その1この広告は、90日以上更新していないブログに表示しています。AzureAD企業でパプリッククラウドを使う際に問題の一つ。個人のアカウントでサービスにログインできてしまう問題を解決する方法についてまとめてみました。何が問題なの?テナント制御すると何がいいのどうやってテナント制御するの注意点はある?関連ページ何が問題なの?企業がOffice365などのパブリッククラウドサービスを導入した場合、社員は自分のPCなどからOffice365などにサインインしてメールなどを利用します。appを使ったり、スマートフォンで使ってアクセスしています。onlineへの接続が行われています。これまでもOffice365へのログインのセキュリティを高めるべく、企業はADFSなどのフェデレーション機能を使って、様々な対策を行ってきています。IPアドレス制限を使い自社のIPアドレス以外からの接続を拒否するクレームルールを使い、セキュリティポリシーや端末、ユーザーなどを制限し、無関係な接続を拒否する上記の対応により、自社が許可した場所や端末からのみアクセスが許可されるようになったのですが、これのどこに問題があるのでしょうか。*1これは、Office365と言うサービスが一つのプラットフォーム上に企業のアカウントも個人のアカウントも一緒に管理していることが原因です。Office365側としては、アカウントとパスワードが正しければログインさせない理由はないので、ログインできてしまうというわけです。Office365では、この企業や個人の契約単位をテナントと表現します。テナント制御すると何がいいのテナント制御を実装することで、自社内から自社のテナント(契約)にのみログインさせることが可能となります。個人のアカウントに一切アクセスできなくなるということです。この機能を実装することで企業は、クラウド利用の完全コントロールに大きく近づくことが可能となります。引用:https://blogs.technet.microsoft.com/office365-tech-japan/2017/02/06/tenant-restrictions/どうやってテナント制御するのテナント制御の実態はHTTPヘッダーに記載された以下の2つの情報です。テナントID上記の2つのヘッダー情報は、プロキシサーバーで挿入します。*3通常、クラウドサービスへのアクセスはhttpsプロトコルとなりますので、SSLインターセプトが可能なプロキシサーバーが必要となってきます。このあたりは、セキュリティを意識している企業であれば導入済みのはずなので、あまり敷居は高くなさそうですね。イメージとしてはこんな感じです。サーバーの負荷も軽減できそうです。login.microsoftonline.comlogin.windows.netlogin.microsoft.com上の図を見ると分かる人もいたかもしれませんが、この方法の良いところはHttpパケットに対して処理をしているという点です。iOSなど全ての端末に対応できるということです。2つのヘッダーで数千台の端末を制御できる。Appsなど他のSaaSアプリケーションでも使える方法なのです。support.google.comちなみにOffice365でテナント制御を行うには以下の条件をクリアする必要があります。接続されること注意点はある?はいあります。httpプロトコルを使わないで認証を行うもの(例えばOutlookやSkypeのレガシー認証)は、テナント制御の管理外となってしまいます。対応したOffice製品が必要です。各OSの先進認証対応状況は下図の通りのようです。引用:https://blogs.office.com/en-us/2015/11/19/updated-office-365-modern-authentication-public-preview/これを見ると、殆ど全てのOSで先進認証対応となっているようです。AndoroidのOfficeクライアントでも先進認証が有効になっているのは凄いですね。Phoneの対応が遅れいるところは、Microsoftの戦略が如実にあらわれていて少し笑ってしまいました。テナント制御、結構使えそうではないですか?次回は、テナント制御が本当に動くか、検証をしてみたいと思います。Reserved.はてなブログをはじめよう!taitiooooさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。