アクセスルールとは何ですか？

アクセスルールとは、Versa Director のシステムレベルまたはテナントレベルで設定されるポリシーオブジェクトであり、トラフィックやアクセス要求を、ユーザー名、ロール、デバイスの状態、送信元ロケーションなどの基準と照合し、「許可」または「拒否」の判定を返すものです。ルールは上から順に評価されるため、その順序によってどの照合結果が適用されるかが決まります。

主なポイント

• アクセスルールは、ユーザー、グループ、ロール、デバイス、または場所に基づいてトラフィックを照合します。
• ルールは上から下へと評価されます。Reorder コントロールを使用すると、優先順位を変更できます。
• 中核となるアクションは「許可」または「拒否」であり、最初に一致したルールに適用されます。
• SASE デプロイメントでは、クライアントベースとクライアントレスの両方のアクセスルールタイプが使用されます。
• Concertoは、エンドツーエンドのSASE ワークフローの一環として、アクセスルールを構築します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ アクセスルールとVersa · よくある質問

アクセスルールはなぜ重要なのでしょうか？

アクセスルールにより、広範なセキュリティポリシーが、ユーザーごと、デバイスごとの適用へと転換されます。アクセスルールがなければ、管理者が行えるのは一律的な制御のみであり、ゲートウェイの背後にいるすべてのユーザーに対して、サービスは「オン」か「オフ」かのいずれかしか設定できません。アクセスルールがあれば、アクセスを許可するかどうかは、要求元が誰であるか、どのデバイスから要求しているか、どこから要求しているかによって決めることができ、各条件ごとに個別に許可または拒否を設定できます。この精緻さが、ゼロトラスト体制の運用上の核心です。つまり、接続がネットワークエッジに到達したという理由だけで、デフォルトで何も信頼されることはありません。

ルールの順序は、ルールの中身と同じくらい重要です。アクセスルールは上から下へと評価され、最初に一致したルールが優先されるため、同じルールであっても順序が異なると、正反対の結果が生じる可能性があります。順序を「先頭」「末尾」、あるいは特定の位置に指定できる専用の「順序変更」コントロールが用意されているのは、順序を正しく設定することが、ルールを記述することと同様に設計の重要な要素だからです。

アクセスルールとは何ですか？

構造的には、アクセスルールは一致条件とアクションを組み合わせたものです。一致条件には、一般的に、オペレーティングシステム、関与するユーザーまたはユーザーグループ、エンドポイントの状態（エンドポイント情報プロファイル、デバイスのコンプライアンス状況、またはエンティティのリスクバンドなど）、および送信元場所やIPアドレスが含まれます。アクションは「許可」または「拒否」のいずれかです。許可されたリクエストは、どのゲートウェイグループがそれを処理するかといったさらなる設定を経由して処理されますが、拒否されたリクエストは即座に破棄されます。

管理者は、各一致条件とアクションカテゴリを網羅したステップバイステップのウィザードを通じてルールを作成し、保存前に「確認と設定」ステップを実行します。保存されたルールは、Director または Concerto が上から順に評価する順序付きリストに追加され、その後、リストを管理するために「追加」、「複製」、「順序変更」、「削除」の操作を利用できます。

アクセスルールの種類

SASE のセキュアアクセスは、2つのルール群によって管理されています。クライアントベースのアクセスルールは、エンドユーザーデバイス（Windows、macOS、iOS、Android、Linux）にインストールされたVersa SASE クライアントを対象とし、オペレーティングシステム、ユーザーまたはグループ、エンドポイントの状態、および場所に基づいて照合を行い、許可されたトラフィックをVersa クラウドゲートウェイへ転送するか、インターネットへ直接接続するか、あるいはブロックします。クライアントレスアクセスルールは、クライアントソフトウェアをインストールせずに保護されたアプリケーションにアクセスするユーザーに対し、ブラウザベースのアクセスに対して同様の許可／拒否モデルを適用します。

