ソリューションブリーフ

アプリケーションアクセス管理（AAM）
認証管理の強化、効率化、および統合認証はオンライン通信に不可欠なものです。クライアントとその通信相手の両者がお互いの身元を確認できる必要があります。E コマースの電子決済から、遠隔地間での医療診断、政府間の外交声明にいたるまで、ますます多くの遠隔やり取りが公衆のインターネットを介して行われる中で、当事者の身元確認は必須となっています。その一方で、大量のセッションが同時に発生すると、ネットワークやセキュリティのインフラストラクチャーが対応しきれなくなります。

このため、当事者の身元を保証できること、エンドユーザーの使い勝手を高めること、強化されたデータセンターセキュリティの高まるニーズに応えるための拡張性という条件を備えたシステムを確立する必要があります。

認証に関する課題

組織はデータセンターのリソース保護の複雑さを解決する一方で、データ漏えいを防止する必要があります。内部や外部の Web ベースアクセスからクラウドサービス、BYOD（私物デバ課題

外部クライアントから Web ポータル、内部の機密リソース、およびモバイル /BYOD ア

プリケーションへのアクセス実現。ユーザーに意識させることのない、認証によるセキュリティ確保

ソリューション

A10ネットワークスのAAMモジュールにより、IT 管理者は認証オフロードソリューションを導入可能。このソリューションは、A10 Thunder

イスの業務利用）、およびソーシャルネットワークに至る現在進行中の移行の流れによって、管理アプライアンス内に完全に統合されている

そして顧客やベンダーは、今ではますます多様化するアプリケーションに任意の場所から任意容易な導入を実現

者が IT セキュリティを監視する方法は大幅に難しくなりました。しかし従業員やパートナー、のデバイスを使用して安全にアクセスできることを求めています。多くの場合、これらは Oracle、SAP、SharePoint、Exchange などのミッションクリティカルなビジネスアプリケーションです。

これらのアプリケーション資産への安全なリモートアクセスを可能にするには、厳格なネットワーク設計とセキュリティポリシーの強化が必要です。

アプリケーションサーバーなどのリソースを不正なアクセスから保護するには、組織は強力な認証を必要とします。このためには、ID ベースのアクセス制御を導入する必要があります。

ID とアクセスの管理（IAM）
ソリューションは、この必要なリソースの保護をサポートする一方で、規制の順守を保証します。この中核的な技術は、個別のクライアントにアクセスを許可すべきかどうかを判断するために使用されます。これらのソリューションは、カスタムのおよび標準化された内部アプリケーションとSaaS（Software-as-a-Service）アプリケーションもサポートしている必要があります。このようなソリューションを導入することは簡単ではなく、これらのソリューションを相互運用するには複数の要素が必要です。

IAM ツールの導入は、パズルのような認証ソリューションの一部分に過ぎません。このようなソリューションによって、エンドユーザーが過剰なネットワークリソースを消費しているのか、禁止されたプロトコルを実行してネットワークを誤用しているのか、または不適切な Web サイトにアクセスしているのかどうかが判別されます。しかし、このような複雑な処理タスクは大きな負荷をもたらす可能性があるため、これらのタスクを円滑に拡張することはできません。
内部アプリケーションやエッジベースアプリケーションなど、数千に上る可能性のあるアプリケーションを対象にした認証を用意して構成することは、多大な労力を要する作業となる場合があります。IAM ツールは、それら自体が悪意のあるハッカー攻撃のターゲットとなる可能性があるため、保護される必要があります。継続的なアップタイムを保証する必要があるとともに、IAMリソースを将来のニーズに合わせて簡単に拡張できる必要があります。さらに、ユーザーの利便性を高めるためにはシングルサインオン（SSO）をサポートする必要があります。

© 2024 A10 Networks, Inc. All rights reserved.

