適応型アクセス ポリシーの構成と管理
今日の絶えず変化する状況において、アプリケーションセキュリティはあらゆるビジネスにとって不可欠です。コンテキストを認識したセキュリティ決定を行い、アプリケーションへのアクセスを有効にすることで、ユーザーへのアクセスを可能にしながら、関連するリスクを軽減できます。
Citrix Secure Private Access™ サービスの適応型アクセス機能は、アプリケーションへのセキュアなアクセスを提供する包括的なゼロトラストアクセスアプローチを提供します。適応型アクセスにより、管理者はコンテキストに基づいてユーザーがアクセスできるアプリに対して、きめ細かなレベルのアクセスを提供できます。ここでの「コンテキスト」という用語は、以下を指します。
-
ユーザーとグループ（ユーザーおよびユーザーグループ）
-
デバイス（デスクトップまたはモバイルデバイス）
-
場所（地理的位置またはネットワーク上の場所）
-
デバイスのポスチャ（デバイスのポスチャチェック）
適応型アクセス機能は、アクセスされているアプリケーションに適応型ポリシーを適用します。これらのポリシーは、コンテキストに基づいてリスクを判断し、Enterprise Web、SaaS、TCP、および UDP アプリへのアクセスを許可または拒否する動的なアクセス決定を行います。
仕組み
アプリケーションへのアクセスを許可または拒否するために、管理者は、ユーザー、ユーザーグループ、ユーザーがアプリケーションにアクセスするデバイス、およびユーザーがアプリケーションにアクセスしている場所（国またはネットワークの場所）に基づいてポリシーを作成します。
適応型アクセス ポリシーは、次のシナリオで評価されます。
-
Secure Private Access サービスからの Web、SaaS、TCP、または UDP アプリの列挙中 – このユーザーに対してアプリケーションアクセスが拒否された場合、ユーザーはこのアプリケーションをストアで確認できません。
-
アプリケーションの起動中 – アプリを列挙した後、適応型ポリシーがアクセス拒否に変更された場合、ユーザーは、以前にアプリが列挙されていても、アプリを起動できません。
複数のルールを持つアクセス ポリシーを作成する
単一のポリシー内で複数のアクセスルールを作成し、異なるユーザーまたはユーザーグループに対して異なるアクセス条件を構成できます。これらのルールは、HTTP/HTTPS アプリと TCP/UDP アプリの両方に個別に適用でき、すべて単一のポリシー内で設定できます。
アクセス制限は、Secure Private Access インターフェイス内ではなく、Google 管理コンソールを介して構成する必要があります。
ルールはGoogle 管理コンソール > ルールで構成されます。これらのルールは、透かしの追加、社会保障番号を含むファイルのダウンロードのブロック、URLフィルタリングなど、DLPに関連する高度な設定です。
Google 管理コンソールでGoogle Chromeのポリシーとルールを作成する方法の詳細については、次のトピックを参照してください。
前提条件
ユーザー向けにアプリケーションが構成されていることを確認してください。詳細については、「ユーザー向けにアプリを追加する」を参照してください。
アクセスポリシーを作成する手順:
-
アクセスポリシーページを開き、ポリシーの作成をクリックします。
-
ポリシーの名前と説明を入力します。
-
アプリケーションで、このポリシーを適用する必要があるアプリまたはアプリのセットを選択します。
-
ルールの作成をクリックして、ポリシーのルールを作成します。
-
ルール名とルールの簡単な説明を入力し、次へをクリックします。
-
ユーザーの条件を選択します。ユーザー条件は、ユーザーがアプリにアクセスするために満たす必要がある必須条件です。条件、ドメイン、そしてユーザーの順に選択できます。
以下のいずれかを選択します。-
いずれかに一致 – フィールドにリストされている名前のいずれかに一致し、選択したドメインに属するユーザーまたはグループのみがアクセスを許可されます。
-
いずれにも一致しない - フィールドにリストされているユーザーまたはグループ、および選択したドメインに属するユーザーまたはグループを除くすべてのユーザーまたはグループがアクセスを許可されます。注:
-
表示名、メールID、またはユーザープリンシパル名でユーザーまたはグループを検索できます。これにより、同じユーザーが複数のアカウントを持っている場合でも、正しいユーザーを正確に特定し、アクセスを許可することができます。詳細については、「ユーザーまたはグループの検索」を参照してください。
-
Secure Private Accessポリシーが正しく評価されるように、同期されたユーザーとグループも使用する必要があります。そうしないと、警告メッセージが表示されます。詳細については、「ユーザーとグループの同期の確認」を参照してください。
-
-
-
ユーザーがブラウザベースのクライアントまたはCitrix Secure Accessクライアントのどちらを介して接続するかに基づいてアプリケーションアクセスを制限するには、アクセスモード条件を追加します。詳細については、「アクセスモードベースのポリシー適用」を参照してください。注:アクセスモードを必須のユーザー条件およびその他の条件と組み合わせることができます。
