VMSとは何ですか？

Versa メッセージングサービス（VMS）は、Kubernetesを基盤としたスケーラブルなメッセージストリーミング・ヘッドエンドコンポーネントであり、外部ソースからのリアルタイムデータ（ユーザーIDイベント、脅威フィード、デバイスのリスクスコア、エンドポイントの状態など）を取り込み、Versa のデプロイメント全体にわたるVOSデバイスおよびSASE ゲートウェイに配信します。

主なポイント

• VMSは、Versa デバイス間で、身元、脅威、リスクに関するデータをリアルタイムで配信します。
• Kubernetes マイクロサービス上に構築されており、ノースバウンドおよびサウスバウンドのインターフェースを備えています。
• スタンドアロンまたはHAモードで展開され、プライマリノードとバックアップノード間でADCのフェイルオーバーが行われます。
• テナントごとに、Versa Director から VMS コネクタを介して完全に構成されます。
• SIM、SCIM、UEBA、サードパーティ認証、および脅威インテリジェンス向けに、SASE の機能を強化します。

このページの内容： その重要性 ・ 仕組み ・ VMSの導入モデル ・ VMSとVersaONE プラットフォーム · よくある質問

VMSはなぜ重要なのでしょうか？

最新のSASE やSD-WANの導入環境では、絶えず変化するデータに依存しています。たとえば、誰がログインしたか、デバイスが現在どのIPアドレスを使用しているか、脅威フィードで何がフラグ付けされたか、エンドポイントの現在のリスクレベルはどの程度か、といった情報です。Versa Directorがポリシーやデバイス設定に採用している「設定テンプレートのプッシュ」というモデルは、こうした用途には不向きです。これは意図的に設計され、バージョン管理されているものであり、継続的なデータストリームに対応するようには作られていないからです。VMSは、専用のリアルタイムデータプレーンとしてそのギャップを埋めます。これにより、VOSデバイス上のセキュリティ適用は、次の設定プッシュを待つことなく、IDやリスクの変化が発生したその瞬間に即座に対応できるようになります。

VMSが重要なのは、統合作業を一元化できる点にもあります。各VOSデバイスがActive Directory、RADIUSサーバー、Panorama、あるいはEDRプラットフォームに個別に接続するのではなく、VMSがこれらの外部ソースから一度データを取得し、正規化した上で、認証済みの通信チャネルを介して全環境に配信します。これにより、クライアントレスなサードパーティ認証、デバイスのリスクスコアリング、リアルタイムの脅威インテリジェンスといった機能が、大規模なデバイス環境においても実用的なものとなるのです。

VMSとは何ですか？

VMSは、Kubernetesベースのマイクロサービスクラスターとして動作し、2つの主要なインターフェースを備えています。ノースバウンドインターフェースは、Active Directoryを監視するWMIエージェント、RADIUSアカウンティングサーバー、SCIM IDプロバイダー、Panorama、脅威フィードソースといった外部ソースと接続し、それらのデータを正規化します。サウスバウンドインターフェースはgRPCチャネルであり、VOSブランチやSASE ゲートウェイがこのチャネルを介してデータを購読・ストリーミングするほか、ログや例外をVersa Analyticsに転送します。弾力性のある（フローティング）IPアドレスにより、クラスターノード間でノースバウンド側の負荷分散が行われます。

管理者はVMSをノード（ベアメタル、またはAWS、VMware、KVM用のVMイメージ）としてインストールし、その後、次の2か所で設定を行います。1つはローカルで、 vsh CLIは、Kubernetesのコントロールプレーンと証明書をセットアップし、さらに Versa Director
、ここではVMSコネクタがクラスタとテナントおよびサービスを結びつけています。

VMSの導入モデル

VMSには2つの構成形態があります。「スタンドアロン」は、単一のVMSクラスターとコントロールプレーンノードで構成され、ラボ環境や小規模な環境に適しています。「高可用性（HA）」は、プライマリVMSクラスターとセカンダリVMSクラスターを組み合わせた構成で、多くの場合、プライマリデータセンターと災害復旧拠点に分散配置されます。VOSデバイスは、アプリケーションデリバリーコントローラー（ADC）を介してアクティブなノードに接続します。ADCは両方のクラスターの稼働状況を監視し、フェイルオーバー時にはサウスバウンドのgRPCセッションをリダイレクトします。