ため、一元化されたポリシーアクセス管理と利点• WebサーバーやAAAサーバーを認証処理の負荷から解放• 複数の認証ポイントを統合して管理を簡易化• 一般的な基本認証サービスとフォーム
ベース認証サービスをサポート• OCSPによってクライアント証明書を検証することでセキュリティを強化• SAML 2.0に対応したシングルサインオン• サーバーロードバランシングによりアップタイムを最大化しキャパシティを拡張• 複数の保護レイヤーによってサーバーイン
フラストラクチャーを保護アプリケーションアクセス管理（AAM） | SOLUTION BRIEF

AAAサーバー

1 クライアントからのアクセス要求

2

2 AAMは認証チャレンジをOCSPレスポンダー

1提供する

3 AAMは認証要求を認証サーバーに転送する

Kerberos

3

AAM

4

4 認証サーバーは承認または拒否の結果をAAMに返す

LDAP

5

5 AAMは内部サーバーへRADIUSのアクセスを許可または拒否する
アプリケーションサーバーSAML図1：RSAとA10による最適化された透過的なクライアント認証

A10 ネットワークスの AAMソリューション：認証の一元化と保護アプリケーションアクセス管理（AAM）モジュールを備えた A10 ネット

ワークスの A10 Thunder シリーズは、クライアント/ サーバー間トラフィックに対する認証と承認を最適化して適用するための容易に導入可能なソリューションを提供します。AAM 機能は認証サーバー、ID デー

タストア、およびアプリケーションとシームレスに統合して、ユーザーを認証してアクセス権限を適用します。AAM によって、A10 Thunderシリーズは Webサービスに対するエッジ認証ポイントとして機能します。

適化するためのもう1 つの手段に過ぎません。図 1 は、A10 の AAMソリューションを既存の環境に簡単に統合する方法を示しています。Web

ポータルへのアクセスであっても、オンライン財務取引などの機密用途、または内部ユーザーの認証が不要な可能性のある内部資産への外部アクセスであっても、この 5 段階のプロセスはシンプルなままです。

機能と利点

A10 の AAMソリューションは、A10 ネットワークスの Thunder シリーズ用
OS Advanced Core Operating System（ACOS®）に含まれており、幅広い機能を使用して認証システムを最適化します。AAM は、インストール多大な計算能力を必要とする多くの処理から IAM を解放することで、と構成のプロセスを効率化、設備コストと運用コストの削減、サーバー

SSO や Online Certiﬁcate Status Protocol（OCSP）を含むすべての主なるセキュリティレイヤーの追加、そしてシンプルなログインプロセスのこれらのようなツールは大幅に拡張されます。AAM は、SAML ベースの要な認証スキームをサポートしているため、証明書ベースの認証によってモバイルデバイスおよびコンピュータのシームレスなサインオンが可能になります。既存のインフラストラクチャー内の複数の構成を変更する必要はありません。

AAM のシームレスな導入のアップタイム最大化、すべての主要な認証スキームのサポート、さら実現により、これらのセキュリティの課題を解決します。

ネットワークの簡素化とコストの削減• 認証の簡素化と統合

AAM テクノロジーを使用すると認証を一元管理することが可能なため、各 Web サーバー上に個別の認証ポイントを維持する必要がな

A10 Thunder シリーズには統合された AAM 機能が搭載されており、くなります。複数の認証ポイントを統合することで、相互運用性と統と同じ場所に簡単に導入できます。A10 Thunder シリーズはアプリケーから捉えることができるようになります。この統合によって管理が効供し、これらのアプライアンスは、ネットワークの深部にあるWeb サー

るSSL 証明書の数が減少することで、A10 Thunder シリーズの投資データセンター内でこれらのアプライアンスが提供する他の豊富な機能
ションの可用性、セキュリティ、および高速化のための多くの機能を提バー、アプリケーションサーバー、およびデータベースサーバーの近くに配置されます。AAM は、アプリケーションインフラストラクチャーを最2© 2024 A10 Networks, Inc. All rights reserved.

合の問題が軽減されて、認証のポリシーとイベントを全社的な観点率化されるだけでなく、運用コストが削減されて、購入する必要のあ収益率（ROI）が高まります。

アプリケーションアクセス管理（AAM） | SOLUTION BRIEF• 時間のかかるアプリケーション統合を不要に組織全体のすべての Web アプリケーションについてクライアント認証スキームをセットアップするには、コストがかかり長期にわたるWebサイトの更新が必要になります。A10 Thunder シリーズを利用して認証を行うことで、組織はアプリケーションコードの変更を回避できます。

ユーザーの利便性の向上• SAML によるシングルサインオン

AAM は SSO を実現するための SAML（ Security Assertion MarkupLanguage）をサポートしているため、ユーザーは 1 度認証されれば追加の認証なしで複数のアプリケーションとサービスにアクセスできさらに、IT 管理者が将来的に認証サーバーの置き換えを希望しています。A10 Thunder シリーズはサービスプロバイダーとして機能して、A10 Thunder シリーズの認証設定を更新するだけで済みます。

