ必要があることを意味します 多くの場合 これらのテクノロジには次のような課題があります 複数のユーザー入力手順を必要とする VPN テクノロジによるリモート接続を可能にする コストを低く抑えつつ 相互運用が可能とは限らないさまざまなベンダーの異なるゕクセスソリューションで発生する 複雑な技術上の問題を回避する IT 管理者に頼らずにリモートコンピューターを管理して ンサドゕウトの接続を開始できるようにする フゔゕウォールおよび ( リバース ) プロキシ変換によりシステム応答時間の遅延が生じるのを防ぐ 予期しないネットワーク品質でのリモートゕプリケーションのパフォーマンスと信頼性を向上させる 7/19 ページ

8 これらの制限事項とその他のセキュリテゖ制御は " 重荷 " だと受け止められることもあり ユーザーの生産性の向上をさらに妨げるおそれがあります ユーザーと企業のすべての接続ニーズを同様に満たす単一の包括的なソリューションを提供するリモートゕクセステクノロジは 実際には存在しません IT プロフェッショナルが 新世代のクラゕントとサーバー およびさまざまな種類のダウンレベルクラゕントとレガシンフラストラクチャに対する ID をベースとしたポリシー主導のゕクセスを可能にするには 相互に補完し合う複数のテクノロジとシステムを展開する必要がありました これらの異なるゕプローチは 通常は別々のベンダーから提供され それらの実装と統合は複雑です 一般に 複数ベンダーのソリューションを管理する場合には IT コストが大幅に増加します ベストプラクテゖスとしては 次の IT リスクを認識し それらを軽減するための計画を立てることが重 要です 基本となるネットワークの脆弱性管理されたクラゕント / ホストと管理されていないクラゕント / ホストからの脅威信頼できない可能性のあるユーザー場所に応じたエンドポントまたはリンクレベルの正常性の指定が不可能 ネットワーク間でコスト効率の良い効率的な常時接続を実現するには ネットワークトポロジの制限に 基づくのではなく ポリシーと信頼された ID に基づいてゕクセスの可否を判断することに重点を置くと よいでしょう リモートゕクセスの将来 21 世紀におけるゕクセスニーズへの対応とは 企業ネットワークの " エッジ " を見直すことを意味します ネットワークエッジは " 保護用の外壁 " としての役割を超えて拡大し続けており データセンターと重要なビジネスリソースを隔離するために使用される 使用方法や使用条件が異なる環境間のポリシー主導の境界となっています たとえば オフゖスから 2,000 マル離れた空港のラウンジで 企業が管理しているノート PC を使用し 自社のネットワークにゕクセスする場合を考えてみましょう ユーザーは このような状況でも LAN に接続されているときとまったく同じように つまりセキュリテゖで保護され 適切に管理された 常時接続のネットワークを使用したいと考えます 接続マネージャーを起動し 資格情報を複数回入力して 検疫をクリゕするのを待つ ( そして 最終的には 最新のウルス対策シグネチャがないためにネットワークから切断される ) ことなく すべては " いつもと同じように動作する " 必要があります 将来のセキュリテゖの課題に対処し リモートゕクセスの目標を達成するには 運用コストを削減し セキュリテゖとビジネスのリスクを最小限に抑える一方で 次のことが必要になります ユーザー ID セキュリテゖ およびゕクセスポリシーを統合する 規制ガダンスを遵守しながら 主に組織のネットワークの境界の外部で働いているユーザーがゕクセスできるようにする 増え続けるリモートデバスを合理化する これらのリモートデバスは IT で管理されているものも そうでないものもあり 不完全または信頼できないセキュリテゖ状態の情報を示すことがあります 8/19 ページ

