Microsoft Azure AD で実現する脱VPNのテレワーク環境

緊急事態宣言で露呈した、テレワーク環境におけるVPNの限界

テレワーク環境では課題が大きいVPN

2020年春の新型コロナウイルス感染拡大に伴う緊急事態宣言によって、多くの企業が社員のテレワークを実施、緊急事態宣言解除後もテレワーク推奨を継続している企業も少なくありません。

この緊急避難的なテレワークで表面化した課題の一つに、VPN回線のパフォーマンス低下がありました。
全社員がテレワークに移行したため、想定ユーザー数を超えるアクセスによってVPNサーバーの同時接続数を超え接続できなくなったり、Webミーティングにより帯域が不足し、VPNの速度が低下したりなど、業務に支障をきたすという声も聞かれました。

脱VPNに向けて

このように、テレワークも当然のように行われる「ニューノーマル」時代の働き方にとって、VPNは生産性を上げるどころか阻害要因になりかねません。
もちろん全社員がVPN接続してもパフォーマンスを低下させずに利用できる環境を構築することも可能ではありますが、その分コストがかかってくるでしょう。

では、VPNに代わって社外でも高いセキュリティーを保ちつつPCを使った業務環境を構築することはできるのでしょうか。
その一つの答えがクラウド中心の業務環境にすることです。
クラウドサービスはいずれも高いセキュリティーを持った通信をクラウド－クライアントPC間で行いますので、VPNがなくても社内外の場所を問わず安全に業務を行う環境ができます。

脱VPNの第1歩、「ゼロトラスト」と Microsoft Azure AD

「ゼロトラスト」モデルと重要度が増すID認証システム

従来のセキュリティーは、社内のネットワークと外との出入り口をしっかり守り、社内のネットワークは安全である、という前提で考えられていました。
クラウドへのアクセスも同様です。

ところが、テレワークのようにどこからアクセスするのかわからないものに対して、これまでのように信頼できるネットワークからのアクセスを前提としたセキュリティーモデルを適用していてはセキュリティーを守ることは困難です。
そのため、いわゆる「ゼロトラスト」といわれるセキュリティーモデルでIDが起点となって認証を行うことになります (下図参照)。

重要度が増す、ID

クラウドでID管理を行うサービスを IDaaS (Identity as a Service) といい、代表的なものに Microsoft 365 (旧 Office 365) の認証にも使われている Microsoft Azure Active Directory (以下、Azure AD) があります。
クラウドを中心とした環境では IDaaS は非常に重要な位置づけとなります。
そこで、Azure AD について詳しく見てみましょう。

Active Directory と Azure AD

従来、オンプレミス環境で使われてきたID管理システムとしては Active Directory (以下、AD) があります。
AD と Azure AD は共通する部分もありますが、違いもかなりあります。

AD が管理するのはグループポリシーとアクセス権なのに対し、Azure AD はアクセス権のみを管理します (グループポリシー管理は Microsoft Intune で行う)。
また、認証プロトコルも異なり、AD が Kerberos を使うのに対し、Azure AD は SAML (Security Assertion Markup Language)、WS-Federation、OpenID Connect、OAuth など、多くのクラウドで利用されている認証方式に対応しており、これらクラウドへのシングルサインオンをサポートしています。

AD ≠ Azure AD
Azure AD は、スタンダードな IDaaS

ユーザーダイレクトサービスには欠かせない Azure AD

Azure AD は管理者の負担を軽減する「ユーザーダイレクトサービス」の実現に欠かせないサービスです。
例えばデバイス管理の as a Service 化を実現する DaaS (Device as aService) を例にとってみましょう。

従来、AD の管理下で新規にPCデバイスを展開する場合は、管理者がクローニングなどでアプリなどをインストールし、さまざまな登録や証明書などの発行を行った後、ユーザーに引き渡しました。
PCを配布されたユーザーは社内のネットワークにつないで、AD にログオンして認証を行った後に初めてPCが使える状態になりました。

しかしこれでは、テレワーク中でもPCの新規配布や更新の際にはいちいち出社する必要が出てきてしまいます。

これに対し Microsoft が提供する Windows Autopilot (以下、Autopilot) を使うことで、場所を問わずクラウド経由でデバイス展開を行うことが可能となります。
Autopilot なら、PCのセットアップ中にクラウドからPCの構成情報を取得することができ、ユーザーの手元で自動セットアップすることが可能です。
これにより、PCは工場からユーザーへ直接送付が可能となり、管理者はゼロタッチ、つまり何も触れずにユーザー自身でセットアップができます。
この際、ユーザーの認証に使われているのが、まさに Azure AD なのです。

Autopilot の利用

強力で柔軟な Azure AD の条件付きアクセス

Azure AD の認証において最も重要な要素として挙げられるのが、条件付きアクセスです。
Azure AD の条件付きアクセスは「誰が」「どこから」「どのデバイスで」「どのアプリに」という条件を組み合わせて、細かなアクセス制御ができます。

また、Azure AD を認証プロバイダーとすることで、さまざまなクラウドサービスに同じアクセスポリシーを適用できます。

Azure AD の条件付きアクセス
→ IDaaS 選定のもっとも重要な要素

例えば、Microsoft 365 を使う際に、Azure AD に登録されているデバイスからのアクセスであれば、アプリによるアクセス、Webブラウザーによるアクセス、さらにファイルのダウンロードや印刷が可能で、多要素認証は不要というポリシーに対して、Azure AD に登録されていない個人のPCからアクセスする場合、Webブラウザーによるアクセスだけを許可し、アプリによるアクセスや、ファイルのダウンロード・印刷などは許可せず、またなりすまし防止のため多要素認証を必須とする、といった設定も可能になります。

Azure AD の条件付きアクセスの活用
IDaaS の重要な要素

このように、Azure AD はリスク度合いで認証レベルや利用レベルを切り替えることができるため、強力なセキュリティーを持ちつつ、かつ柔軟性の高いアクセス制御を行うことができます。

オンプレミス環境をゼロトラストに対応させる

オンプレミスのサービスで Azure AD を活用します

クラウドの認証は Azure AD に統合できることがわかりましたが、既存のオンプレミスアプリがある限り、脱VPNはできないのでしょうか。

Azure AD の機能である Azure AD App Proxy は、社内のWebシステムを安全に社外からアクセスできるサービスを提供します。
Azure AD App Proxy 経由で社内のWebシステムにアクセスすることで、VPN不要のアクセスが可能となります。
認証は Azure AD が行いますので、デバイス認証など、Azure AD の持つ認証サービスを使うことができます。

Azure AD App Proxy
社内Webシステムを社外に公開

もう一つ課題になるのが、オンプレミスのファイルサーバーへのアクセスです。
これに対しては、Azure AD と AD を連携させる Azure AD Connect を使うことで解決できます。
Azure AD Connect は Azure AD と AD のIDをひもづけることができますので、Azure AD にログインしていれば、AD 環境にも透過的にログインし、AD 管理下のファイルサーバーにもアクセスできます。

オンプレファイルサーバーは？

このように、脱VPNを進めるためのクラウド活用と、Azure AD をベースにしたセキュリティー、またオンプレミスでのハイブリッド環境でのアクセスについて解説しました。
これらの技術を活用していくことでVPNを使わずともかなりの業務がテレワーク環境において安全に行うことが可能となります。

これらに環境移行するためには既存環境からの再設計が必要となりますが、横河レンタ・リースでは自社においてもこれらを実践し、ノウハウを蓄積しておりますので、テレワーク環境構築の課題をお持ちのお客さまはお気軽に当社までご相談ください。