SAML 2.0 ベース準拠 IDプロバイダーと相互運用可能であることがる場合は、すべてのアプリケーションを再コーディングする代わりにサーバーの可用性を保証• 認証サーバーのロードバランシングでアップタイムと規模を最大化

A10 Thunder シリーズは認証サーバーへの要求をロードバランシングして高可用性を実現できます。サーバーのヘルスチェックによって、認証と承認をIdP の AAA サーバーに委任します。AAM は、複数の実証されています。

• SSO のための認証リレー

フォームベースのリレーによって、AAMはログインフォームに入力する機能をサポートしており、入力されたログインフォームは、A10 アプラ認証サーバーが稼働しており正常に応答することが確認されます。

イアンス上のユーザー認証情報キャッシュ内の情報を使用して AAA求を稼働中のサーバーに転送します。

ルサインオンが可能になります。ユーザー認証情報は ADC アプライ

サーバーで障害が発生した場合は、A10 Thunder シリーズは認証要• Web サーバーと認証サーバーの負荷を軽減

認証処理には大きな負荷がかかるため、複数のサーバーが使用されている場合は、管理がより複雑になります。AAM は Web サーバーの負荷を軽減することで効率性を高めます。A10 Thunder シリーズは認証チャレンジをエンドユーザーに送信して、認証情報をAAA サーバーに転送して、承認された場合は、要求されたアプリケーションへのアクセスを許可します。

幅広い認証標準のサポート• 幅広い認証スキームを容易にサポート

AAM がサポートしている一般的な認証サーバープロトコルとしては、
LDAP（Lightweight Directory Access Protocol）、RADIUS、RSASecurID、TDS SQL、Kerberos、クライアント証明書認証などが挙げられます。A10 Thunder シリーズは、OCSPレスポンダーに接続してクライアント証明書ステータスを確認できるとともに、MicrosoftActive Directory（ AD）サーバーに接続して SharePoint とOutlookサーバーに渡されます。この機能によって、クライアント側でシングアンス上にローカルにキャッシュされ、新たな要求のためにクライアントが再認証されるときはこのキャッシュされた認証情報が使用されるため、それ以降に認証情報を再入力する必要はありません。

このキャッシュはパーティションとVIP に対応しています。

複数の認証方式で実証された相互運用性
認証ログオンHTMLフォームベース認証では、シンプルな HTTP/HTTPS 要求を使用して、クライアントに対してアクセスに必要な認証情報（通常はユーザー名とパスワード）が求められます。認証のプロセスは次のとおりです。

• エンドユーザーは HTTP アクセス要求をサーバーに送信します。

• A10 Thunder シリーズは認証を行うための認証チャレンジ（WWWAuthenticate ヘッダー）をエンドユーザーに送信します。

• フォームベースの認証を行うため、エンドユーザーのブラウザーにログイン画面が表示されて、ユーザー名とパスワードの入力が求められます。

Web Access のユーザーを認証できます。AAM は、フォームベースの• 入 力 が 完 了 すると、ユ ー ザ ー の 認 証 情 報 が 含 ま れ た 要 求 がにわたる柔軟な認証導入を可能にします。追加の認証リレーのための• A10 アプライアンスはこの認証情報を認証サーバーに転送して、ログイン認証とHTTP 基本認証の両方を管理できるため、組織全体従来の Windows NT LAN Manager もサポートされています。

認証インフラストラクチャーのセキュリティ• サーバーインフラストラクチャーを保護

AAM は Web サーバーと認証サーバーに対する追加の防御レイヤーを提供します。AAM はすべての認証要求を代理送信することで、認証サーバーが直接の攻撃ターゲットになることを防止します。AAM は、許可されたユーザーのみにアクセスを許可することで Web 攻撃の攻撃対象領域を縮小します。したがって、攻撃者はパスワードで保護されたアプリケーションにアクセスできないため、Web 攻撃を実行したりデータを盗んだりできません。事前認証がサポートされているため、複数の構成を変更することなく内部システムに安全にアクセスすることが可能になります。

