365だが、オンプレミスとクラウドをまたいで利用する際は、なにかと悩みも多い。365の認証の課題を解決すべく、日本ビジネスシステムズ(JBS)とJCCH・セキュリティ・ソリューション・システムズ(JS3)がタッグを組んだ。Officeをマルチデバイスで利用できるクラウドサービス。パッケージ時代から長らく日本のオフィス現場を支えてきたOfficeの認知度の高さもあり、国内での導入企業も大幅に拡大している。365の導入で高い実績を誇るのが、日本ビジネスシステムズ(JBS)である。Azureの構築や運用を専業でやっている。福田雅和氏もちろん、黎明期でのクラウドシフトは容易ではなかった。「クラウドへの移行は必ず来ると思っていたのですが、なにしろビジネスのやり方が全然わからなかった。絶対儲らないだろうみたいな確信がみんなにあったので、じゃあやってみるかと(笑)。早めにやって痛い思いをしたら、稼ぎ方もわかるかなと思って」と福田氏は振り返る。当初のAzureのサービス品質には悩まされた口だったが、安定感の出てきた今では経験と実績を重ね、マイクロソフト系のクラウドインテグレーターとして業界内でも際だつ存在になった。Suite(EMS)など幅広く製品を手がけており、『AzureやれるのはJBSだね』という声もいただけるようになりました」と福田氏は語る。365の認証強化を行ないたいというお客様課題だった。365にアクセスさせないようにしたいという話が、あるエンタープライズのお客様からあったんです。Webブラウザだけではなく、OutlookやWord/Excel/PowerPointといったiPhoneのネイティブアプリでクライアント認証する必要がありました。365は基本的にインターネットのサービスなので、それは難しい。できることといえば接続できるIPアドレスを1つ1つ登録するのかという話になってしまうんです」と福田氏は語る。モバイルデバイスから社内ネットワークにVPNを張って、そこからアクセスするといった方法もある。365側に出ることが可能なので、不正な端末で利用できないようにすることが可能だ。組織構造が複雑な場合などでは、VPNの設計がきわめて難しくなる。365に出るという構成にすると、プロキシサーバーなどに大きな負荷がかかるという。「VPNを提案したら、すごくいやそうな顔をされました(笑)」(福田氏)ということで、別の手段を探す必要があった。365のデバイス制限を行なうにはどうしたらよいか?電子証明書によるクライアント認証であれば可能ではないかと考えた福田氏は、長らくクライアント証明書による認証ソリューションを発信しているJS3に相談を持ちかけた。365のネイティブアプリで端末認証できない理由JS3はプライベート認証局「Gléas」を展開する国産ベンダー。クライアントやサーバーの認証で利用できる証明書の発行や配布、失効などの認証局インフラを自社ポリシーに合わせて自在に運用できる。業務アプリケーションへのシングルサインオン、SSL-VPN、無線LANなど幅広い認証に利用でき最近ではクラウドの利用にも対応している。Web画面が用意されているので、電子証明書のインポートをエンドユーザー自身が行なえる。管理者の手を患わせず、安全に証明書を運用できるのが大きなポイントだ。Language)という標準技術を用いて、アイデンティティ・プロバイダー(IdP)と呼ばれる外部の認証サーバーに認証を委託するという形をとる。これをIDフェデレーションと呼ぶ。DirectoryやLDAPにあるユーザー情報で認証をする場合や、証明書認証などの多要素認証をする場合は、お客さんのほうで認証サービスを準備してやってね、という形になっています。あとはIdP製品・サービスを提供するサードパーティ各社の腕の見せ所ということで、最近は展示会に行くとSAML関連のソリューションを数多く見かけますよ」とJS3の齋藤氏は語る。福田氏は、「プライベート認証局は、外部の証明書ベンダーから購入するよりコントロールしやすいですよね。案件によっては、1万枚配るといったこともありえますから」と語る。365のクライアント認証、しかもブラウザだけでなくネイティブアプリで認証を実現するという今回の課題。既存の仕組みではこれがなかなか難しい。この話を理解するには、クラウドとモバイルの認証に関する基礎知識が必要になるだろう。