Office 365の認証にGleasを使い、ユーザー企業のセキュリティを確保

日本ビジネスシステムズ(以下、JBS)は、Office 365をはじめとしたクラウドサービスや、無線LAN・仮想デスクトップ(VDI)などでの認証をセキュアにできるクライアント証明書の管理プラットフォームを構築した。このプラットフォームでは、証明書をWindowsやMac、スマートデバイスにかんたんな操作でインポートでき、使い勝手とセキュリティを両立している。

また、認証局はJBSが運営しており、ユーザー企業でのプラットフォーム管理は不要。このシステムを支えているのが、JCCH・セキュリティ・ソリューション・システムズ(以下、JS3)のプライベート認証局「Gleas(グレアス)」だ。

Office 365をブラウザでもネイティブアプリでもセキュアに利用可能に

日本ビジネスシステムズ
AOソリューション本部長
福田雅和氏

マイクロソフトのクラウドサービスOffice 365は、幅広い端末で利用でき、インターネット接続さえあればどこからでも利用できる利便性の高さから、国内企業にも普及している。しかし、Office 365の利用には課題もあると、導入プロジェクトのオーナーであるJBS AOソリューション本部長福田雅和氏は語る。

「Office 365を利用する企業からの要望で多いのが、アクセス可能な端末を制限したいというものです。しかしこれまでは発信元のIPアドレスでの制限や、MDM製品と組み合わせるなど、実現可能な方法が限られていました」(福田氏)

ブラウザベースであれば、外部サーバーとの認証連携を使うことで端末制限も容易だ。しかし、Outlookなどのネイティブアプリからも同様にセキュアに利用したいという声があがっていた。

発信元IPアドレスでアクセス制限を行うのがもっとも手軽な方法だが、モバイル端末を使って外出先からアクセスすると、IPアドレスは毎回変わってしまう。IPアドレスのレンジを固定するためにVPNで社内LANを経由するという方法もあるが、環境構築や運用といった負担がのしかかる。

こうした状況の中、マイクロソフトがOfficeネイティブアプリに先進認証という方式を導入し、PC向けネイティブアプリでも外部の認証サーバーと連携して二要素認証を利用できるようになった。さらにiOS向けにはマイクロソフト社が認証用アプリを公開し、スマートデバイスのネイティブアプリでも同じ形での認証が可能になったのだ。これであれば証明書を使って、ネイティブアプリでもOffice 365での端末制限を実現できると考え、証明書管理プラットフォームの構築検討が始まった。

マルチテナントへの対応が選定の決め手に

Office 365をセキュアに利用するためのJBSの新プラットフォーム。そこで利用する認証局の要件として第一に挙げられたのは、先進認証で端末認証を行うため、証明書の配布を制限できることだ。もうひとつは、将来を見据えて複数のユーザー企業を収容することが可能なことだった。いくつかの候補が挙がったが、不足する機能の新規開発も含めてこれら要件に対する実現の見通しが早急についたのがGleasだった。

選定理由について、福田氏は「Gleasはマルチテナント(※)に対応していて、管理権限をユーザー企業に委譲することもできるので、プラットフォームとして採用するのにぴったりでした」と語る。

※マルチテナント：複数の組織におけるアカウント・証明書などの管理を、ひとつのシステムでそのテナント(各運用単位)ごとに行うことができる機能。

JBSがユーザー登録から証明書発行まですべて運用する場合、ユーザーの追加や変更のたびにユーザー企業はJBSに手続きを依頼しなければならなくなる。しかし、ユーザー企業側で自由にIDを管理できるようにしておけば、急な出張などで外出先からアクセスが必要になった際にも、すぐに証明書を発行することが可能だ。

Gleasは、Microsoft Azure上でユーザー企業の認証システムの可用性を確保した設計のもとに構築しており、マルチテナント機能によりユーザー企業に利用可能な範囲が切り分けられている。ユーザー企業には自テナントへのアクセス用の物理デバイスが配付され、管理者はそのデバイスがないと証明書管理画面にアクセスできないしくみだ。

さらに、エンドユーザーが証明書インポート用ポータルサイトにアクセスするときの認証は、ユーザー企業のActive Directoryと連携するため、ID管理の負担が増えることもない。