A10 Thunder シリーズアプライアンスに送信されます。

エンドユーザー側で意識されない形で認証情報が確認されます。

• 認証に成功すると、認証サーバーからA10 Thunder シリーズに成功を通知するメッセージが送信されます。

• A10 Thunder シリーズは要求されたアプリケーションへのアクセスをエンドユーザーに許可します。

SAML 2.0 ベースの認証

有力な標準として登場した SAML 2.0 によって、セキュリティドメイン間で認証と承認の情報を安全に受け渡すことが可能です。このプロトコルは、認証と承認のデータをIdPとサービスプロバイダーの間で交換するためのXML ベースのオープンスタンダードです。SAML 2.0 は、異なるサイトからであっても、すでに認証済みのクライアントに対して Cookie を利用することでシングルサインオンを実現します。A10 Thunder シリーズは、サービスプロバイダー側で開始された認証とIdP 側で開始された認© 2024 A10 Networks, Inc. All rights reserved.

3

アプリケーションアクセス管理（AAM） | SOLUTION BRIEF

アプリケーションアクセス管理機能
認証方式• HTTP 認証（基本、NTLM/Kerberos ネゴシエート）• カスタム Webフォーム• オプションの OCSPレスポンダーによる証明書認証• SAML 2.0 サービスプロバイダー‒ SAML lite のサポート‒ IDプロバイダー（IdP）のサポート‒ サービスプロバイダーのサポート

認証リレー• 基本 HTTP• Kerberos 認証‒ シングルサインオン‒ Kerberos の制約付き委任（KCD）‒ Kerberos プロトコル変換（KPT）• NTLM• WS-Federation• フォームベースリレー（Exchange OWA など）または SharePoint‒ バインディングのサポート：リダイレクト、ポスト、状態監視‒ 認証要求、アーティファクトの解決、SSO のサポート• RADIUS

アーティファクト、SOAP

認証サーバーのサポート• LDAP• Kerberos• LDAP v2/v3

負荷分散• RADIUS• RADIUS• Windows Integrated Authentication（WIA）‒ RSA SecurID および Entrust IdentityGuard 認証エンジンのサポート‒ パスコード認証‒ 次のトークン / 新規ピンモード• Entrust IdentityGuard• Kerberos V5• NTLM v2 または v1• SAML 2.0 IdP• OCSP（Online Certificate Status Protocol）‒ シングルサーバーまたはマルチサーバー認証のサポート• LDAP• OCSP• Windows 認証サーバー

承認ポリシー• ユーザーの承認ポリシーを規定するための承認ポリシーのサ
ポート• aFleX ベース承認のサポート• SAML ユーザー承認‒ SAML 属性ステートメント認証のサポート‒ LDAP/RADIUS サーバー認証による SAML 認証‒ OCSP ステープリングのサポート

認証ログ

Directory サポート

• 設定可能な認証ログレベル（DBLB）のための Active• データベースロードバランシング• 状態監視のサポート• パーティションレベルの認証ログ• syslog サーバーの認証ログのサポート証の両方をサポートしています。次のプロセスは、サービスプロバイOCSP（Online Certiﬁcate Status Protocol）• クライアントのアクセス要求が AAM の「サービスプロバイダー」に対して、単一証明書の失効状態要求に応答するサービスです。この方法をダー側で開始された認証を対象にしています。
して発行されます。

• AAM は SAML 認証要求を作成して、AAA サーバーに送信します。

• この要求が承認された場合は、クライアントは認証されて、サーバーはクライアントの ID と属性を示す SAML アサーションを作成します。

• このアサーションはデジタル署名と暗号化が施された上で、AAM に渡されます。

• AAM はアサーションの信憑性を確認して、その内容を復号化して要求されたアプリケーションとクライアント情報を共有します。

• アプリケーションはこのデータを使用してユーザーをサインオンさせて、SSO を可能にします。

OCSP は、認証機関（CA）の公開された証明書失効リスト（CRL）を維持使用して、受領されたクライアント証明書の状態を確認して、その証明書の信憑性をさらに保証します。AAM は OCSP をサポートしており、アプリケーションサーバーをこの処理から解放します。SSL クライアント認証の場合は、OCSP の認証サーバーは、A10 Thunder シリーズが提出済みクライアント証明書の失効状態を確認することを可能にします。状態が「有効」の場合、クライアントはサーバー上で構成されているリソースへのアクセスを許可されます。必要な認証プロセスはシンプルなものであり、次のステップで構成されます。

• クライアントからA10 Thunder シリーズに証明書が送信されます。
• A10 Thunder シリーズはその証明書の信憑性を確認します。

• OCSPレスポンダーから証明書の状態（有効、失効、または不明）が返されます。

4© 2024 A10 Networks, Inc. All rights reserved.

