アプリケーションごとの認証ポリシー

以前コンディショナルアクセスについて触れました（こちら）が、Workspace ONE Accessではアプリケーションごとに認証ポリシーを定義することができます。

例えば、センシティブなデータを扱うWebアプリへのアクセスは社内NWからのアクセスに制限したい...なんていう場合は社内NW以外からアクセスは認証しない！といったことや、仮想デスクトップの利用時はワンタイムパスワードを必須にして認証を1段階強力にする、なんてこともできます。

今回は、Workspace ONE Accessのアプリカタログへのアクセス時はシンプルなパスワード認証のみでログインを許可し、カタログからOffice 365を起動する時、つまりOffice 365へのログイン時はパスワード認証に加えて証明書認証を要求する、一方でServiceNowへの利用は社内ネットワークからのアクセスに限定するかわりにパスワード認証のみにする、なんてことをやってみます。

前提として、使用するデバイスはWindows 10、利用するサービスはWorkspace ONE Accessと何らかの形で認証連携している状態としています。

まずは、Workspace ONE Accessへのログイン時のポリシーを設定します。

管理コンソールにログインして、IDとアクセス管理＞ポリシー　に移動して、「デフォルトポリシーの編集」をクリックします。

【補足】

基本的にアプリごとにポリシーを割り当てられますが、Workspace ONE Accessへのログイン時に適用されるポリシーは「デフォルトポリシー」に固定され、変更できません。

ポリシールールに「Windows 10デバイスからのアクセスの場合、ID/パスワードで認証する」というルールを組み込み、ルールの先頭に置き、保存します。

これで、Windows 10デバイスはパスワード認証のみでWorkspace ONE Accessのカタログポータルにログインできるようになったので、次にOffice 365のログイン時のポリシーを作成します。前述のようにOffice 365はパスワード認証＋証明書認証という構成にします。

証明書認証は、Workspace ONE UEMの内部認証局から発行したクライアント証明書を利用することで、管理下のデバイスのみにアクセスを許可する、という構成にしておきます。

まずは、Workspace ONE Access上にOffice 365用の認証ポリシーを作成します。

IDとアクセス管理＞ポリシー　の画面で「ポリシーを追加」をクリックします。

ポリシー名に任意の値を入力後、「適用先」でOffice 365を選択し、次へ進みます。

ポリシールールは「Windows 10デバイスからのアクセスの場合、パスワード認証＋証明書認証を要求する」ように定義して、保存します。

最後に、ServiceNow用の認証ポリシーを作成します。

再度、ポリシーを追加し、今度はServiceNowに割り当てます。

ServiceNowのポリシールールは、まずは「社内ネットワークからのアクセスはパスワード認証のみとする」というポリシーを作成します。社内ネットワークからのアクセスの場合は信頼された接続元である、という前提の元パスワードのみでアクセスを許可するという感じです。

そして、ServiceNowの場合はもう一つ仕掛けを入れておきます。

社内ネットワーク以外からはアクセスさせたくないので、「すべてのネットワークからのアクセスの場合、アクセスを拒否する」というポリシーを作成し...

ポリシー内の順序を「①社内ネットワークからのアクセス」「②すべてのネットワークからのアクセス」という感じにします。こうすることで、社内ネットワークからのアクセスの場合は①のポリシーが適用され、それ以外からのアクセスの場合は②が適用される、という構成にすることができます。

ここまでで、Workspace ONE Accessの構成は完了したので、まずは、Workspace ONE UEM加入済みのWindows 10デバイスを使用して、社外ネットワーク（例えば自宅のWi-Fiなど）に接続した状態で実際に動作を見てみます。

Workspace ONE Accessテナントへアクセスし、ID/パスワードを入力してログインすると...

追加の認証無しで、ログインが完了します。

次にカタログから、Office 365を起動すると...

ここで証明書の提示を求められるので、「OK」をクリックします。

Workspace ONE UEMに加入済みのデバイスは正しい証明書を持っているため、Office 365へのログインも正常に完了します。また、Office 365についは接続元のネットワークによる制限も行っていないため、自宅のWi-Fiからでもアクセスができています。

同様に、カタログからServiceNowを起動してみます。

こちらは、社内ネットワークからのアクセスではないため、アクセスが拒否されます。

次に、ネットワークは先ほどと同じく社外ネットワークから、Workspace ONE UEMに加入していないデバイス（例えば私用PCなどですね）から同様に一連のことをやってみます。

先ほどと同じユーザーでWorkspace ONE Accessにログインすると...

Workspace ONE Accessのポータルにはログインができました。

ただし今回の場合、Office 365を起動すると...

認証が失敗しました。

Workspace ONE UEMに加入していない＝証明書を持っていないのでOffice 365は利用できないというワケですね。社外ネットワークからのアクセスなのでServiceNowについても当然認証に失敗します。

最後に、今度は社内ネットワークから、Workspace ONE UEMに加入していないデバイスで同様のことを実施します。ユーザーは同じです。

Workspace ONE Accessのカタログにはログインができますが、社内ネットワークからのアクセスではあるものの証明書は持っていないため、Office 365を起動すると...

アクセスが拒否されます。

ServiceNowについては社内ネットワークからのアクセスを許可していますので、ServiceNowを起動してみます。

今回は社内NWからアクセスしているので、ServiceNowにはログインができました！

こんな感じで、アプリケーションのごとに柔軟にアクセスポリシーを定義することにより、コンディショナルアクセスが実現できるというワケです。