WMIエージェントとは何ですか？

WMIエージェントは、Active Directoryドメイン内のWindowsデバイスにインストールされるVersa ソフトウェアです。このエージェントは、ADのログインおよびログオフイベントを監視し、それらをTLS経由でVMSサーバーに転送します。これにより、Secure SD-WAN デバイスにおいて、キャプティブポータルを必要とせずにパッシブユーザー認証が可能になります。

主なポイント

• Active Directory ドメイン内の Windows デバイスにインストールされています。
• TLSを介して、ADのログインおよびログオフイベントをVMSサーバーに転送します。
• キャプティブポータルを必要としない、パッシブ方式のユーザー認証を有効にします。
• Windows Server 2016上で、スタンドアロンとして、またはソフトウェアパッケージとして動作します。
• 監視対象を制御するためのグループおよびユーザーフィルターに対応しています。

このページの内容： その重要性 ・ 仕組み ・ WMIエージェントの展開モデル · WMIエージェントとVMS · よくある質問

WMIエージェントはなぜ重要なのでしょうか？

キャプティブポータルは、SD-WAN デバイスがネットワーク上のユーザーを特定するためのデフォルトの方法ですが、すべてのユーザーにログインページを表示させるため、支店ごとに、毎日、操作上の煩わしさが生じてしまいます。WMI エージェントは、ドメインに参加している Windows ユーザーに対して、この煩わしさを解消します。Active Directory がすでにログイン認証を行っているため、WMI エージェントはそのイベントを監視して中継することで、ユーザーに何の操作も求めずに、ネットワークが誰が接続しているかを把握できるようになります。

このパッシブ型モデルは、ポリシー適用における可視性のギャップも解消します。ユーザーとIPアドレスのリアルタイムな対応関係がなければ、Secure SD-WAN デバイスはIPアドレスまたはサブネット単位でのみポリシーを適用することしかできません。これは、ユーザーごとのファイアウォールポリシーやロールベースのアクセス制御といった、IDベースのルールを適用するには不十分な代替手段です。WMIエージェントは、ADイベントをVMSを経由してVOSデバイスにストリーミングすることで、各適用ポイントにポリシーを適用するためのユーザーIDを継続的に更新して提供し、支店規模でのキャプティブポータルの代わりとなります。

WMIエージェントとは何ですか？

WMIエージェントは、Active Directoryドメイン内に存在するWindows 10またはWindows Server 2016マシンに、スタンドアロンコンポーネントとして、あるいはソフトウェアパッケージとしてバンドルされてインストールされるWindows Management Instrumentation（WMI）クライアントです。ドメインの認証情報を設定すると、Active Directoryのログインおよびログオフ通知を購読し、それらをリアルタイムメッセージングサーバーへの増分更新として再公開します。

そのメッセージングサーバーとは、Versa Messaging Service（VMS）のことです。これは、WMIエージェントからのユーザーイベントを受信し、ポリシーを適用するためにそれらをVOSデバイスに配信するメッセージストリーミングプラットフォームです。通信は、証明書に基づく安全な接続を介して行われます。セットアップ前に、VMSサーバーで生成されたルートCA証明書がWindowsホストにインストールされ、その後クライアント証明書がインポートされるため、双方向のTLS認証が両端で完了します。

WMIエージェントの展開モデル

WMIエージェントは、Windows側において2つのインストール形態をサポートしています。1つは軽量なスタンドアロンクライアント、もう1つは既存のWindowsサーバーへのソフトウェアパッケージとしてのインストールです。いずれもWindows 10 ClientまたはWindows Server 2016上で動作し、FQDN、ポート、およびTLS設定が構成された1台以上のVMSサーバーに外部から接続します。

インストール後の設定は、3つの領域に及びます。Active Directoryの設定では、ドメイン、サービスアカウント、および接続が切断された場合にエージェントが使用する再接続間隔を定義します。管理者以外のアカウントについては、完全な管理者権限を付与するのではなく、イベントログの読み取りのみに権限を限定することができます。VMSの設定では、テナント名、ユーザーとIPアドレスのマッピングが有効期限切れになるまでの期間、および重複するログインイベントが無視されるまでの時間を定義します。 さらに、グループおよびユーザーフィルターを使用することで、監視対象を特定の Active Directory グループや個々のアカウントに絞り込むことができ、無関係なサービスアカウントや共有マシンによる不要なアラートが発生するのを防ぐことができます。フィールドごとの詳細な設定については、「WMI エージェントのインストールと設定」を参照してください。

WMIエージェントとVMS

WMIエージェントは、RADIUSアカウンティング、SCIM ID更新、脅威インテリジェンスフィードなどとともに、VMSがノースバウンドインターフェースを通じて取り込むいくつかの外部情報源の一つです。VMSは各情報源のデータを正規化し、サブスクライブされたVOSデバイスへサウスバウンドでストリーミングします。 この特定のパイプラインにおいて、WMIエージェントがデータを供給するのはVMSのサードパーティ認証サービスです。このサービスは、明示的なログイン手順を必要とせずにユーザーの身元を検証し、Secure SD-WAN デバイスがキャプティブポータルと同様にアイデンティティ認識型ポリシーを適用できるようにします。ただし、キャプティブポータル自体は一切表示されません。VMSクラスタの展開方法については「VMSのインストールと設定」を、テナントごとにサードパーティ認証やその他のVMSマイクロサービスを有効化および設定する方法については「VMSサービスの有効化と設定」を参照してください。

よくある質問

WMIエージェントは実際にはどのような役割を果たしているのでしょうか？

WMIエージェントは、Windowsデバイス上のActive Directoryのログインおよびログオフイベントを監視し、それらをVMSサーバーに転送します。その後、VMSはそのユーザー識別情報をVOSデバイスに配信し、VOSデバイスはその情報を利用して、ユーザーがキャプティブポータル経由でログインする必要なくポリシーを適用します。

WMIエージェントはどこにインストールされますか？

WMIエージェントは、Active Directoryドメイン内に存在するWindowsデバイス（スタンドアロンのWindows 10クライアント、またはソフトウェアパッケージとして実行されているWindows Server 2016ホスト）にインストールされます。ADサーバーとVMSサーバーの両方へのネットワーク接続が必要です。

WMIエージェントは、VMSに対してどのように認証を行うのですか？

WMIエージェントは、証明書ベースのTLSを使用します。エージェントのインストール前に、VMSサーバーで生成されたルートCA証明書がWindowsデバイスにインストールされ、その後、VMSからエクスポートされたクライアント証明書がエージェントにインポートされることで、接続のための相互認証が完了します。

WMIエージェントはキャプティブポータルに取って代わるものですか？

はい、ドメインに参加しているWindowsユーザーの場合です。Active Directoryがすでにログイン認証を行っているため、WMIエージェントはそのイベントをVMSを経由してVOSデバイスへ受動的に中継し、ユーザーをキャプティブポータルのログインページにリダイレクトしたり、ユーザーに追加の操作を求めたりすることなく、身元を確認します。

WMIエージェントが監視するユーザーやグループを指定することはできますか？

はい。WMIエージェントは、監視対象を特定のActive Directoryグループに限定する「グループフィルター」と、アカウント名に基づいて個々のアカウントを監視または無視する「ユーザーフィルター」をサポートしています。これらは、サービスアカウント、キオスクログイン、または共有マシンを、IDベースのポリシー適用から除外するのに役立ちます。

WMIエージェントの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

WMIエージェントについてお読みの方は、次に以下の内容もぜひご参照ください。