メール戦略
モバイルデバイスからのメールへのセキュアなアクセスは、あらゆる組織のモビリティ管理イニシアチブの主要な推進要因の1つです。適切なメール戦略を決定することは、XenMobile®の設計において重要な要素となることがよくあります。XenMobileは、セキュリティ、ユーザーエクスペリエンス、統合要件に基づいて、さまざまなユースケースに対応するためのいくつかのオプションを提供します。この記事では、クライアントの選択からメールトラフィックフローまで、適切なソリューションを選択するための一般的な設計決定プロセスと考慮事項について説明します。
メールクライアントの選択
クライアントの選択は、通常、全体的なメール戦略設計において最優先事項です。Citrix Secure Mail™、特定のモバイルプラットフォームオペレーティングシステムに付属するネイティブメール、または公開アプリストアを通じて利用可能なその他のサードパーティクライアントなど、いくつかのクライアントから選択できます。ニーズに応じて、単一の（標準）クライアントでユーザーコミュニティをサポートすることも、複数のクライアントを組み合わせて使用する必要がある場合もあります。
以下の表は、利用可能なさまざまなクライアントオプションに関する設計上の考慮事項をまとめたものです。
| トピック | セキュアメール | ネイティブ (例: iOSメール) | サードパーティメール |
| 最小XenMobileエディション | 高度な | MDM | MDM |
| 構成 | MDXポリシーを介して構成されたExchangeアカウントプロファイル。 | MDMポリシーを介して構成されたExchangeアカウントプロファイル。Androidのサポートは、SAFE/KNOXおよびAndroid Enterpriseに限定されます。その他のすべてのクライアントはサードパーティクライアントと見なされます。 | 通常、ユーザーによる手動設定が必要です。 |
| セキュリティ | 設計上安全で、最高のセキュリティを提供します。データ暗号化レベルが追加されたMDXポリシーを使用します。Secure Mailは、MDXポリシーを介して完全に管理されるアプリです。Citrix PINによる認証レイヤーが追加されています。 | ベンダー/アプリの機能セットに基づきます。より高いセキュリティを提供します。デバイスの暗号化設定を使用します（MDXポリシーによるセキュリティなし）。アプリへのアクセスにはデバイスレベルの認証に依存します。 | ベンダー/アプリの機能セットに基づきます。高いセキュリティを提供します。 |
| 統合 | デフォルトで管理対象（MDX）アプリとの連携を許可します。Citrix Secure WebでWeb URLを開きます。Citrix Filesにファイルを保存したり、Citrix Filesからファイルを添付したりできます。GoToMeetingに直接参加したり、ダイヤルインしたりできます。 | デフォルトでは、他の非管理対象（非MDX）アプリとのみ連携できます。 | デフォルトでは、他の非管理対象（非MDX）アプリとのみ連携できます。 |
| 展開/ライセンス | MDMを介して、または公開アプリストアから直接Secure Mailをプッシュできます。XenMobile AdvancedおよびEnterpriseライセンスに含まれています。 | プラットフォームのオペレーティングシステムに含まれるクライアントアプリ。追加のライセンス要件はありません。 | MDMを介して、エンタープライズアプリとして、または公開アプリストアから直接プッシュできます。アプリベンダーに基づく関連ライセンスモデル/費用。 |
| サポート | クライアントとEMMソリューション（Citrix）に対する単一ベンダーサポート。Secure Hub/アプリのデバッグログ機能に埋め込まれたサポート連絡先情報。サポートするクライアントは1つ。 | ベンダー定義のサポート（Apple/Google）。デバイスプラットフォームに基づいて異なるクライアントをサポートする必要がある場合があります。 | ベンダー定義のサポート。サードパーティ製クライアントがすべての管理対象デバイスプラットフォームでサポートされていると仮定した場合、サポートするクライアントは1つ。 |
メールトラフィックフローとフィルタリングに関する考慮事項
このセクションでは、XenMobileにおけるメール（ActiveSync）トラフィックのフローに関する3つの主要なシナリオと設計上の考慮事項について説明します。
シナリオ1：公開されたExchange
外部クライアントをサポートする環境では、通常、Exchange ActiveSyncサービスがインターネットに公開されています。モバイルActiveSyncクライアントは、リバースプロキシ（Citrix ADCなど）またはエッジサーバーを介して、この外部に面したパス経由で接続します。このオプションは、ネイティブまたはサードパーティのメールクライアントを使用するために必要であり、これらのクライアントがこのシナリオで一般的な選択肢となっています。一般的な方法ではありませんが、このシナリオでSecure Mailクライアントを使用することもできます。そうすることで、MDXポリシーの使用とアプリの管理によって提供されるセキュリティ機能の恩恵を受けることができます。
シナリオ2：Citrix ADC経由のトンネル（マイクロVPNおよびSTA）
このシナリオは、Secure MailクライアントのマイクロVPN機能により、Secure Mailクライアントを使用する場合のデフォルトです。この場合、Secure MailクライアントはCitrix Gatewayを介してActiveSyncへのセキュアな接続を確立します。本質的に、Secure Mailは内部ネットワークからActiveSyncに直接接続するクライアントと見なすことができます。Citrixのお客様は、モバイルActiveSyncクライアントとしてSecure Mailを標準化することがよくあります。この決定は、最初のシナリオで説明したように、公開されたExchange Server上でActiveSyncサービスをインターネットに公開することを避けるための取り組みの一部です。