いずれの構成においても、VMSの機能はモジュール式になっています。SASE （SIM、SCIM、サードパーティ認証、UEBA）、VOSアグリゲーター、XIP EIP（Panorama HIPからEIPへの変換）、脅威インテリジェンス、Kafka MirrorMaker、ASC、デバイスリスクスコア（DRS）といった各サービスは、Director内のVMSコネクタから、テナントごとに個別に有効化されます。

VMS および「VersaONE 」プラットフォーム

VMSは、Director、Controller、Analytics、Concertoと並ぶヘッドエンドコンポーネントであり、それぞれが担う異なる機能に依存しています。Versa Directorでは、管理者がVMSコネクタを作成し、テナントを登録し、サービスの有効化や無効化を行います。Versa Concertoは、SIMおよびSCIM向けのSASE など、VMSが基盤となるサービスのユーザーおよびグループのオーケストレーションを処理します。Controllerは、ADCおよびVOSデバイスをVMSに接続するサウスバウンドgRPCセッションを処理し、Versa Analyticsは、レポート作成やトラブルシューティングのために、VMSからの起動、停止、および例外ログを受信します。

サービスのエンドツーエンドでの有効化（たとえば、サードパーティ認証やSIM向けのSASE など）には、これらすべてが関係します。具体的には、Director上のコネクタ、VOSデバイス上のメッセージングサーバープロファイル、そして多くの場合、HAフェイルオーバーのためのADC設定です。詳細については、Versaの「HAベースのVMS導入ガイダンス」を参照してください。

よくある質問

VMSはどのような外部データソースと連携していますか？

VMSは、Active Directory（WMIエージェント経由）、RADIUSアカウンティングサーバー、SCIM IDプロバイダー、Palo Alto Panorama、Kafkaブローカー、および脅威インテリジェンスフィードからデータを取り込みます。各ソースのデータを正規化し、サブスクライブされているVOSデバイスやその他のVersa コンポーネントに再配信します。

VMSはVOSデバイスとどのように通信するのですか？

VOSデバイスとSASE ゲートウェイは、VMSのサウスバウンドインターフェースに対して長期にわたるgRPC接続を確立し、1つ以上のサービスを購読します。デバイスが更新情報をポーリングするのではなく、基盤となるデータが変更されると、VMSがそのチャネルを介して更新情報をプッシュします。

第三者認証において、VMSはどのような役割を果たすのでしょうか？

VMS を使用すると、Secure SD-WAN の CPE デバイスは、キャプティブポータルを使用せずにユーザーの身元を確認できます。Active Directory を監視する WMI エージェントが、ログインおよびログオフのイベントを VMS に通知し、VMS はその結果として得られたユーザーと IP アドレスの対応関係を、登録済みのすべての VOS デバイスに配信します。

VMSは高可用性を実現するためにどのように導入されるのですか？

HA VMSの導入環境では、プライマリクラスタとセカンダリクラスタが、通常は別々のデータセンターで稼働しており、それぞれに独自のコントロールプレーンノードと同期された証明書が割り当てられています。VOSデバイスは、両方のクラスタに対してヘルスプローブを実行するADCを介して接続され、プライマリクラスタに到達できなくなった場合には、アクティブなセッションをフェイルオーバーします。

VMSを通じてどのサービスを有効化できますか？

テナントごとに、DirectorのVMSコネクタにより、SASE のSIM、SCIM、サードパーティ認証、UEBA、VOSアグリゲーター、XIP EIP、脅威インテリジェンス、Kafka MirrorMaker、ASC、およびデバイスリスクスコアを有効化できます。これらはそれぞれ個別に設定および有効化・無効化が可能です。

VMSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

VMSについてお読みになっているなら、次はこれらもぜひチェックしてみてください。