SAML対応しているWebブラウザベースのアプリはそれで問題ないが、ローカルにインストールするタイプのネイティブアプリは、証明書認証に対応していない場合も多く、デバイス制限を実現することが難しかった。365のようなサービスをスマホのWebブラウザで利用するのは、操作性の面でかなり難がある。JS3も3年前くらいにSAML対応のデバイス証明書パッケージを出したが、「確かに引き合いはすごかったんですが、スマホのOfficeネイティブアプリに対応できないという一点で、受注は全然とれませんでした」と齋藤氏は振り返る。Authenticatorで証明書での認証を実現しかし、最近はこの風向きが変わりつつある。Authentication)という技術を開発し、Officeネイティブアプリに実装している。これにより、Officeの各ネイティブアプリでもSAMLを使えるようになった。365の証明書認証を可能にした。Service)などのIdPとの認証処理を行なう。365にログインできるという流れだ。365を利用できることがわかったという。Authenticatorもまだまだ新しい技術ですが、JBSさんはさすがにマイクロソフト製品にはすごく強い。その場で環境を整えてもらって、検証させてもらいました。われわれが教えてもらった感じ」と齋藤氏は語る。JS3では、検証時の設定手順をまとめたホワイトペーパーをWebサイト上で公開している。■関連サイト「Office365とADFSでのクライアント証明書認証」(ホワイトペーパー)実際のGléasでの証明書の利用は、エンドユーザーのセルフサービスになる。Directory認証でログインし、証明書やプロファイルをインストールする。インストール時にはiOS端末の識別番号のチェックを必須にでき、またWindowsではインストールを一度だけに制限できるので、社用の端末のみに証明書をダウンロードできるよう制限ができるわけだ。GléasではiOS向けの簡易MDM機能も持っているため、盗難・紛失などが起こった場合は、端末のロックやデータ消去がリモートから行なえる。Directoryにログインできるユーザー=証明書を持っているユーザー』という構成がとれます。結果的に社内も社外も関係なく、情報資産にセキュアにアクセスすることが可能になります」と福田氏は語る。社内、社外関係なく、社内の情報にセキュアにアクセスできるようにマルチデバイスとクラウドの時代を迎え、マイクロソフトのライセンス体系自体も「端末単位」から「ユーザー単位」にシフトしているため、個人を識別するIDが確実に必要になってきている。DirectoryにIDはあったのですが、IDカードがなかった。証明書がその役割を果たすことになるのではないか」と福田氏は語る。その点、単なる認証の話かと思いきや、ユーザーのIT環境をクラウド対応するという点では、実はこの証明書認証の話は大きい。Directoryに所属しているユーザーの業務端末なら安全。ない端末は危険』という風にシフトできたんです」と福田氏は語る。今まで多くのユーザーは社内ネットワークをいかに安全に保つかというところに腐心して、コストもかけてきたが、端末に証明書を持たせることで、場所に関係なく、セキュアなアクセスが可能になったわけだ。Suite(EMS)を使うと、「ExcelのデータはFacebookにコピー&ペーストさせない」といった細かい制御まで可能になる。オンプレミスからクラウドまで利用領域が拡大すると共に、コントロールもきちんとIT部門側で持つことができる。Authenticatorに対応するサードパーティのネイティブアプリが増えれば、利用価値はますます高まる。「今までは企業LAN内の情報資産にアクセスするため、Wi-FiやVPNの端末認証用の証明書の管理基盤としてGléasを導入いただくケースが多かったのですが、これからは情報資産がクラウドにも移っていきます。365が圧倒的に多いと感じているので、Officeネイティブアプリでのクライアント認証を証明書でできるのは、なかなか大きい話だと思います。クラウドでも、オンプレミスでも、Gléasで認証はすべて安全にまとめられます」とJS3の齋藤氏はアピールする。~使い倒して業務効率アップ!業務効率をアップできるビジネスツール「Slack」とは中の人が語るさくらインターネットフルSSD化を実現したさくらのVPS、クラウド時代も進化し続ける飯田橋クラウドクラブ(略称:イイクラ)今年も色々ありました。スマホお気に入り一覧マイページ。