MAM SDKが有効になっているアプリ、またはMDXでラップされたアプリのみがマイクロVPN機能を使用できます。MDXラッピングを使用する場合、このシナリオはネイティブクライアントには適用されません。MDX Toolkitを使用してサードパーティ製クライアントをラップすることは可能かもしれませんが、この方法は一般的ではありません。ネイティブまたはサードパーティ製クライアントのトンネルアクセスを許可するためにデバイスレベルのVPNクライアントを使用することは、煩雑であり、実行可能なソリューションではないことが証明されています。
シナリオ3：クラウドホスト型Exchangeサービス
Microsoft Office 365などのクラウドホスト型Exchangeサービスは、ますます普及しています。XenMobileのコンテキストでは、ActiveSyncサービスもインターネットに公開されているため、このシナリオは最初のシナリオと同じように扱うことができます。この場合、クラウドサービスプロバイダーの要件によってクライアントの選択肢が決まります。選択肢には通常、Secure Mailやその他のネイティブまたはサードパーティ製クライアントなど、ほとんどのActiveSyncクライアントのサポートが含まれます。
このシナリオにおいて、XenMobileは次の3つの領域で価値を付加できます。
-
MDXポリシーとSecure Mailによるアプリ管理を備えたクライアント
-
サポートされているネイティブメールクライアントでのMDMポリシーを使用したクライアント構成
-
Endpoint Management connector for Exchange ActiveSync を使用した ActiveSync フィルタリングオプション
メールトラフィックフィルタリングに関する考慮事項
ほとんどのインターネットに公開されているサービスと同様に、パスを保護し、認証されたアクセスに対してフィルタリングを提供する必要があります。XenMobile ソリューションには、ネイティブクライアントおよびサードパーティクライアントに ActiveSync フィルタリング機能を提供するために特別に設計された2つのコンポーネントが含まれています。Citrix Gateway connector™ for Exchange ActiveSync と Endpoint Management connector for Exchange ActiveSync です。
Citrix Gateway 用 Exchange ActiveSync コネクタ
Citrix Gateway connector for Exchange ActiveSync は、ActiveSync トラフィックのプロキシとして Citrix ADC を使用して、境界で ActiveSync フィルタリングを提供します。その結果、フィルタリングコンポーネントはメールトラフィックフローのパスに配置され、メールが環境に出入りする際に傍受します。Citrix Gateway connector for Exchange ActiveSync は、Citrix ADC と XenMobile Server の間の仲介役として機能します。デバイスが Citrix ADC 上の ActiveSync 仮想サーバーを介して Exchange と通信すると、Citrix ADC は Exchange ActiveSync サービス用のコネクタに HTTP コールアウトを実行します。その後、そのサービスは XenMobile でデバイスの状態を確認します。デバイスの状態に基づいて、Exchange ActiveSync 用コネクタは Citrix ADC に接続を許可または拒否するよう応答します。ユーザー、エージェント、デバイスの種類または ID に基づいてアクセスをフィルタリングするための静的ルールを設定することもできます。
この設定により、Exchange ActiveSync サービスをインターネットに公開し、不正アクセスを防ぐためのセキュリティ層を追加できます。設計上の考慮事項は次のとおりです。
-
Windows Server: Exchange ActiveSync コンポーネント用のコネクタには Windows Server が必要です。
-
フィルタリングルールセット: Exchange ActiveSync 用コネクタは、ユーザー情報ではなく、デバイスの状態と情報に基づいてフィルタリングするように設計されています。ユーザー ID でフィルタリングするための静的ルールを設定できますが、たとえば Active Directory グループメンバーシップに基づいてフィルタリングするオプションはありません。Active Directory グループフィルタリングが必要な場合は、代わりに Endpoint Management connector for Exchange ActiveSync を使用できます。
-
Citrix ADC のスケーラビリティ: Citrix ADC を介して ActiveSync トラフィックをプロキシする必要があるため、すべての ActiveSync SSL 接続の追加ワークロードをサポートするには、Citrix ADC インスタンスの適切なサイジングが重要です。
-
Citrix ADC の統合キャッシュ: Citrix ADC 上の Exchange ActiveSync 用コネクタの構成は、統合キャッシュ機能を使用して Exchange ActiveSync 用コネクタからの応答をキャッシュします。この構成の結果、Citrix ADC は、特定のセッション内のすべての ActiveSync トランザクションに対して、Citrix Gateway connector for Exchange ActiveSync に要求を発行する必要がありません。この構成は、適切なパフォーマンスと拡張性にとっても重要です。統合キャッシュは Citrix ADC Platinum Edition で利用可能であり、Enterprise Edition では個別にライセンスを取得できます。
-
カスタムフィルタリングポリシー: 標準のネイティブモバイルクライアント以外の特定の ActiveSync クライアントを制限するために、カスタムの Citrix ADC ポリシーを作成する必要がある場合があります。この構成には、ActiveSync HTTP 要求と Citrix ADC レスポンダーポリシー作成に関する知識が必要です。