9 組織の境界を越えて使用されるユーザーゕカウント 競合するプロトコル 信頼されていない ネットワーク 異なるデゖレクトリ および認証機構を管理する ソリューションは 同じポリシーおよびセキュリテゖの原則に基づいてゕクセスを許可する次世代クラゕントとサーバーで 一貫性があり 簡単に使用できる 管理可能なンフラストラクチャを展開することです ただし 実際には 現実の世界のほとんどすべてのネットワークで 異なるクラゕントおよびサーバーのオペレーテゖングシステム バージョン プロトコル レガシゕプリケーション およびセキュリテゖシステムが混在しています そして 古いンフラストラクチャでは それらすべてのサポートが必要となり 多くの場合はコストもかさみます 組織では ほぼすべての場所やデバスからの簡単かつ効果的なエンドユーザーエクスペリエンスを提供する セキュリテゖで保護されたゕクセスを実現する一方で データ ゕプリケーション およびネットワークリソースが悪用されないように保護する スケーラブルでコスト効率の良い 統合されたゕプローチを必要としています ソリューションでは ID を中心としたポリシーベースモデルによるきめ細かい制御とエンドポントの正常性の管理を通じて レガシンフラストラクチャおよびゕプリケーションが最大限にサポートされます 9/19 ページ

10 DirectAccess ソリューション 一般には すべてのクラゕントとサーバーで最新バージョンの Windows が実行されていれば 最も簡 単にリモートゕクセスを実装してセキュリテゖで保護できます しかし 管理者は 多くの場合 長期 間にわたって複数のオペレーテゖングシステムをサポートしてきたことに気付き それらのコンピュー ターにコスト効率の良いソリューションを提供することが重要な検討事項となります Windows Server 2008 R2 と Forefront UAG は 統合された 包括的な セキュリテゖが強化されたリモートゕクセスソ リューションを提供します このソリューションにより ユーザーは 場所やデバスに関係なく 各 自が使用する企業ネットワークに接続できるようになります Windows Server 2008 R2 と Windows 7 は 新しい IPv6 ベースの DirectAccess サービスを通じて ポリシーベースの組み込みテクノロジを提 供します それによって 実質的に時間と場所を選ばずに企業ゕプリケーションやデータにゕクセスで きて 双方向のクラゕント管理が可能な 強力なプラットフォームが形成されます 最新の Windows および Forefront テクノロジの最適な統合により DirectAccess と Forefront UAG では 管理された ( ドメンに参加している ) クラゕントと管理されていない ( ドメンに参加していない ) ク ラゕントの相違 複数のネットワークプロトコル (IPv4 IPv6) 暗号化標準 (IPSec SSL など ) レ ガシゕプリケーションなどの さまざまな接続要因にシームレスに適合できます その結果 ネット ワーク上の各ユーザークラスについて異なるシステムを管理しなくても済むようになり IT に関する負 担が軽減されます DirectAccess を使用することで 組織では 社内のユーザーとリモートユーザーにセキュリテゖで保護 された常時接続を提供し セキュリテゖを向上させ TCO を削減することができます これにより リ モートユーザーは 必要なリソースに必要なときにゕクセスして より効率的に作業を行えるようにな ります 管理者は Forefront UAG を追加することにより SSL VPN を通じて古いプラットフォーム上 のユーザーやゕプリケーションにもセキュリテゖで保護されたゕクセスという利点がもたらされるよう にして 展開と継続的な管理を簡素化しつつ スケーラビリテゖと可用性を高めることができます DirectAccess と Forefront Unified Access Gateway による "Better Together" の実現 DirectAccess と Forefront UAG によって リモートワーカーとビジネスパートナーには 社内にいても 遠隔地にいても 同じ接続環境が提供されるようになります その結果 ユーザーは 常に企業ネット ワークに接続された状態になり リソースにリモートゕクセスするために明示的に接続を開始したり追 加の手順を実行したりしなくても済むようになります DirectAccess では IT 管理者がさまざまなレベルの認証および承認制御を実装できる IPSec ポリシーを 認証と暗号化に使用します IPSec によって提供されるエンドツーエンドのセキュリテゖにより セ キュリテゖ設計担当者は どのユーザーがリモートから特定のリソースにゕクセスできるかを正確に制 御し オンランのクラゕントを常に管理できるようになります このソリューションは ンスタ ントメッセージングなどのピゕツーピゕのゕプリケーションシナリオもサポートし ンターネット上 での信頼できるコンピューテゖングの実現に役立ちます また その一方で エンドカスタマーとの間 でもセキュリテゖが強化された通信とコラボレーションが促進されます さらに Forefront UAG は ド メンに参加していないクラゕントが Microsoft Office SharePoint Server 2007 Exchange Server 10/19 ページ

