コンテンツにスキップ

ページのパーマリンク

このページを参照する際は、常に以下のパーマリンクを使用してください。今後ヘルプが更新されても、パーマリンクは変更されません。

https://docs.sophos.com/central/customer/help/ja-jp/index.html?contextId=9ecf1faf-99ac-4a47-a513-42b2f7e90e2f

リソースの追加

次に、ユーザーがゲートウェイ経由でアクセスするリソース (アプリと Web ページ) を追加します。

ZTNA エージェントは、FQDN のみに基づいてトラフィックを傍受します。ユーザーは、IP アドレスではなく、アプリの外部 FQDN を使用してアプリにアクセスする必要があります。

認証後にユーザーを別の URL にリダイレクトしたり、他のリソースにリンクしたりするリソースを追加する場合は、そのようなリソースも追加してください。たとえば、wiki.mycompany.net を追加し、それが Jira チケットにリンクする場合は、jira.mycompany.net も追加します。

保護されたブラウザを使用して、エージェントレスでアプリケーションやリソースにアクセスすることを強制できます。詳細は、Protected Browserの使用を強制を参照してください 。

リソースの追加方法

Tオンプレミスのゲートウェイと Sophos Cloud ゲートウェイの手順を確認するには、以下で該当する導入の種類のタブをクリックしてください。

リソースを追加するには、次の手順を実行します。

  1. 「マイ プロダクト > ZTNA > リソースとアクセス」を参照し、「リソースの追加」をクリックします。

    リソースページ。

  2. 「リソースの追加」で、次の手順を実行します。

    1. リソース名と説明を入力します。
    2. 「ユーザーポータルにリソースを表示する」が選択されていることを確認します。

    「リソースの追加」ダイアログ。

  3. アクセス方法とリソースの詳細を次のように指定します。

    1. 「ゲートウェイ」を選択します。
    2. 「アクセス方法」で、「エージェント」を選択して ZTNA エージェントを使用してリソースにアクセスするか、「エージェントレス」を選択してリソースにアクセスします。適用する「ポリシー」も選択します。
    3. 「リソースの種類」(例: Web アプリケーション) を選択します。

    4. リソースの「外部 FQDN」と「内部 FQDN/IP アドレス」を入力します。

      警告

      エージェントレスアクセスを選択した場合、外部 FQDN は公開されている必要があります。エージェントアクセスを選択した場合、外部 FQDN は公開しないでください。

      注

      内部 FQDN または IP アドレスを追加する必要はありません。内部 FQDN/IP アドレスフィールドを 空白のままにすると、外部 FQDN が自動的に追加されます。

    5. ポートの種類とポート番号 (例: Web アプリの場合は HTTPS およびポート 443) を入力します。

      リソースへのアクセスを提供するために、最高 20個の TCP および UDP ポートを使用できます。カンマで区切られたポート範囲を追加できます。例:TCP 26-27, 20-24。

  4. 「ユーザーグループの割り当て」で、選択可能なグループのうち、リソースへのアクセスが必要なものを選択します。それを「割り当て済みユーザーグループ」に移動して、選択します。

    ユーザー/グループの設定。

    注

    割り当て済み Microsoft Entra ID (Azure AD) ユーザーグループの名前を後で変更しても、リストは更新されません。ユーザーはアプリにアクセスできないため、グループを再度割り当てる必要があります。

  5. 「保存」をクリックします。

  6. 追加したアプリにアクセスできることを確認します。

    SSL 証明書を確認し、ゲートウェイにアップロードされたものと同じワイルドカード証明書であることを確認できます。

  7. このリソースによってユーザーがリダイレクトされる可能性のある他のリソースに対して、上記の手順を繰り返します。

    注

    リソース情報を編集または削除するには、「リソースとアクセス」に移動し、リソース名をクリックして、「リソースの詳細」を開きます。

注

CIFS や SMB ファイル共有など、遅延の影響を受けやすいアプリケーションを使用している場合は、パフォーマンスを向上させるためにオンプレミスのゲートウェイを使用することをお勧めします。

