概要
非公開アクセスにより、アプリケーション環境をネットワークにオンランプすることなく、ユーザーから非公開アプリケーションへのアクセスを提供できます。 アクセスは Catoクラウドを通じて仲介され、認証されたユーザーのアイデンティティとポリシーに基づいてPoPで施行されます。 非公開アプリケーションは明示的に定義され、承認されていない限りアクセスできません。
この記事では、Cato プライベートアクセスを設定するための管理用ワークフロー全体を説明します。 アプリケーション環境にアプリコネクタを展開し、次に非公開アプリを設定し、非公開アクセスポリシーを定義してアプリケーションへのアクセスを管理します。
詳細は What Is Cato Private Access? を参照してください
前提条件
プライベートアクセスを設定する前に、アカウントがユーザー認証のためのアイデンティティプロバイダー (IdP) を利用していることを確認してください。 プライベートアクセスには認証されたユーザーのアイデンティティが必要であり、認証されていないユーザーは非公開アプリケーションにアクセスできません。
詳細は アイデンティティプロバイダーと認証 の記事を参照してください。
プライベートアクセス設定ワークフロー
Cato プライベートアクセスサービスでは、アプリコネクタがアプリケーション環境への接続を提供し、プライベートアプリが公開内容を定義し、プライベートアクセスポリシーが誰がアクセスできるかを定義します。
これはプライベートアクセスの設定における上位管理ワークフローです：
アプリコネクタを展開し、アプリコネクタグループに割り当てます。
プライベートアプリの設定を行います。
プライベートアクセスポリシーのアクセスルールを定義します。
アプリコネクタを展開する
アプリコネクタは Cato クラウドと非公開アプリケーションをホストする環境との間の安全な接続を提供します。 各アプリコネクタは、Cato クラウドへのアウトバウンド専用のDTLSトンネルを確立し、PoPによって承認されたセッションのみを転送します。
プライベートアプリはアプリコネクタグループに接続され、PoPはそのグループ内で使用可能な最良のコネクタに承認されたセッションを仲介します。
ベストプラクティス: アプリケーションを公開する前にアプリコネクタを展開してください。
詳細は Working with App Connectors を参照してください
アプリコネクタを設定する
アプリケーションが保護されているネットワーク環境でアプリコネクタを展開します。 アプリケーションがホストされている場所に応じて、コネクタは物理データセンターまたはパブリッククラウド環境で展開できます。
サポートされているアプリコネクタのタイプは以下のとおりです：
アプリコネクタをグループに割り当てる
アプリコネクタは、Cato クラウドとプライベートアプリケーション環境を接続する Cato のコンポーネントです。 コネクタをアプリコネクタグループに割り当てることで、プライベートアプリは単一のコネクタに依存するのではなく、グループを接続パスとして利用することができます。
このデザインはレジリエンシーと運用の柔軟性を改善します。同じグループの複数のコネクタがアプリケーションへのアクセスを提供するためです。 コネクタが利用できなくなった場合、アプリケーションは同じグループ内の他の利用可能なコネクタを使用できます
コネクタステータスを確認する
アプリコネクタグループには、アプリケーション環境への接続を提供するコネクタが含まれていることを確認してください。 Cato 管理アプリケーションのアプリコネクタページでは、各コネクタの状態のほか、個別のポートの接続状況も表示されます。
非公開アプリケーション
プライベートアプリは、内部アプリケーション、公開されたアプリケーションドメイン、およびアプリコネクタグループを定義する CMA オブジェクトです。
詳細は 非公開アプリケーションの設定 を参照してください。
プライベートアプリの主要コンポーネント
アプリ設定 では、内部アプリケーションのアドレスとアプリケーションのサービス/ポート項目を定義します 内部アプリケーションアドレスはプライベート環境でアプリケーションを識別し、サービス/ポート項目はアプリケーションに許可されているプロトコルとポートを定義します。
公開設定 では、公開されたアプリケーションドメインとアプリコネクタグループを定義します。 公開されたアプリケーションドメインは、ユーザーがアプリケーションにアクセスするために使用するドメインであり、アプリコネクタグループはアプリケーション環境への接続パスを提供します。
プロービング はアプリケーションの可用性を監視します。 これは設定されたパスを通じてアプリケーションが到達可能かどうかを確認し、アプリケーションステータスの可視性を提供します。
内部アプリアドレスおよび公開アプリアドレス
2つの設定がアクセスフローの異なる部分を定義します：
内部アプリアドレス: 非公開環境内のアプリケーションの内部アドレス。 Cato はこのアドレスを DNS 解決に使用し、アプリケーションへのトラフィックを誘導します。
公開されているアプリアドメイン: ユーザーがアプリケーションにアクセスするために使用するドメイン名。
プライベートアクセスポリシー
プライベートアクセスポリシーは、公開された非公開アプリケーションにアクセスできるユーザーまたはグループを制御します。 ポリシーは、アプリケーション環境にセッションが仲介される前に PoP で評価されます。 これは順序付けられたルールベースであり、最高優先度の一致するルールのみがアクセスを許可またはブロックするために適用されます。
各ルールは関連するユーザーまたはグループ、オプションの条件、および選択したプライベートアプリを評価してアクセスが許可またはブロックされるかを決定します。
詳細は プライベートアクセスポリシーの設定 を参照してください。
プライベートアクセスポリシーの主要コンポーネント
ユーザー/グループ はアプリケーションにアクセスする許可のあるユーザーとグループを定義します
条件 の設定は、アプリケーションへのユーザーアクセスのオプション条件を定義します これにより管理者は、例えば有効なアンチウイルスソリューションを持つデバイスのみが接続できるような、コンテキストベースの制御を追加できます。
非公開アプリ の設定は、ユーザーがアクセスできる非公開アプリケーションの範囲を定義します
プライベートアクセスポリシーのベストプラクティス
必要なアイデンティティに ユーザー / ユーザーグループ をスコープしてください
ユーザーがアクセスするために必要な 非公開アプリ のみを選択します