11 Dynamics CRM などのゕプリケーションや 多数のレガシゕプリケーションに セキュリテゖで保護された方法で簡単にゕクセスできるようにするのに役立ちます 企業の IT グループでは ゕプリケーションとサーバーについてポリシーをきめ細かく定義することによって コンプラゕンス主導のリモートゕクセス方法を実装できます Windows の " サーバーとドメンの分離 " (SDI) と統合することで 信頼されているネットワークトラフゖックと信頼されていないネットワークトラフゖックが分離されます 組織では DirectAccess を使用して 望ましくない接続や悪意のある接続を制限する 内部ベースのネットワークルールと外部ベースのネットワークルールを実装できます Forefront UAG は DirectAccess の機能をさらに強化するものであり LAN 上の場合と変わらない リモート PC へのシームレスな双方向のゕクセスを通じて IT プロフェッショナルがリモートリソースの管理性を向上できるようにします また IT プロフェッショナルは セキュリテゖ更新プログラムをプッシュし ハードウェゕとソフトウェゕのンベントリレポートを取得して ゕプリケーションの更新プログラムをンストールすることもできます IT 組織では 管理された Microsoft DirectAccess と Forefront UAG の組み合わせによるソリューションへの移行時に ゕプリケーションゲートウェを統合できます 11/19 ページ

12 DirectAccess と Forefront UAG の組み合わせによるソリューション IPv6 と IPSec を使用する セキュリテゖが強化された常時接続により 社内と社外の両方で同様の効 率的な操作性を実現します 強化されたポリシーベースの強力な認証および承認機能によって 企業のデータと資産を保護します 時間と場所を選 ばないアクセス IPv6 互換のネットワークゕドレス変換テクノロジをすべて提供します これには ネットワーク拡張とダウンレベルの非 Windows クラゕントからのゕクセスを 1 つのソリューションで可能にする ISATAP (Intra-Site Automatic Tunnel Addressing Protocol) が含まれます Microsoft Office Groove Office Communicator リモートデスクトップなどのピゕツーピゕゕプリケーションのシナリオをサポートします 管理されたエンドポントと管理されていないエンドポントの両方による IPSec および SSL VPN ゕクセスを可能にします 統合されたセキュリティきめ細かいポリシーベースのアクセス 単一のポータルを通じて 簡単かつセキュリテゖが強化されたリモートユーザーエクスペリエンスを実現します きめ細かいゕクセス制御とカスタマズ可能なゕプリケーション保護によって レガシの基幹業務 (LOB) ゕプリケーションとリソースにゕクセスできるようにします 3DES や AES などの IPSec ベースのデータを保護します IPSec ポリシーに基づいて論理ネットワークを分離することで " サーバーとドメンの分離 " との完全な互換性を確保します Windows ネットワークゕクセス保護 (NAP) との密接な統合により デバスの正常性の要件が遵守されるようになります スマートカードとトークンなどの 多要素認証テクノロジをサポートします プラベートのデータストリームおよびトラフゖックと パブリックのデータストリームおよびトラフゖックを自動的に区別します ダウンレベルクラゕントに対する強化されたエンドポントセキュリテゖを提供します (Microsoft Forefront Client Security との統合など ) 実証されているゕーキテクチャに基づく 強化されたエッジソリューションによって DirectAccess ゲートウェを保護します ンテリジェントな 機能ベースのゕプリケーションレベルセキュリテゖを実現するための Application Optimizers を提供します クラゕント側の Attachment Wiper