-
Secure Mail クライアント: Secure Mail にはマイクロ VPN 機能があり、境界でのフィルタリングの必要がありません。Secure Mail クライアントは、Citrix Gateway を介して接続されている場合、通常は内部 (信頼された) ActiveSync クライアントとして扱われます。ネイティブクライアントとサードパーティクライアント (Exchange ActiveSync 用コネクタを使用) の両方、および Secure Mail クライアントのサポートが必要な場合、Citrix は Secure Mail トラフィックが Exchange ActiveSync 用コネクタに使用される Citrix ADC 仮想サーバーを介して流れないようにすることを推奨します。このトラフィックフローは DNS を介して実現でき、Exchange ActiveSync 用コネクタポリシーが Secure Mail クライアントに影響を与えないようにできます。
XenMobile 展開における Citrix Gateway connector for Exchange ActiveSync の図については、「オンプレミス展開のリファレンスアーキテクチャ」を参照してください。
Endpoint Management 用 Exchange ActiveSync コネクタ
Endpoint Management connector for Exchange ActiveSync は、Exchange サービスレベルで ActiveSync フィルタリングを提供する XenMobile コンポーネントです。その結果、フィルタリングはメールが XenMobile 環境に入る時ではなく、Exchange サービスに到達した後にのみ行われます。Mail Manager は PowerShell を使用して Exchange ActiveSync にデバイスパートナーシップ情報を照会し、デバイス隔離アクションを通じてアクセスを制御します。これらのアクションは、Endpoint Management connector for Exchange ActiveSync のルール基準に基づいてデバイスを隔離に出し入れします。Citrix Gateway connector for Exchange ActiveSync と同様に、Endpoint Management connector for Exchange ActiveSync は XenMobile でデバイスの状態を確認し、デバイスのコンプライアンスに基づいてアクセスをフィルタリングします。デバイスの種類または ID、エージェントバージョン、および Active Directory グループメンバーシップに基づいてアクセスをフィルタリングするための静的ルールを設定することもできます。
このソリューションでは、Citrix ADC の使用は必要ありません。既存のActiveSyncトラフィックのルーティングを変更することなく、Exchange ActiveSync 用のEndpoint Managementコネクタを展開できます。設計上の考慮事項は次のとおりです。
-
Windows Server: Exchange ActiveSync コンポーネント用のEndpoint Managementコネクタを展開するには、Windows Server を展開する必要があります。
-
フィルタリングルールセット: Exchange ActiveSync 用のCitrix Gatewayコネクタと同様に、Exchange ActiveSync 用のEndpoint Managementコネクタには、デバイスの状態を評価するためのフィルタリングルールが含まれています。また、Exchange ActiveSync 用のEndpoint Managementコネクタは、Active Directory グループメンバーシップに基づいてフィルタリングするための静的ルールもサポートしています。
-
Exchange の統合: Exchange ActiveSync 用のEndpoint Managementコネクタは、ActiveSync ロールをホストするExchange Client Access Server (CAS) への直接アクセスと、デバイスの隔離アクションの制御を必要とします。この要件は、環境のアーキテクチャとセキュリティ体制によっては課題となる可能性があります。この技術要件を事前に評価することが重要です。
-
その他のActiveSyncクライアント: Exchange ActiveSync 用のEndpoint ManagementコネクタはActiveSyncサービスレベルでフィルタリングを行うため、XenMobile環境外の他のActiveSyncクライアントを考慮してください。他のActiveSyncクライアントへの意図しない影響を避けるために、Exchange ActiveSync 用のEndpoint Managementコネクタの静的ルールを構成できます。
-
拡張されたExchange機能: Exchange ActiveSync との直接統合により、Exchange ActiveSync 用のEndpoint Managementコネクタは、XenMobile がモバイルデバイスでExchange ActiveSync ワイプを実行する機能を提供します。Exchange ActiveSync 用のEndpoint Managementコネクタは、XenMobile がBlackberryデバイスに関する情報にアクセスし、その他の制御操作を実行することも可能にします。
XenMobile展開におけるExchange ActiveSync 用のEndpoint Managementコネクタの図については、オンプレミス展開の参照アーキテクチャを参照してください。
メールプラットフォームの意思決定ツリー
次の図は、XenMobile展開でネイティブメールソリューションとSecure Mailソリューションのどちらを使用するかの長所と短所を区別するのに役立ちます。各選択肢には、サーバー、ネットワーク、データベースへのアクセスを可能にする関連するXenMobileオプションと要件があります。長所と短所には、セキュリティ、ポリシー、ユーザーインターフェイスに関する考慮事項が含まれます。