アプリケーションアクセス管理（AAM） | SOLUTION BRIEF

豊富な管理ツールによるセキュリティの強化とインストールの簡素化

AAM の AAA ポリシーオプションは、きめ細かいアクセス制御を可能にすることでデータセンターのセキュリティを強化します。この結果として IT管理者は、ユーザー、VIP、ACI、または要求された URL に基づいて独まとめ－ 認証管理の強化、効率化、および統合

組織はデータセンターのリソース保護の複雑さを解決する一方で、データ漏えいを防止する必要があります。内部や外部の Web ベースアクセ

スからクラウドサービス、BYOD（私物デバイスの業務利用）、およびソー自に組み合わせた認証基準と承認基準を適用して、アクセスの許可または拒否が可能です。認証ロギング機能は、ユーザー認証の監査証跡を提供することですべてのアクセスを追跡することを可能にします。認証モジュールの開始、クライアントの要求と応答、セッションの作成と終了などのイベントは記録されて、自動アラートをセットアップできます。

シャルネットワークに至る現在進行中の移行の流れによって、管理者がIT セキュリティを監視する方法は大幅に難しくなりました。しかし従業員やパートナー、そして顧客やベンダーは、今ではますます多様化するアプリケーションに任意の場所から任意のデバイスを使用して安全にアクセスできることを求めています。多くの場合、これらは Oracle、SAP、SharePoint、Exchange などのミッションクリティカルなビジネスアプリ

AAM が提供するさまざまなテクノロジーにより構成を簡易化することがケーションです。これらのアプリケーション資産への安全なリモートアク用の組み込みログインフォームは、そのまま使用することもカスタマイズ強化が必要です。

可能です。
「デフォルトポータル」を通じて提供されている認証ポータルすることもできます。A10 の ACOS には aFleX® が統合されており、認証セスを可能にするには、厳格なネットワーク設計とセキュリティポリシーのと承認のカスタム要件をサポートします。このツールを使用すると簡単

次のステップな承認条件ステートメントを処理したり、グループメンバーシップやローA10 ネットワークスの担当者にお問い合わせください。に、ユーザー名を変更または変換したり、ドメインを追加したり、複雑ルなどのユーザー属性をバックエンドサーバーに送信したりできます。

A10 Thunder シリーズ の AAM ソリュー ションの 詳 細 に つ いて は、AAM は マル チテナント環 境 にインストー ルすることもできます。
A10 Thunder シリーズは最大 1,023 個の独立したアプリケーションデリバリーパーティション（ADP）をサポートしており、これらの各パーティションは固有の AAM ポリシー構成をサポートできるため、導入の柔軟性が高まります。

A10 Networks / A10 ネットワークス株式会社について

A10 Networks は、オンプレミス、ハイブリッドクラウド、エッジクラウド環境における、セキュリティ、インフラストラクチャの課題を解決するソリューションを提供しています。大手グローバル企業や通信、クラウド、Web サービス事業者まで 7000 社以上のお客様に導入いただいており、ビジネスに不可欠なアプリケーションやネットワークの安全性、可用性、効率性を高めています。A10 ネットワークスは 2004 年に設立されました。米国カリフォルニア州サンノゼに本社を置き、世界中のお客様にサービスを提供しています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネットワーキングソリューションをご提供することを使命としています。
詳しくはホームページをご覧ください。

• URL：https://www.a10networks.co.jp/• X（旧 Twitter）：https://twitter.com/a10networksjp• Facebook：https://www.facebook.com/A10networksjapan

A10ネットワークス株式会社

Learn More
About A10 Networks
お問い合わせA10networks.co.jp/contact

www.a10networks.co.jp©2024 A10 Networks, Inc. All rights reserved. A10 ロゴ、A10 Networks は 米 国およびその他 各 国 における A10 Networks, Inc. の商 標または登録商標です。その他上記の全ての商品およびサービスの名称はそれら各社の商標です。 A10 Networks は本書の誤りに関して責任を負いません。
A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。 商標について詳しくはホームページをご覧ください。 www.a10networks.com/a10-trademarks
Part Number: A10-SB-19139-JA-02 JUN 2024