-
(オプション) + をクリックして、コンテキストに基づいて複数の条件を追加します。コンテキストに基づいて条件を追加すると、条件にAND演算が適用され、ユーザーとオプションのコンテキストベースの条件が満たされた場合にのみポリシーが評価されます。コンテキストに基づいて、次の条件を適用できます。
-
地理的位置 – 条件と、ユーザーがアプリにアクセスしている地理的位置を選択します。
-
いずれかに一致: リストされている地理的位置のいずれかからアプリにアクセスしているユーザーまたはユーザーグループのみが、アプリへのアクセスを許可されます。
-
いずれにも一致しない: リストされている地理的位置以外のすべてのユーザーまたはユーザーグループが、アクセスを許可されます。
-
-
ネットワークロケーション – 条件と、ユーザーがアプリにアクセスするために使用するネットワークを選択します。
-
いずれかに一致: リストされているネットワークロケーションのいずれかからアプリにアクセスしているユーザーまたはユーザーグループのみが、アプリへのアクセスを許可されます。
-
いずれにも一致しない: リストされているネットワークロケーション以外のすべてのユーザーまたはユーザーグループが、アクセスを許可されます。
-
-
デバイスポスチャチェック – ユーザーデバイスがアプリにアクセスするために満たす必要がある条件を選択します。
-
-
次へをクリックします。
-
条件評価に基づいて適用する必要があるアクションを選択します。
-
アクセスを許可
-
アクセスを拒否
-
-
(オプション) 必要に応じて、特定のドメインのルーティングタイプまたはリソースの場所を変更します。「ルーティング例外」トグルを使用すると、アクセスポリシーに追加されたアプリのドメインのリソースの場所とルーティング情報を編集できます。
-
ルーティングタイプで、ルーティングタイプを変更します。
-
内部: トラフィックはConnector Applianceを介して流れます。Webアプリの場合、トラフィックはデータセンター内を流れます。SaaSアプリの場合、トラフィックはConnector Applianceを介してネットワーク外にルーティングされます。
-
内部 - プロキシバイパス: ドメインのトラフィックはCitrix Cloud Connector™アプライアンスを介してルーティングされ、Connector Applianceで構成された顧客のWebプロキシをバイパスします。
-
外部: トラフィックはインターネットに直接流れます。
-
-
リソースの場所で、必要に応じてリソースの場所を変更します。このオプションは、内部ルーティングされたドメインにのみ適用されます。
コンテキストルーティングの詳細については、「コンテキストベースのアプリルーティングとリソースの場所の選択」を参照してください。ポリシーを作成すると、「アクセスポリシー」ページに一覧表示されます。
-
ユーザーまたはグループを検索
選択したユーザーとグループはグリッドに表示されます。グリッドの各行には、異なるドメイン、フォレスト、またはIDプロバイダー (IdP) 間で同じ名前のユーザーまたはグループを明確に区別できるように、次のID詳細が表示されます。
-
名前 – ユーザーまたはグループの表示名。
-
メール – IDに関連付けられているメールアドレス。
-
IDPタイプ – Azure AD、Active Directory、Okta、GoogleなどのIDプロバイダー。
-
OID – IDのオブジェクトIDまたはセキュリティ識別子。
-
ドメイン – ユーザーまたはグループが属するドメイン。
グリッドを名前でフィルタリングしたり、個々の行を削除したり、複数のエントリを選択して選択したものを削除を使用してまとめて削除したりできます。
ユーザーとグループの同期を確認する
When selecting users or groups, administrators can verify whether entries from the selected user directory are synchronized with and correctly configured in Google Directory. Secure Private Access policies evaluate correctly only when the users and groups are synchronized. Otherwise, the following warnings might appear:
-
テナントアカウントの権限がありません。回避策:Google管理コンソールで、テナントサービスアカウントにユーザー > 読み取りおよびグループ > 読み取りの権限を割り当てます。SPAは、ユーザーまたはグループが存在することを確認するためにこれらの権限を必要とします。
-
ユーザーまたはグループが同期されていません。回避策:検索または選択されたユーザーまたはグループはGoogle Directoryと同期されていません。SPAポリシーで使用する前に、ディレクトリエンティティをGoogle Directoryと同期してください。
-
グループアクセス設定が不十分です。回避策:Google 管理コンソールで、選択したグループのアクセス設定を開き、メンバーを表示できるユーザーに少なくともグループメンバーオプションが選択されていることを確認します。
