ネットワーク全体を開放せず、委託先に必要なアクセスを
外部委託先が必要とするのは、通常1つのアプリケーション、環境、プロジェクトに対するアクセスであり、周辺ネットワークへの恒常的なアクセスではありません。ZTXGateを使えば、承認されたリソースと期間にアクセスを限定し、利用履歴を確認できます。
委託先アクセスの課題
一時的なユーザーであっても、アクセス対象には重要な本番システムが含まれる場合があります。臨時のVPNアカウント、ファイアウォール規則、共有認証情報、手動で追跡する有効期限、非管理端末などは管理を複雑にします。本質的な問題は、短期間だけ必要な権限が残り続けることです。
ネットワークではなくリソースへのアクセス
ZTXGateはユーザーのID、役割、デバイス、対象リソース、期間などの条件で許可を判断します。承認されていない他のシステムへの到達は、単に同じネットワーク上にあるという理由では認めません。
Webアプリ向けのクライアントレスアクセス
サポート対象のプライベートHTTP/HTTPSアプリであれば、ブラウザーからZTXGateのプロキシにアクセスできます。外部利用者にWireGuardの導入を求める必要はありません。この機能はライセンス対象です。クライアントレスZTNA
業務上必要な場合のクライアントアクセス
Web以外のネットワークサービスや特定プロトコルが必要な場合には、登録済みデバイスからのWireGuardベースのアクセスを使えます。ブラウザー経路とクライアント経路の使い分けは、業務要件とポリシーで判断します。
期限付きアクセス
アクセス期限を明示しておけば、作業終了時に権限を自動的に取り消せます。使用されなくなった臨時アカウントが残るリスクを抑えます。
申請と承認
機密リソースは、申請に対して指定された承認者が利用目的や時間枠を確認してから許可するよう構成できます。
IDと認証
対応するOIDC IDプロバイダーを使用した認証と、ポリシーに応じた追加認証を組み合わせられます。組織の責任範囲に合わせてアカウントの発行・停止とアクセス権を管理してください。
管理対象端末と非管理端末
管理対象端末には登録と対応するMDM/EDRのポスチャー情報を適用できます。非管理端末では、信頼できない端末からのリスクを考慮し、認証強度、アプリの種類、アクセス期間をより厳しく設定してください。
オフボーディングを予測可能に
プロジェクト終了や契約終了のタイミングでユーザー・デバイス・期間付き権限を見直し、アクセスを取り消します。SCIMなど利用可能なIDライフサイクル連携も役立ちます。
第三者アクセスの記録
アクセス、認証、ポリシーの活動を検索・監査でき、対応するSIEMへイベントを出力できます。SIEM連携
エアギャップ環境の委託先アクセス
完全に隔離した環境でも、その境界内に認可された経路を持つ委託先に対してポリシーを適用できます。エアギャップを越えるインターネットアクセスを自動的に提供するものではありません。
例：ベンダーによる一時的な保守
設備の保守担当者が限定された管理リソースへ2時間だけアクセスするケースを考えます。担当者を認証し、必要に応じて端末を登録し、指定された承認者が対象リソースと時間枠を承認します。期間が終わると権限は失効し、アクセス履歴は監査できます。
よくある質問
委託先にはネットワーク全体へのVPNアクセスが必要ですか？ いいえ。承認された個別リソースに権限を限定できます。
WireGuardなしでブラウザーから利用できますか？ 対応するHTTP/HTTPSアプリなら可能です。
SSHやRDPなどWeb以外のプロトコルが必要な場合は？ 現在は適切なWireGuardベースのアクセス経路を使用します。SSH/RDPのブラウザー内での表示は、現行クライアントレスHTTP/HTTPSプロキシの機能としては扱いません。
アクセス期限を自動で適用できますか？ はい。期限付き権限を使用できます。
機密リソースへのアクセスに事前承認を要求できますか？ はい。申請・承認ワークフローを使用できます。
ソーシャルプロバイダーから委託先IDを自動作成しますか？ 自動的なID作成を前提とせず、管理するIDとサポート対象の認証・プロビジョニング方式を利用してください。