特集デジタルワークプレースの“そこが知りたい”をエンジニアが試して解説!IIJでは、デジタルワークプレース実現の様々なベストプラクティスを公開しています。中でもご要望の多いパターンを、エンジニアが実際に試してみる本企画。今回はゼロトラストの課題を解決する「仮想デスクトップサービスで多要素認証を必須とする接続」の拡張版を取り上げます。詳しい解説も聞きました。2冊セットでダウンロード(無料)再び注目を集める仮想デスクトップ今回やってみるのは「仮想デスクトップをロケーションによって多要素認証必須にする方法」ですね。テレワークの広がりで仮想デスクトップへの注目も増しているのでしょうか?テレワークの方法として、主な選択肢にあがるのが「VPN接続」と「仮想デスクトップ」です。仮想デスクトップはこれまで、高いセキュリティ条件を求める金融や公共、大手企業のお客様を中心に導入されてきました。ここ2年ほどは、業種や規模に関わらず、幅広いお客様からの問い合わせが急増しています。VPN接続と仮想デスクトップでは、セキュリティの面で違いがあるのでしょうか?VPN接続の場合、製品によってはローカル端末のセキュリティが評価された上で社内への接続が許可されます。仮想デスクトップの場合は、接続先となる仮想デスクトップ上でセキュリティ対策が行われるため、極端に言えばローカル端末はどのような状態でも構いません。仮想デスクトップからローカル端末へのファイルコピーやクリップボードの共有もできないので、より強力な情報漏えい対策と言えますね。VPN接続だと、ファイルの持ち出し対策まではできませんので。仮想デスクトップの使われ方にも変化はありますか?これまでの仮想デスクトップは、会社支給の端末から利用するのが一般的でした。ところがテレワークの利用者が増えると、端末調達やキッティング、サポートの負担も増加します。そのため最近では、支給端末ではなくBYOD端末で接続させたいといったご要望が多いのです。自宅や外出先でBYOD端末から接続できるようになると、確実に本人が使っているのかを知るのは難しいですね。ADとのフェデレーション連携を利用して、接続元のロケーションに応じて多要素認証を組み合わせる」という方法を試してみます。今回は、IIJの仮想デスクトップサービスを利用します。Cloud」を組み合わせたクラウド型のサービスです。ADに任せることができます。ADでは条件に応じて接続を拒否したり、追加の認証を求めることができます。今回は下記のように、ロケーションによってセキュリティ強度を分ける条件を設定してみます。ADの管理画面から以下の設定を行います。実際に、本社やブランチオフィス以外から仮想デスクトップへ接続してみると、下記のような多要素認証を求められました。ADと連携することで、様々な多要素認証の方式を選択できるようになります。(クリックすると拡大表示します)中でも面白いのがUSBトークンを使った認証です。PINコードを登録してUSBトークンとの紐付けをしておきます。そのPINコードと持っているUSBトークンを使って認証させる方式です。パスワード、PINコード、USBトークンを使った、いわば三要素認証ですね。この他、従来からあるショートメール(SMS)による認証も利用できました。TeamsなどのWeb会議を利用する企業では、帯域や速度の問題でブランチオフィスからインターネットへ直接接続(ローカルブレイクアウト)させるケースがあります。今回の設定では、ブランチオフィスを「信頼された場所からの接続」として登録し、本社からの接続と同様にユーザー名とパスワードだけで認証するようにしました。多要素認証の方式も、いろいろ選択できるのですね。利用者の環境に合わせて選択できるのはメリットですね。認証にスマートフォンは使いたくないという話をよく聞きます。予算の都合で対象者全員にスマホが支給できないとか、利用者のITリテラシーに不安があるとかいった理由ですね。そんな時は、ガラケーでも利用できるショートメールが候補になると思います。IIJではVPN接続と仮想デスクトップ、どちらのサービスも提供しています。仮想デスクトップはVPN接続に比べると、どうしてもコストや構成の面でボリュームが出てしまいます。お客様が何を実現したいかはもちろん大切ですが、スピード感やコストのご希望もしっかり聞いた上で、最適なサービスをご提案するよう心がけています。365の価格、プランなどを徹底調査。DesktopIIJの法人向けサービス・ソリューションについては、お気軽にお問い合わせください。Blogこのサイトは株式会社インターネットイニシアティブが運営しています。