注:
この機能は、Google Chrome の統合が正常に完了した後にのみ利用できます。
ポリシー作成後の留意事項
-
ポリシーにはデフォルトで優先順位が割り当てられます。値が小さい優先順位ほど優先度が高くなります。最も優先順位の低い規則が最初に評価されます。規則 (n) が定義された条件に一致しない場合、次の規則 (n+1) が評価され、以降同様に評価されます。
優先順位による規則の評価例:
規則1と規則2の2つの規則を作成したとします。 規則1がユーザーAに割り当てられ、規則2がユーザーBに割り当てられている場合、両方の規則が評価されます。 規則1と規則2の両方がユーザーAに割り当てられているとします。この場合、規則1の優先度が高くなります。規則1の条件が満たされた場合、規則1が適用され、規則2はスキップされます。それ以外の場合、規則1の条件が満たされない場合は、規則2がユーザーAに適用されます。
デバイスに基づく適応型アクセス
ユーザーがアプリケーションにアクセスしているプラットフォーム（モバイルデバイスまたはデスクトップコンピューター）に基づいて適応型アクセスポリシーを構成するには、「適応型アクセスポリシーの構成と管理」を参照してください。
-
手順2: 条件ページで、条件の追加をクリックします。
-
デスクトップまたはモバイルデバイスを選択します。
-
ポリシー構成を完了します。
ロケーションに基づくアダプティブアクセス
管理者は、ユーザーがアプリケーションにアクセスしているロケーションに基づいて、アダプティブアクセス ポリシーを構成できます。ロケーションは、ユーザーがアプリケーションにアクセスしている国、またはユーザーのネットワークロケーションです。ネットワークロケーションは、IPアドレス範囲またはサブネットアドレスを使用して定義されます。
ロケーションに基づいてアダプティブアクセス ポリシーを構成するには、次の変更を加えて複数のルールを持つアダプティブアクセス ポリシーを作成する手順を使用します。
-
手順2: 条件ページで、条件の追加をクリックします。
-
地理的位置またはネットワークロケーションを選択します。
-
複数の地理的位置またはネットワークロケーションを構成している場合は、要件に応じて次のいずれかを選択します。
-
いずれかに一致 – 地理的位置またはネットワークロケーションが、データベースで構成されている地理的位置またはネットワークロケーションのいずれかに一致します。
-
いずれにも一致しない – 地理的位置またはネットワークロケーションが、データベースで構成されている地理的位置またはネットワークロケーションのいずれにも一致しません。
注:-
地理的位置を選択した場合、ユーザーの送信元IPアドレスは国データベースのIPアドレスと比較評価されます。ユーザーのIPアドレスがポリシー内の国にマッピングされている場合、ポリシーが適用されます。国が一致しない場合、このアダプティブポリシーはスキップされ、次のアダプティブポリシーが評価されます。
-
ネットワークロケーションの場合、既存のネットワークロケーションを選択するか、新しいネットワークロケーションを作成できます。新しいネットワークロケーションを作成するには、ネットワークロケーションの作成をクリックします。
-
Citrix Cloud > StoreFront Cloud > アクセス > アダプティブアクセスからアダプティブアクセスが有効になっていることを確認してください。有効になっていない場合、ロケーションタグを追加できません。詳細については、「アダプティブアクセスを有効にする」を参照してください。
-
Citrix Cloudコンソールからネットワークロケーションを作成することもできます。詳細については、「Citrix Cloudネットワークロケーションの構成」を参照してください。
-
-
ポリシー構成を完了します。
デバイスポスチャに基づくアダプティブアクセス
デバイスポスチャータグを使用してアクセス制御を適用するようにSecure Private Accessサービスを構成できます。デバイスポスチャー検証後にデバイスのログインが許可されると、そのデバイスは準拠または非準拠として分類できます。この情報は、Citrix DaaS™サービスおよびCitrix Secure Private Accessサービスにタグとして利用可能であり、デバイスポスチャーに基づいてコンテキストアクセスを提供するために使用されます。
Device Postureサービスの詳細については、「Device Posture」を参照してください。
デバイスポスチャーに基づいて適応型アクセスポリシーを構成するには、以下の変更を加えて「複数のルールを持つ適応型アクセスポリシーを作成する」の手順を使用します。
-
手順2: 条件ページで、条件の追加をクリックします。
-
ドロップダウンメニューからデバイスポスチャーチェックと論理式を選択します。
-
カスタムタグに次のいずれかの値を入力します。
-
準拠 - 準拠デバイスの場合
-
非準拠 - 非準拠デバイスの場合
注:デバイス分類タグの構文は、以前にキャプチャされた方法、つまり頭文字を大文字（CompliantおよびNon-Compliant）で入力する必要があります。そうしないと、デバイスポスチャーポリシーは意図したとおりに機能しません。 -