リソースを追加するには、次の手順を実行します。

  1. 「マイ プロダクト > ZTNA > リソースとアクセス」を参照し、「リソースの追加」をクリックします。

    リソースページ。

  2. 「リソースの追加」で、次の手順を実行します。

    1. リソース名と説明を入力します。
    2. 「ユーザーポータルにリソースを表示する」が選択されていることを確認します。

    「リソースの追加」ダイアログ。

  3. アクセス方法とリソースの詳細を次のように指定します。

    1. 「ゲートウェイ」を選択します。
    2. 「アクセス方法」で、「エージェント」を選択して ZTNA エージェントを使用してリソースにアクセスするか、「エージェントレス」を選択してリソースにアクセスします。適用する「ポリシー」も選択します。

    3. 「リソースの種類」(例: Web アプリケーション) を選択します。

      ZTNA リソースの種類。

    4. リソースの「外部 FQDN」と「内部 FQDN/IP アドレス」を入力します。

      警告

      エージェントレスアクセスを選択した場合、外部 FQDN は公開されている必要があります。エージェントアクセスを選択した場合、外部 FQDN は公開しないでください。

    5. ポートの種類とポート番号 (例: Web アプリの場合は HTTPS およびポート 443) を入力します。

      リソースへのアクセスを提供するために、最高 20個の TCP および UDP ポートを使用できます。カンマで区切られたポート範囲を追加できます。例:TCP 26-27, 20-24。

  4. 「ユーザーグループの割り当て」で、選択可能なグループのうち、リソースへのアクセスが必要なものを選択します。それを「割り当て済みユーザーグループ」に移動して、選択します。

    ユーザー/グループの設定。

    注

    割り当て済み Microsoft Entra ID (Azure AD) ユーザーグループの名前を後で変更しても、リストは更新されません。ユーザーはアプリにアクセスできないため、グループを再度割り当てる必要があります。

  5. 「保存」をクリックします。

    「エイリアスドメイン」を含む、「リソースが追加されました」ポップアップが表示されます。

  6. 「エイリアスドメイン」が、ゲートウェイの設定時に生成されたドメインと同じであることを確認します。

    注

    「アクセス方法」が「エージェント」の場合、エイリアスドメインは生成されません。

  7. 追加したアプリにアクセスできることを確認します。

    SSL 証明書を確認し、ゲートウェイにアップロードされたものと同じワイルドカード証明書であることを確認できます。

  8. このリソースによってユーザーがリダイレクトされる可能性のある他のリソースに対して、上記の手順を繰り返します。

注

リソース接続のプールをオフにすることができます。詳細については、Sophos Central:ZTNA設定を参照してください。

DNS エントリ

エージェントレスリソースとエージェントベースのリソースで必要な DNS エントリは異なります。

エージェントレスベースのリソース

  • Sophos Cloud ゲートウェイの FQDN を追加すると、ゲートウェイのエイリアスドメインが生成されます。これは、パブリック DNS サーバーの CNAME レコードとして追加する必要があります。

  • リソースの FQDN を追加すると、リソースのエイリアスドメインが生成されます。これは、パブリック DNS サーバーの CNAME レコードとして追加する必要があります。

FQDN を介してリソースにアクセスすると、エイリアスドメインにリダイレクトされます。

エージェントベースのリソース

  • Sophos Cloud ゲートウェイの FQDN を追加すると、ゲートウェイのエイリアスドメインが生成されます。これは、パブリック DNS サーバーの CNAME レコードとして追加する必要があります。

  • エイリアスドメインは、エージェントベースのリソースに対しては生成されません。したがって、リソースの CNAME レコードは追加しないでください。

  • ワイルドカード DNS エントリは追加しないでください。

IP ベースのアクセス

ユーザーがブラウザに IP アドレスを入力して内部リソースにアクセスしようとすると、ZTNA をバイパスして直接リソースにアクセスすることになります。ユーザーが FQDN によって内部リソースにアクセスするようにするには、ファイアウォールルールを追加します。

