Tweet

LAN Shieldコントローラ導入で運用負荷を軽減

「異動してもアカウントが発行されるまで暇」をなくしたJBCC

2007/12/06

　日本ビジネスコンピューター（JBCC）は12月6日、グループ企業のインフラ統合に合わせて、米コンセントリーネットワークスが開発したNACアプライアンス製品「LAN Shieldコントローラ CS2400シリーズ」を導入したことを発表した。

　LAN Shieldコントローラは、端末のセキュリティ状態を検査し、その結果に応じて適切なアクセス制御を施すNAC（ネットワーク アクセス コントロール）を実現するセキュリティ製品だ。クライアント側に専用エージェントなどを導入する必要がないこと、いったん認証をすませ、LANに接続した後もチェックを行い、ポリシーに反するアクションを警告できることなどが特徴だ。代理店の日商エレクトロニクスでは、「NACは、サプリカントの導入などが必要で敷居が高いと思われがちだが、LAN Shieldコントローラはシンプルに導入できる」（エンタープライズ事業本部 榎本瑞樹氏）と述べている。

　JBCCでは2006年より、災害対策やセキュリティ強化を目的としてシステムを統合し、グループ11社全体が利用する共通インフラを構築してきた。全国各地に散在していた約300台のサーバを、2段階に分け、1つのデータセンターに統合した。これにともない、セキュリティ対策も、1カ所で実施する仕組みを整えた。

JBCC 先進技術 Linuxセンター ジェネラルマネージャの浜口昌也氏

　「全国どこの事業所からでも仕事を行えるようにしながら、A社のリソースにはA社の社員のみがアクセスできる仕組みを実現したかったが、（従来のように）分散した形ではこれは困難。データセンターの入り口で認証を行い、それに応じて必要なリソースのみにアクセスできる仕組みを1つのポリシーの下で実現したかった」（JBCCの先進技術 Linuxセンター、ジェネラルマネージャの浜口昌也氏）

　新システムでは、集約したNotesサーバやファイルサーバ群の手前に、認証DHCPサーバとLAN Shieldコントローラを配置し、アクセス制御を実現している。まず、DCHPサーバでMACアドレスを基に機器認証を行い、IPアドレスを配布する。次に、1つ目のLAN Shieldコントローラで、IPアドレスが正しく配布されたものかを検証する仕組みだ。

　「セキュリティに対する要求は強まっており、ACLだけでは不十分で、物理セキュリティ対策も求められた。そこで、IPアドレスが本当にDHCPサーバが配ったものなのか、手入力によってなりすましされていないかをチェックするため、LAN Shieldコントローラを2台直列に配置することにした」（浜口氏）

　こうして持ち込み許可を得ていない端末を排除した上で、Active Directoryのドメイン認証を実施。その結果に基づいて、2台目のLAN Shieldコントローラでアクセスコントロールを実施している。中には、ほかのグループ企業にまたがってプロジェクトを兼任する部署もあるため、部署単位で制御を掛けている。同時に、顧客などの来客向けに、インターネットへの接続のみを許可するゲストアクセスサービスも実現した。

　LAN Shieldコントローラは4月の導入決定から2カ月ほどで動きだし、現在、グループ約2300人のうち、約1500人が利用している。「いったん4カ所に集約したドメインコントローラを数日ずつかけて移行したが、おそらく利用している社員の方は、移行があったことに気付いていないのでは」（浜口氏）

　アクセスコントロールの状況は、運用監視コンソールを通じて把握している。それも「一般に運用監視というとエラーを見つけ出すことがメインの仕事だが、我々は、ちゃんとDHCP認証やACLが動いているかというヘルスチェックを実施している」と浜口氏は述べた。今後は、蓄積されていくログをどのようにまとめ、レポートの形として見せていくかがポイントだという。

　JBCCグループではLAN Shieldコントローラの導入により、あちこちに分散していた複数のセキュリティ機構を統合し、手続きを自動化することができた。複数の機器やアプライアンスを管理する手間を省けた効果に加え、次のようなメリットも生まれたという。

　「従来は、1つのアカウントが利用可能になるまで、あちこちの担当者に依頼し、受け渡しするステップが必要だった。誰か新しい人が異動してきても、システムが使えるようになるまで1週間程度はかかっていたものが、ほとんど自動化できた。（アカウント処理に関する）人の間の行き違いもなくなる上、運用担当者が本来の仕事に専念できるという効果があった」（同氏）