により情報の漏えいを防ぎます Attachment Wiper は クラゕントのキャッシュ内にあるゕプリケーション固有の一時フゔルを削除します リモート PC とノート PC のリモート管理を簡素化します クラゕントの正常性および統合されたゕクセスゲートウェに関する 強化された Web ベースの監視とレポートを可能にします 前者はポリシーコンプラゕンスを推進し 後者は一元管理された制御と監査をより簡単に行えるようにします 単一のコンソールを使用することで 一般的なタスクでのエラーを減らせるようにします このコンソールで 簡素化されたウゖザードベースの構成 展開 および管理のためのリモートゕクセスメカニズムをすべて管理できます 統合されたサーバーゕレ管理ツールを使用して 各地に分散して配置されている複数のノードやクラスターを統合管理することで 強化された Windows ネットワーク負荷分散ベースのスケーラビリテゖと可用性を実現します 企業ポータルのリモートゕクセスポリシーを簡単に作成および公開できるようにします 2 要素認証 検証 承認 および個々のゕプリケーションとサーバーに対するきめ細かいポリシー制御を取り入れた 強化されたポリシーベースの管理を可能にします 事前構成された そのまますぐに使用できる仮想マシンとして ゕプラゕンスを提供します 12/19 ページ

13 13/19 ページ

14 DirectAccess と Forefront Unified Access Gateway を一緒に展開することの利点 Windows DirectAccess と Forefront UAG を一緒に展開すると エンタープラズ環境全体だけでなく エンタープラズ環境を越えて セキュリテゖが強化された統合ゕクセスソリューションが提供されます これらの 2 つのテクノロジを組み合わせてその価値を利用することで IT 部門では 外部に公開されている企業リソース間のバランスをとり セキュリテゖを確保し 規制を遵守して ユーザーの生産性を向上させることが可能になります Forefront UAG は ンフラストラクチャ全体に DirectAccess による利点をもたらして スケーラビリテゖを高め 展開と継続的な管理を簡素化します DirectAccess を使用すると 次のことが実現されます IPSec と IPv6 を通じて 企業ネットワークの内部または外部の場所からの双方向の常時接続を実現します 純粋な IPSec 環境および IPv6 環境 ( エンドツーエンド ) IPv6 ゕプリケーションサーバーのある非 IPSec ントラネット ( エンドツーエッジ ) または IPv4 のみのゕプリケーションサーバーをサポートします LAN 上と同様の操作性を実現し 企業リソースへのシームレスなゕクセスを可能にします 企業の境界の内部または外部にあるすべてのデバスに対してポリシーベースの認証および承認を行えるようにして データをホストおよび保護します リモートコンピューターの正常性を エンドユーザーがログオンしていないときでも リモートで管理 更新 および監視します 個々のユーザーの ID と役割に基づいて 特定のゕプリケーションやサーバーにゕクセスできるようにします Forefront Unified Access Gateway を追加すると 次のことが実現されます DirectAccess の機能を 既存のンフラストラクチャで実行されているレガシのゕプリケーションやリソースでも使用できるようになります さまざまな接続オプションを使用して ダウンレベルの非 Windows クラゕントをサポートします 強化されたエッジソリューションにより DirectAccess ゲートウェを保護します きめ細かいゕプリケーションゕクセス制御とポリシーを通じて 管理されていない ダウンレベルの非 Windows クラゕントの接続に関連する公開を制限します 組み込みのウゖザードとツールを使用して 構成エラーを最小限に抑え 展開を簡素化します 組み込みのゕレ管理および統合された負荷分散を通じて スケールと継続的な管理を強化します 一元管理された制御と監査のために ゕクセスゲートウェを統合します 14/19 ページ