エージェントベースのリソースとしてのドメインコントローラ

ドメインコントローラーをエージェントベースのリソースとして定義する必要があり、それによってその背後のリソースへのシームレスな接続性を提供します。

注

複数のドメインコントローラを追加できます。

リソースの種類がドメインコントローラに設定されました。

「リソースの種類」を「ドメインコントローラ (DC)」に設定すると、デフォルトのポートリストが自動的に入力されます。リストを編集して、カスタムポートを追加できます。

追加する必要があるポートは次のとおりです。

TCP：53、80、88、135、139、389、443、464、636、3268、3269、49152-65535

UCP：88、389、464、636、4389、63664

注

必要なカスタムポートを正しく確認し、追加してください。新しい組み込みリソースタイプの追加を機能リクエストとして次のページで提出することもできます。Sophos Community:Sophos ZTNA.

外部 FQDN は、ルートドメインではなく、ドメインコントローラの外部 FQDN にする必要があります。

特定のサービスのサーバーを検出する DNS Service (SRV) レコードは、「ドメインコントローラの詳細設定」の下に自動的に追加されます。これらのレコードを更新できます。

ドメインコントローラの詳細設定。

レコードを追加することもできます。これを行うには、次の情報を入力します。

  • サービス:ドメインコントローラが提供するドメインサービス (LDAP や Kerberos など)。
  • ドメイン名:サービスの SRV クエリで使用される DNS 名。
  • プロトコル:TCP や UDP など、サービスで使用される転送プロトコル。
  • ポート番号:ドメインコントローラ上のサービスが使用するネットポート。これにより、サービスが待機している場所が決まります (LDAP の場合はポート 389、Kerberos の場合はポート 88 など)。
  • 優先度:優先度は、複数の SRV レコードが存在する場合に、どのドメインコントローラを最初に使用するかを決定します。値が小さいほど、優先順位が高いことを示します。
  • 加重:同じ優先度のドメインコントローラ間でトラフィックを共有する方法を制御します。値が大きいほど、負荷分散用にドメインコントローラが選択される頻度が高いことを意味します。たとえば、加重が 60 と 40 のコントローラは、約 60% と 40% の確率で選択されます。
  • TTL:レコードをキャッシュする時間を秒単位で指定します。デフォルトは 86400 秒 (24時間) です。値が小さいほど、変更がより迅速に反映されます。

注

  • 外部の FQDN を持つドメインコントローラを設定する場合、詳細設定の個々の SRV レコードのドメイン名が正しいことを確認してください。
  • 詳細設定でポートを更新する際は、リソースのポートフィールドに正しいポートが表示されていることを確認する必要があります。

「ユーザーグループの割り当て」の下で、ドメインコントローラーの背後にあるリソースにアクセスする必要がある可能性のあるすべてのユーザーグループを割り当ててください。

ユースケースの例

この例では、負荷分散とバックアップに複数のドメインコントローラを使用する方法について説明します。

同じドメインに対して 2つのドメインコントローラを設定し、同じ優先度で異なる加重を割り当てます。

例
  • ドメインコントローラ A の優先度は 1、加重は 60
  • ドメインコントローラ B の優先度は 1、加重は 40

LDAP などのサービスが要求されると、ZTNA エージェントは SRV 応答で両方のコントローラを返します。加重されるため、ドメインコントローラ A はドメインコントローラ B よりも頻繁に使用されます。これによって、ドメインコントローラ間でトラフィックが分散されます。

また、プライマリ ドメイン コントローラが利用できない場合でも、別の場所にバックアップ ドメイン コントローラを設定して、アクセスを維持することもできます。このシナリオでは、ドメインコントローラ C の優先度を 2 に設定します。これは低い優先度です。

この場合、ドメインコントローラ A と B は通常、すべての要求を処理します。ドメインコントローラ C は、他のドメインコントローラが応答しない場合のみに使用されます。