株式会社インターネットイニシアティブ

IIJ 安齋

IIJ 棚橋

以前はIIJの自社サービスである「IDゲートウェイサービス」を利用して、VPN物理機器をデータセンターに置き、リモートアクセスによる保守を実現していました。しかし、物理機器の運用は、データセンターのラック確保やアップリンクの回線準備、保守対応など多くの手間を伴います。少人数体制のチームで運用するには負担が大きく、なんとかやってきた、という状況でした。当時は、「IDゲートウェイサービス」にべったりという感じで運用していました。こうした課題もあり、「IIJ IDゲートウェイサービス」のサービス終了を契機に、移行先として「IIJセキュアアクセスサービス」を採用し、クラウド化を進めることにしました。

IIJ 棚橋

業務系システムのインフラ運用については、もともと6年ほど前から物理機器の排除を進めていました。「IIJセキュアアクセスサービス」の導入によるクラウド化は自然な流れでした。
これまでも、IIJで管理している仮想プラットフォーム上に、「SEIL」や「BIG-IP」などを展開して、バーチャルの世界での運用にシフトしてきました。まだクラウド化ができていないものが2つほどあり、そのうちの1つが今回の保守対応のリモートアクセスでしたが、「IIJセキュアアクセスサービス」の導入でクラウド化が実現しました。
我々のチームは、正社員は2～4名ほどで、業務委託者含めても少人数体制です。やはり、物理機器のお守りは辛いので、クラウド化により運用負荷軽減され、ハッピーになったというのはあります。

IIJ 棚橋

「IIJセキュアアクセスサービス」では、接続したユーザ名に応じて固定IPアドレスを配布することができるので、アカウントごとに固定IPアドレスを割り当て、アドレスプールごとに、ACL設定で（送信元・送信先・ポート番号に基づいて）通信を制御しています。また、仮想ルータ（SEIL/x86）による制御は移行後も変わらず、これらの合わせ技によって、従来と同様に、パートナーの保守担当者のアクセス制御を実現しています。

固定IPアドレスを割り当てるユーザ数は、IIJ社員のアカウントは300ほど、グループ会社や協力会社の社員のアカウントが40ほど、パートナーの保守担当者のアカウントが10ほどあります。アカウントの増減は月4,5程度なので、運用はまあ、回っています。

IIJ 安齋

「IIJ IDサービス」の導入により、多要素認証の実現だけでなく、アカウント管理の効率化も実現できました。
外部のパートナーの保守担当者や業務委託先の方には、社内のActive Directoryのアカウントは付与しない方針のため、IIJ社員のアカウントとは分けて、「IIJ IDサービス」を利用しています。
認証方式は、「IIJ IDサービス」の多要素認証機能を用いた「IIJ SmartKey （※1）」を使った認証や、デバイス認証です。
「IIJセキュアアクセスサービス」でリモートアクセスすると、まず「IIJ IDサービス」へ認証を問い合わせ、ID・パスワードによる認証後、「IIJ SmartKey」による認証もしくはデバイス認証のいずれかを選択して多要素での認証をするといった、柔軟な構成にしています。

IIJ 棚橋

認証基盤として「IIJ IDサービス」を利用することで、アカウントを一元的に管理でき、手間がかかって大変だったアカウントの棚卸が楽になりました。退職者アカウントの即時無効化が実現できたのは助かりますね。
今後も、「IIJ IDサービス」を使用するシステムが1つ2つ3つと増えていくので、それらも合わせて一元化できる点は大きなポイントだと思っています。

1. （※1）株式会社インターネットイニシアティブがスマートフォン用に提供する、Webサービスにおけるユーザ認証の強化策として有効なワンタイムパスワードの管理アプリケーション

今後も「IIJセキュアアクセスサービス」と「IIJ IDサービス」の利用は拡大していきたいと考えています。
例えば、IIJ社員は通常、「IIJフレックスモビリティサービス/ZTNA」を利用して社内環境にリモートアクセスしていますが、災害発生時に備えて、「IIJセキュアアクセスサービス」をバックアップ用の副経路として用意する考えもあります。
IIJでは、Web会議はMicrosoft Teamsを利用していますが、何らかの障害が発生した際に、バックアップとして他のWeb会議ツールを提供して、認証には「IIJ IDサービス」を使うといったことも考えられます。