Advanced Server Accessのゲートウェイ
Advanced Server Accessのゲートウェイは、SSH Bastion (踏み台)サーバーのスタンドアロンの代替として利用することも、標準のSSH Bastion (踏み台)と組み合わせて利用することもできます。Advanced Server Accessゲートウェイは、SSHセッションキャプチャにも使用されます。可能な組み合わせの詳細については「Advanced Server AccessのゲートウェイとBastion (踏み台)」、SSHセッションキャプチャの詳細については「セッションキャプチャ」をご覧ください。
Advanced Server Accessのゲートウェイは、可用性とセキュリティを向上させます。
高可用性
ゲートウェイは高可用性を保証するための複数のメカニズムを提供し、これによりゲートウェイは単一障害点による欠点を負うことなく、Bastion (踏み台)ホストの機能性を提供できます。標準の負荷分散に加え、内蔵のステータスチェックや、複数のゲートウェイが同じラベルで登録されている場合の自動負荷分散など、ゲートウェイは、サーバーへのアクセスを常時オンにするための複数のメカニズムを備えています。「Advanced Server Accessのゲートウェイの可用性向上」をご覧ください。
セキュリティ
以下の設計により、Advanced Server AccessのゲートウェイはSSH Bastion (踏み台)よりも安全です。
ゼロトラスト
標準のSSH接続では、なんらかの秘密の資格情報（パスワード、キー、証明書など）を使ってサーバーに接続します。これらの資格情報は短時間のみ有効である可能性はあるものの、クライアントまたはエッジデバイスが侵害された場合、攻撃者はターゲットサーバーに直接アクセスする機会を得ることができます。
SSH接続にAdvanced Server Accessのゲートウェイを使用する場合、クライアントは、サーバーとの直接SSH接続に利用できる資格情報を受け取りません。クライアントが代わりに受け取るのは、ゲートウェイに転送され、ゲートウェイのみが復号できる暗号化されたペイロードです。このアプローチには次のような利点があります。
- 侵害されたクライアントデバイスが、ターゲットサーバーに直接SSH接続するための資格情報を攻撃者に与えてしまうことがありません。
- アクセスはゲートウェイを通過しなければならないため、侵入検知システム（IDS）やその他のモニタリングツールを使ってアクセス試行を監視する方が簡単です。
論理的アクセス管理
適切なアクセス制御を維持することは、SSH Bastion (踏み台)を使用している場合でも、困難な可能性があります。ユーザーのアクセス許可の記録に加え、どのBastion (踏み台)がどのサーバーにアクセス可能であるかの記録も維持する必要があります。各Bastion (踏み台)のセキュリティ要件がアクセス可能なサーバーに応じて異なる場合は、さらに複雑です。
Advanced Server Accessのゲートウェイは、この複雑さをラベルによって軽減します。ラベルによって、あるプロジェクトでどのゲートウェイを使ってサーバーへの接続をルーティングするかが決まります。ラベルを使用することで、クラウドリージョン、コンプライアンス認定、オペレーティングシステム、ユーザーが選択するキーと値のペアなどに基づいてゲートウェイをスライスできます。プロジェクトで使用するラベルとラベルセレクターが正確であれば、ターゲットサーバーとの接続に使用されるゲートウェイは確実に要件を満たしています。
たとえば、データが特定の国の国境を越えてはならないと規定するデータの局所要件について考えてみましょう。従来のBastion (踏み台)環境では、すべてのターゲットサーバーとBastion (踏み台)サーバーを監査して、サーバーへの唯一の入力が国内のBastion (踏み台)を通過することを確認する必要がありました。ゲートウェイを使用する場合、ゲートウェイの動作リージョン（例：AWSリージョン）に基づいてゲートウェイにラベルを付けることができます。個々のサーバーを監視する必要はなくなり、このようなアクセス制限を必要とするサーバーのプロジェクトにゲートウェイセレクターとしてリージョンを追加します。
ゲートウェイは、特にAdvanced Server Accessグループと組み合わせてユーザーの管理に使用する場合、コンプライアンス要件を満たすための強力なツールとなります。
ネイティブIDプロバイダー（IdP）の統合
SSHはサーバーへのアクセスを保護するための素晴らしいプロトコルですが、フェデレーションIDプロバイダーが登場する以前に設計されたものです。そのため、認可スキームは人間のIDではなく、マシンのIDを中心としています。SSHは、組織や会社の部署、職務ではなく、サーバーやキー、証明書に応じてユーザーに対処します。
このため、SSH Bastion (踏み台)は各種形式のサイドチャネル攻撃に対して無防備です。十分なアクセス権限を持つユーザーがBastion (踏み台)またはターゲットサーバーの構成を変更できる場合、これらのユーザーがIDプロバイダーをバイパスしてターゲットサーバーにアクセスできる可能性があります。たとえば、サーバーに管理者としてアクセスできるユーザーが、sshd構成を変更し、アクセスがログに記録されないように公開鍵をインストールしたなら、どうなるでしょうか。
ゲートウェイは、SSHなどの汎用プロトコルになるのではなく、Advanced Server Accessと深く結びつくことでこの問題に対応します。ゲートウェイを通過するには、ユーザーはAdvanced Server Accessのクライアントを実行し、Oktaによって認証される必要があります。これにより、ゲートウェイの背後にあるサーバーへのすべてのアクセスがOktaによって確実に保護されます。
トピック
| タスク | 説明 |
|---|---|
| Advanced Server Accessのゲートウェイをインストールする | |
| Advanced Server Accessのゲートウェイセットアップトークンを作成する |
ゲートウェイをチームに接続する |
| Advanced Server Accessのゲートウェイを構成する | ゲートウェイの動作を制御する |
| 任意。セッションキャプチャ | ゲートウェイでのセッションキャプチャを構成する |