Workspace ONE Webで社内Webシステムにセキュアにアクセス

Workspace ONE UEMではWorkspace ONE Webという、いわゆるセキュアブラウザが利用できます。

一般的なブラウザと同じように、普通のブラウジング目的で利用することも可能ですが、VMware Tunnel プロキシという社内システムへのゲートウェイ機能と組み合わせることで、社外ネットワークのデバイスに対しても社内ネットワークにしか公開していない(つまりインターネットからはアクセスできない)システムへのアクセスを提供することが可能です。

ただ、外部に公開していないシステムというのは外部に持ち出させたくないデータが保持されていたりするので、データ漏洩対策についての考慮が必要になると思います。

その点、セキュアブラウザは他のアプリへのファイル共有制限やテキストのコピー&ペーストのレベルで共有を制限できますし、アプリのデータストアも暗号化されているため、どこからでも社内システムを使わせつつデータ漏洩対策は万全！といった具合に、利便性とセキュリティを両立できる機能の一つだと思います。

ここでは、WS1 WebアプリでUAGのVMware Tunnelプロキシ機能を利用し、外部ネットワークから社内ネットワークのシステムへアクセスする、ということをやってみます。

まずはWorkspace ONE UEMの管理コンソールでVMware Tunnelプロキシを構成します。

すべての設定＞システム＞エンタープライズ統合＞VMware Tunnelプロキシ　と移動していき、VMware Tunnelを「有効」に変更後、「構成」をクリックします。

プロキシを「有効」に変更後、構成タイプを以下の2つから選択します。今回は「ベーシック」にします。

• ベーシック(1層構成)
• リレー - エンドポイント（2層構成）

VMware Tunnelプロキシサービスのホスト名とリレーポートを入力して、次へ進みます。

リレーポートは、要するにTunnelプロキシサービスが使用するポートのことです。

ここでは、サービスの通信に使用する証明書を設定します。公的認証局などから取得した証明書を使用することもできますし、WS1 UEMの内部認証局から発行されるものを使用することもできます。今回は「チェックなし」、つまり内部認証局のものを使用します。

ここでは、クライアント側に発行する証明書を選択します。ここでも内部認証局か公的認証局や自社認証局を選べます。今回は「既定」、つまり内部認証局を使用します。

アクセスログを取得するかしないか選択します。選択する場合はSyslogサーバの情報も併せて入力して次へ進み、最終的に保存します。

次にUAGサーバのVMware Tunnelの設定をします。

Webブラウザで「https://[UAGサーバのIPアドレス]:9443」にアクセスするとこんな感じのログイン画面が表示されるので、adminアカウントでログインします。

手動設定の方の「選択」をクリックします。

【補足】

既存のUAGから設定をエクスポートしておくと、設定のインポートの方でサクッとインポートして設定を復元できるので、バージョンアップ時などはこちらを利用したりします。

Edgeサービスの設定を表示すると、「トンネル設定」という項目があるので、ギアアイコンをクリックして設定を開きます。設定が開けたら各項目を入力して、保存します。

それぞれ簡単な説明をしておくと...

    -APIサーバURL　　　　　　　[https://asXXXX.awmdm.com]みたいな形式

    -APIサーバのユーザー名　　　WS1 UEMの管理者アカウント

    -APIサーバのパスワード　　　上記のパスワード

    -組織グループID　　　　　　  VMware Tunnelを構成した組織グループID

    -トンネルサーバのホスト名　　VMware Tunnel構成で指定したホスト名 

設定が正常に完了するとこんな感じでトンネル設定の左の○印が緑色になり、サービスが起動状態であること示します。

サーバ側の設定は以上で完了したので、今度はクライアント側、つまりWorkspace ONE Webの設定をしていきます。Workspace ONE Webには専用のSDKが組み込まれており、DLPなどの設定を行うことができます。

WS1 UEMの管理コンソールで すべての設定＞アプリ＞設定とポリシー＞セキュリティポリシー　に移動すると細かい設定がたくさん並んでいるので、その中でもTunnelプロキシを使用するにあたり必須の設定と、DLP周りの設定をかいつまんでみてみます。

まずは、AirWatch App Tunnelを「有効」にし、App Tunnelモードは「VMware Tunnel -プロキシ」にします。App Tunnel URLは、簡単に言うと「WS1 WebがUAGを経由してアクセスする宛先一覧」といった感じです。アクセスさせたいインターナルのWebアプリのドメインは基本ココに入れておきます。

今回は、社内ネットワークのドメインとIPアドレス範囲を入れておきます。

続いてDLP設定ですが、コピー&ペーストの制限や他のアプリへのファイル共有制限などができます。例えば下の画像の設定だと、コピー&ペーストが「WS1 Web ⇒ 他のアプリ」では禁止されますが、「他のアプリ ⇒ WS1 Web」は許可されています。

また、WS1 WebでダウンロードしたファイルはContentでしか開けないようにします。

最後に、Workspace ONE Webの配信設定をします。

すると、加入しているデバイスのカタログにWorkspace ONE Webが表示されるので、インストールします。

インストール後、社内ネットワークのWebアプリ（検証用のRedmineです）にアクセスしてみます。今回は視覚的にわかりやすくプライベートIPアドレスをURLに打ち込みアクセスしてみると、ページが表示されます。続けてページ内の文章をコピーし...

ビルトインのメモ帳アプリに貼り付けを実行すると、「WS1 Web⇒他のアプリ」へのペーストが禁止されているので、代わりに禁止されていることを示すメッセージが貼り付けられます。

クラウドサービスの利用もドンドン加速していっているとは思いますが、とはいえオンプレに残さざるをえないシステムもまだまだあると思います。一方で、働き方改革や昨今の社会情勢なども手伝い、リモートワークなどの必要性も増していっており、どこにいてもセキュアに社内システムを利用することができる仕組みを準備できる仕組みが求められますが、そんなニーズにも対応できそうな気がします。