15 実際のシナリオ ここでは 組織で DirectAccess と Forefront UAG の組み合わせによるソリューションを使用して 自 社のビジネスおよび IT ニーズを満たす方法を示した 実際のシナリオについて説明します 常時接続でど こからでもア クセス可能 シナリオ ビジネスコンテキスト ソリューション : DirectAccess と Forefront Unified Access Gateway ブランチオフィスと現地の 多くの会社では ブランチオフゖ 使用しているデバスの種類に応じ 作業者 : ある組織では 社 スで働く社員や現地の作業者が て IPSec と SSL VPN トンネルの 員が 実質的に場所を問わ 子会社 遠隔地 または自宅から いずれかを使用して 社員が企業 ずにどの PC やデバスか 本社のリソースに接続できるよう ネットワークに よりセキュリテゖ らでも企業ゕプリケーショ にする必要があります 彼らは で保護された方法で接続できるよう ンとデータにゕクセスでき 企業全体に分散しているゕプリ にします るようにしたいと考えてい ケーションやデータに定期的にゕ IT 部門がリモートコンピューター ます クセスする必要があります の更新プログラムと正常性を監視お よび管理できるようにします 両方の種類のゕクセス用に 統合さ れた包括的なルールセットを保持 することで 接続およびセキュリ テゖポリシーを簡素化します 組織の生産性を向上させ 社員が職場でさらに長い時間を過ごさなくても済むようにします 異種ネットワークからのリモートアクセス ビジネスパートナー : ある組織では 多数のパートナーやベンダーと関係を持っており それらのパートナーとベンダーは 管理されたデバスと管理されていないデバスの両方を使用して さまざまな場所から企業ネットワークにゕクセスします 管理されていないデバスが数多くあるため この組織では 自社の企業データのセキュリテゖについて心配しており 情報の漏えい スパウェゕやマルウェゕの攻撃 および無許可でのデータ使用を防止するのに役立つソリューションを必要としています グローバリゼーションと外部委託における最近の傾向として ビジネスパートナーは多くの場合 企業の資産にゕクセスする必要があります SaaS (Software as a Service) およびクラウドコンピューテゖングの登場により 会社のリソースをセキュリテゖで保護するのはさらに複雑なことになりました IT 部門では 複数のエンドポントから企業の LOB ゕプリケーション (Web クラゕント / サーバー レガシゕプリケーションなど ) への 統合され適切に管理されたエントリポントを通じて ゕクセスのセキュリテゖを確保しながら ポリシーによって定義されたゕプリケーションレヤー接続を介してユーザーの認証と承認を強化する必要があります ポリシーベースのフレームワークを活用して ベンダーとパートナーが 機微なデータやゕプリケーションに 制御されたきめ細かい方法でゕクセスできるようにします リモートデバスの正常性がポリシー要件に準拠していることを確認した後で パートナーが関連のある許可された適切な情報にのみゕクセスできるようにして セキュリテゖが強化された接続をパートナーに提供します 15/19 ページ

16 きめ細かいポ リシーベース のアクセス シナリオ ビジネスコンテキスト ソリューション : DirectAccess と Forefront Unified Access Gateway 顧客のポータル : ある組織 企業では 場合によっては 顧客 一元管理されたゲートウェを通じ では セキュリテゖおよび が自社の環境に接続して 特定の て エンドカスタマーによる高速 コンプラゕンスポリシー クラゕントニーズを満たした かつ簡単なゕクセスを可能にしま を適用して 自社のエンド り 最新の顧客サービス情報を提 す カスタマーが使用する信頼 供したりすることを許可すること 組織の成長にユーザーがより効率的 されていないネットワーク もあります そのためには 単一 に加わることができるように カス からの脅威を防ぐ一方で の統合されたポリシーンター タマズ可能な動的コンシューマー IT 部門がモバルデバ フェスを展開して 広範なデバ ポータルを通じて 複数のゕクセス ス エクストラネット お ス ユーザー およびネット ポントからの単一のエントリポ よびホームコンピューター ワーク環境からのゕクセスを制御 ントを顧客に提供します 用の個別の複雑なソリュー する必要があります ションを管理しなくても 適切なユーザーが適切な情 報にゕクセスできるように することを望んでいます DirectAccess と Forefront Unified Access Gateway の組み合わせによるソリューションゕーキテクチャ 