BLOG
2025 年 03 月 04 日
【Prisma ® Access × デバイス ID】デバイス ID 証明書を保持したクライアント端末の GlobalProtect で証明書認証をしてみた
近年、企業の基幹システムのクラウド化が進む中、新たなセキュリティ上の課題も顕在化しています。そうした中で注目を集めているのが、クラウド型次世代フレームワーク「SASE（Secure Access Service Edge）」です。
SASE とは、Gartner 社によるネットワークとセキュリティの機能を一体として提供するフレームワークやセキュリティモデルで、クラウド活用に伴うさまざまなセキュリティ上の課題を解決し、安全かつ利便性の高いクラウド利用を進めるものとして期待が高まっています。
SASE の中でも、高度なセキュリティ機能を持つパロアルトネットワークス社提供の「Prisma ® Access」は、世界 100 ヵ所以上からアクセスでき、日本はもちろん海外の拠点からグローバルで均質な SASE 環境を提供できるのが強みです。
リモートアクセス時のセキュリティ対策として近年は、「 多要素認証（MFA）」や「 クライアント認証 」、「 端末認証（デバイス認証）」の利用が進んでいます。そこで今回、「Prisma ® Access」でクライアント認証の設定を行い、端末にインストールされている「GlobalProtect」を用いてリモートアクセスを実施する際の認証に「 サイバートラスト デバイス ID」を使用可能であるか、動作検証を行いました。
「Prisma ® Access」と「GlobalProtect」の設定・利用イメージを確認されたい方、所属組織で「DX：デジタル・トランスフォーメーション 」を推進・検討中の方、「ペリメータ（境界）セキュリティ」から「 ゼロトラストセキュリティ 」への移行を検討されている方は、本記事をお役立てください。
それでは、実際に動作検証で行った準備や設定について、ご紹介します。
事前準備
はじめに、「Prisma ® Access」および「GlobalProtect」でリモートアクセスを実施する際の認証設定を行う前に、以下の事前準備を行いました。
- 「Prisma ® Access」および「GlobalProtect」の基本的な初期設定
- 「サイバートラスト デバイス ID」の証明書を、リモートアクセスを行うクライアント端末（Windows/Mac/iPhone/Android）へ配付
- 「サイバートラスト デバイス ID」の認証局証明書をあらかじめダウンロード
「Prisma ® Access」の設定
続いて、SCM（Strata Cloud Manager）ポータルから、「Prisma ® Access」と「GlobalProtect」の以下設定を実施しました。
- ルート認証局証明書の登録
「サイバートラスト デバイス ID」の証明書を使用可能にするため、事前準備であらかじめダウンロードしておいた「サイバートラスト デバイス ID」の認証局証明書を SCM（Strata Cloud Manager）ポータルに登録しました。
- 証明書プロファイルの追加
「1. ルート認証局証明書の登録」で登録した認証局証明書および証明書の有効性（失効）の確認をするための「CRL」や「OCSP」の情報を「証明書プロファイル」として追加登録しました。
- 「GlobalProtect」の設定
「GlobalProtect」によるリモートアクセス時の「ユーザー認証」の条件として、「2. 証明書プロファイルの追加」で作成した証明書プロファイルを指定しました。
管理者がこれらの設定を行うだけで、「GlobalProtect」からのリモートアクセス時に、ID/ パスワードに加えて、証明書による認証を必須とする設定ができました。
「GlobalProtect」からアクセス
「GlobalProtect」で初回接続する際、接続先のポータル名と ID/ パスワードを指定しました。
その結果、各クライアント端末（Windows/Mac/iPhone/Android）から接続した際、「サイバートラスト デバイス ID」の証明書を保持した端末だけが「接続済み」となり、証明書を保持していない場合は接続に失敗することを確認しました。
なお、「Prisma ® Access」では証明書認証以外にもさまざまなセキュリティルール・ポリシーの設定が可能であるため、ご利用環境や運用方針に応じて設定要否をご検討いただければ幸いです。
最後に
クラウドサービス活用による不安などゼロトラストセキュリティへの移行を検討されている方は、今回ご紹介した「サイバートラスト デバイス ID」と「Prisma ® Access」、「GlobalProtect」の連携により、手軽に厳格な「 クライアント認証 」や「 端末認証（デバイス認証）」を実現することができます。
そして、今回ご紹介した設定手順の詳細は、「サイバートラスト デバイス ID」のご契約者様専用の WEB サイト「サイバートラスト デバイス ID 運用ポータル」にて公開しており、 無償で 1 ヶ月間、10 台までの機器で評価いただけるトライアルキット のお申し込み完了時点から本ポータルをご覧いただけますので、ご興味がありましたら、是非ともお申し込みください。