クライアントベースのルール内では、トラフィック・アクションのレベルでさらに区分があります。「Breakout to Internet」では、プライベートトラフィックはトンネル経由で送信され、インターネット向けのトラフィックはローカルから送信されます（スプリットトンネル）。一方、「Send Apps toVersa Cloud Gateway」では、指定された除外項目を除き、すべてのトラフィックがゲートウェイにルーティングされます。利用可能なオプションは、テナントのサブスクリプションの種類によって異なります。

アクセスルール &Versa

Concertoでは、ユーザーやグループ、サイト間トンネル、およびセキュアなクライアントベースのアクセスプロファイルがすでに設定された後、「SASE 」ワークフローの定義済みステップとしてアクセスルールを構築します。 ルール作成では、まず一致条件（オペレーティングシステム、ユーザー／ユーザーグループ、エンドポイント情報プロファイル（EIP）を使用したエンドポイントの状態、送信元の地理的位置およびIPアドレス）を順に指定し、次にアクション（トラフィックアクション、ゲートウェイ、クライアント設定（MFAやVPNの種類を含む）、およびEIPからのエージェントプロファイル）を設定し、最後に「レビューと設定」を行います。

『ConcertoSASE エンドツーエンド設定ガイド』では、この一連の手順を順を追って解説しており、『SASE セキュアなクライアントベースのアクセスルールの設定』では、評価順序を規定する「再順序付け（Reorder）」の仕組みを含め、各ステップを詳細に説明しています。

よくある質問

アクセスルールの「一致条件」と「アクション」にはどのような違いがありますか？

一致条件によって、ルールがどのトラフィックに適用されるかが決まります。具体的には、オペレーティングシステム、ユーザーまたはグループ、エンドポイントの状態、および送信元場所またはIPアドレスなどです。アクションによって、一致したトラフィックに対してどのような処理が行われるかが決まります。具体的には、「許可」（さらなるルーティングの選択肢あり）か、「拒否」（トラフィックを即座に破棄）のいずれかです。

アクセスルールの順序はなぜ重要なのでしょうか？

アクセスルールは上から下へと評価され、最初に一致したルールによって結果が決まります。ルールの順序を変更して（先頭、末尾、または特定の位置で処理するように設定）、あるルールを移動させると、それより後に配置されたより広範なルールよりも先に、そのルールがどのトラフィックを捕捉するかが変わります。

クライアントベースのアクセスルールとクライアントレスなアクセスルールの違いは何ですか？

クライアントベースのアクセスルールは、ユーザーのデバイスにインストールされたVersa SASE クライアントからのトラフィックを管理し、オペレーティングシステム、ユーザー、およびエンドポイントの状態に基づいて照合を行います。クライアントレスアクセスルールは、クライアントソフトウェアを一切インストールせずに保護されたアプリケーションにアクセスするユーザーに対して、ブラウザベースのアクセスにも同様の「許可または拒否」モデルを適用します。

アクセスルールは、ユーザーの身元だけでなく、デバイスの状態に基づいて照合することは可能ですか？

はい。エンドポイントのポスチャ一致基準により、ルールでエンドポイント情報プロファイル、デバイスのコンプライアンス状況、またはエンティティのリスク帯を参照できるようになります。これにより、アクセスの可否を、アクセスを要求しているユーザーやその場所だけでなく、デバイスの現在のセキュリティ状態にも基づいて判断できるようになります。

アクセスルールのアクションが「拒否」の場合、トラフィックはどうなるのでしょうか？

このルールは、その条件に一致するすべてのトラフィックを即座に破棄します。また、ゲートウェイの選択やクライアント設定といった後の設定手順は、処理対象となる許可されたトラフィックが残っていないため、そのルールに関してはスキップされます。そのリクエストに対しては、それ以降のルールは評価されません。

アクセスルールに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

アクセスルールについてお読みなら、次はこれらもぜひチェックしてみてください。