下のソリューションゕーキテクチャは DirectAccess を Forefront UAG と共に使用して 管理されたク ラゕント (Windows 7) と 管理されていないクラゕントまたはダウンレベルクラゕント (Microsoft Windows Vista Windows XP 非 Windows オペレーテゖングシステム PDA など ) の両方 に対して より適切なソリューションを提供する方法を示しています 管理された ドメンに参加し ているクラゕントを使用している社員は 企業ネットワークに自動的に接続し DirectAccess (IPSec および IPv6) を通じてゕプリケーションとサーバーにゕクセスできます ドメンに参加していないク ラゕント ( 管理されたクラゕントまたは管理されていないクラゕント ) を使用している社員 パー トナー または顧客は SSL VPN 経由で接続を開始する必要があります ゕクセス開始時 クラゕン トは 要求を 正常性ステートメントと共に DirectAccess と UAG のサーバーに送信します DirectAccess と Forefront UAG のサーバーは この要求をネットワーク保護サーバー (NPS) にリダレ クトして ネットワークにゕクセスしようしているクラゕントが正常かどうかを診断します クラ ゕントが正常である場合は ユーザーの資格情報が ユーザー認証のために Active Directory ドメン サービスに送信されます 両方のポントで認証されると クラゕントは DirectAccess と UAG の サーバーおよび保護された内部サーバーで セキュリテゖで保護されたトンネルセッションを有効にで きるようになります 16/19 ページ

17 図 1 : DirectAccess と Forefront UAG の組み合わせによるソリューションゕーキテクチャ プラットフォームの統合 さまざまな企業ゕプリケーションおよびデータへのリモートゕクセスを実現するため DirectAccess と UAG は クラゕントの正常性に関するテクノロジ メッセージングおよびコラボレーションサーバー クレームベースゕクセス ID 管理などの Windows プラットフォーム全体のテクノロジとシームレスに統合されます ID およびアクセス管理 IT 部門では DirectAccess を Microsoft の NAP と統合することで リスクを評価および軽減しながら マルウェゕの攻撃から資産を保護できます NAP は 強制されたセキュリテゖポリシーを確実に遵守し ネットワーク資産をより適切に保護できるようにするために役立つプラットフォームです IT 部門では NAP を DirectAccess と統合することで システムの正常性に関する要件を設定し 外部から企業ネットワークにゕクセスするクラゕントコンピューターがそれらの要件を満たしていることを確認できます 管理されたクラゕントが DirectAccess を使用してネットワークに接続する前に NAP は それらのクラゕントに対して更新プログラム マルウェゕ対策定義 その他のセキュリテゖ設定などのセキュリテゖ要件を満たすように強制します また NAP を Forefront UAG と統合して HRA Web サービスをセキュリテゖがより強化された方法で公開し 正常性に関する情報を受け取って 外部のダウンレベルクラゕントに証明書を発行することもできます これにより 社員 顧客 およびパートナーは 場所やデバスに関係なく 生産性を維持することが可能になります 17/19 ページ

18 ID フェデレーション Windows Server 2008 R2 と Microsoft Forefront Threat Management Gateway を基盤として構築された Forefront UAG は ンターネットベースの脅威からの 統合された包括的な保護を実現します Forefront UAG と DirectAccess を Microsoft コード名 "Geneva" と統合することで Forefront UAG は クレームベースゕクセスプラットフォームをリモートユーザーにまで拡張し ID フェデレーション 認証 シングルサンオンなどの "Geneva" の機能を使用して 企業リソースへの 簡素化され 統合され セキュリテゖが強化されたユーザーゕクセスを可能にします セキュリティで保護されたメッセージングとコラボレーションのサポート 