ムービットのブログ

LAN側で運用のSharePointやチャットへ社外から安全にアクセスさせる方法です。アクセス手段としては、VPNやモバイル専用の回線等もありますが、今回はブラウザから簡単に利用出来る認証機能対応のリバースプロキシを経由して、社内のSharePointやチャットシステム/RocketChatへアクセスさせます。データ保護の観点からSharePointやチャットシステム・社内WebなどをLAN内で運用している場合のアクセスに適用できます。HAによる冗長化構成や、複数のアベイラビリティゾーン構成（マルチリージョン)での運用もできます

SharePoint

RocketChat

リバースプロキシ上の認証方法としては

【１】リバースプロキシ＆ワンタイムパスワード認証
【２】リバースプロキシ＆ SSLクライアント認証
【３】リバースプロキシ＆ワンタイムパスワード＆ SSLクライアント認証の併用
【４】リバースプロキシ＆ SAML認証
【５】リバースプロキシ＆ SAML認証とSSLクライアント認証の併用
【６】リバースプロキシ＆ AD認証
【７】リバースプロキシ＆ AD認証とSSLクライアント認証の併用
【８】HA ＆マルチリージョン

があります

今回、認証機能に対応のリバースプロキシとして、各種の認証機能に対応のアプライアンス「Powered BLUE リバースプロキシ」を利用します。

Powered BLUE リバースプロキシは、AWSやクラウド/VMWareやHyper-Vなどの仮想環境での運用に対応の仮想アプライアンスとして提供しています。仮想環境にインポートするだけで簡単に運用が出来ます。

【１】リバースプロキシ＆ワンタイムパスワード認証

対応のモデル
Powered BLUE 870 / OTP & Reverse Proxy

リバースプロキシにアクセス時にワンタイムパスワード認証を行います

ワンタイムパスワード認証は、google authenticatorの方式に対応しておりユーザー側では

●Google Authenticator
●WinAuth
●Authy
●IIJ SmartKey

などの無償のソフトウエアトークンなどが利用できます

特徴

2段階認証
毎回異なるワンタイムパスワードを入力する必要がある
無償のソフトウエアトークンが利用出来る

【２】リバースプロキシ＆ SSLクライアント認証

リバースプロキシにアクセス時にSSLクライアント認証を行います

対応のモデル
Powered BLUE Private CA & Reverse Proxy

特徴

2要素認証
リバースプロキシへのアクセス時にパスワードを入力する必要なし
日時などでのアクセスコントロールが出来る

アクセスコントロール　例

組織や部門でのアクセス制限
曜日や時間帯でのアクセス制限
特定ユーザーでのアクセス制限
端末を紛失したので、ただちにＡさんのSSLクライアント証明書でのアクセスを禁止

有効なSSLクライアント証明書のない場合

リバースプロキシでアクセスが拒否されます

【３】リバースプロキシ＆ワンタイムパスワード＆ SSLクライアント認証の併用

リバースプロキシにアクセス時にSSLクライアント認証とワンタイムパスワード認証を行います

対応のモデル
Powered BLUE Web Station

特徴

リバースプロキシの認証の強度が上がります

認証のステップ

１）ワンタイムパスワードを表示させる
２）SSLクライアント認証 (リバースプロキシ）
３）ワンタイムパスワードを入力 (リバースプロキシ）
４）認証後にリバースプロキシ先のSharePointやチャット/Webが表示

【４】リバースプロキシ＆ SAML認証

リバースプロキシにアクセス時にSAML認証を行います

idP / IDaaS

idPとしては、Azure AD / TrustLogin / OneLogin / Okta / CloudGate Uno / HENNGE ONE / G Suite / Azure AD / Keycloak / OpenAM 他などのSAML認証に対応しています。

既にこれらのiDaaSなどサービスを利用されている場合に利用が出来ます

SAML-SP

Powered BLUE リバースプロキシは、SAML認証に対応のSP(サービスプロバイダ）として動作します

対応のモデル
Powered BLUE Reverse Proxy for SSO / IDaaS

特徴

シングルサインオン/SAML認証に対応のリバースプロキシとして運用が出来ます

認証のステップ

１）リバースプロキシにアクセス（SP-initiated SAML)
２）SAML認証
３）認証後にリバースプロキシ先のターゲットのチャットやWebが表示

【５】リバースプロキシ＆ SAML認証とSSLクライアント認証の併用

リバースプロキシへのアクセス時にiDaaS側のSAML認証に加えて、社内ネットワークへのアクセスに際して、リバースプロキシ上で自社管理で運用が出来るSSLクライアント認証を行います。iDaaS/idPでは社内LANへのアクセスが厳しい場合でも、自社ポリシーによりSSLクライアント認証を行い社内側でのアクセスを行わせる事が出来ます。

特徴