企業では Web ベースのコラボレーションを通じて事業運営を促進するための手段として SharePoint などの企業ポータルにますます依存するようになり ントラネットを越えてエクストラネットにまでゕクセスを拡大しようとしています Web を通じ ネットワークの境界を越えてゕクセスを拡大することで 企業では 社員だけでなく パートナーや顧客といった より広範にわたるユーザーと通信できるようになります そのような機能を提供するために Forefront UAG は SharePoint などのコラボレーションテクノロジと統合されるように最適化できます Forefront UAG を使用して クラゕント / サーバーゕプリケーションおよびネットワークリソースと統合することによって SharePoint のポータル機能を拡張できます UAG を Active Directory と Web ベースのシングルサンオンと統合すると 企業では リモートユーザーによる 自社の SharePoint ポータルへの簡単かつよりセキュリテゖで保護されたゕクセスが可能になります Forefront UAG は 事前定義されたルールとポリシーを提供して SharePoint 向けのコンプラゕンスを実現し エンドポント評価と強力な認証をゕクセスおよび使用ポリシーに統合します Forefront UAG は 社員 顧客 またはパートナーが 実質的にどこからでも各自の電子メールメッセージに セキュリテゖが強化された方法でゕクセスして生産性を向上させることができるように最適化されています IT プロフェッショナルは 組み込みのポリシーとルールを使用して 企業ネットワークの外部から Exchange Server にゕクセスするクラゕントに対するコンプラゕンスを推進できます 強力な認証とエンドポントの正常性評価ポリシーを Exchange Server のセキュリテゖポリシーと統合して 各自の電子メールへのゕクセスを要求するクラゕントの正常性を保証します Forefront UAG によって 企業では Microsoft Outlook Web Access Outlook Anywhere Outlook Mobile Access および ActiveSync 用のリモートゕクセスポリシーを作成および公開して リモートユーザーに対してより強力なセキュリテゖを実現できます Forefront UAG を Exchange Server と統合することで スケーラビリテゖが向上し 効率的な負荷分散が可能となり リモートユーザーが電子メールメッセージにシームレスにゕクセスできるようになります UAG は 社員 パートナー および顧客が Dynamics CRM などのコラボレーションプラットフォームに セキュリテゖで保護された方法でどこからでもゕクセスできるようにするために役立ちます 企業では コラボレーションツールをセキュリテゖで保護された方法で簡単に使用できるようなリモートユーザーエクスペリエンスを提供することで 社員 パートナー および顧客の力をより引き出すことができます IT プロフェッショナルは Dynamics CRM 用の 設定なしですぐに使えるルールとポリシーを使用して より容易にコンプラゕンスを推進できます このような統合は 組み込みのキャッシュ削除ユーテゖリテゖとゕクセスポリシーを使用して 情報を保護し 情報漏えいを防止するのに役立ちます 18/19 ページ

19 結論 DirectAccess は Windows 7 のユーザーが エンタープラズリソースおよびデータに 実質的にどこからでも セキュリテゖが強化された方法でシームレスにゕクセスできるようにします この時間と場所を問わない接続により 生産性を高めるために必要な柔軟性がユーザーにもたらされ セキュリテゖが常に確保されます Forefront UAG は ほぼすべてのデバス上のほぼすべてのユーザーがセキュリテゖで保護された方法で企業ネットワークに接続できるようにし DirectAccess 環境を簡素化するための 追加の管理および展開ツールを提供します 参考情報 Microsoft Forefront Unified Access Gateway Roadmap ( 英語 ) ネットワークゕクセス保護 (NAP) Microsoft DirectAccess ( 英語 ) Microsoft DirectAccess Introductory Overviews ( 英語 ) 19/19 ページ