コンポーネント

Access Gatewayは、多くのアーキテクチャコンポーネントと層で構成されています。下の図に、架空のAccess Gatewayアーキテクチャの詳細と使用されるポートとプロトコルの概要を示します。

最上位層

最上位層には従来のインターネットアクセスが含まれ、通常はロードバランサーを使用して公開されます。ユーザーはアプリケーション固有のURLを使用して、ロードバランサーにアクセスします。これらのURLは、ユーザーを高可用性クラスターのAccess Gatewayワーカノードにリダイレクトします。

ワーカーノードはユーザーのブラウザーと保護されたアプリケーションの間でリバースプロキシとして機能するため、公開されているロードバランサーはスティッキーセッションを使用する必要があります。

中間層

中間層にはAccess Gatewayクラスターが含まれ、Amazon EC2、Microsoft Azure、VMwareなどの仮想環境内で実行されます。

ワーカーノードクラスターは、DMZ（非武装地帯）内で実行されます。管理者ノードは、DMZ外にある、より制限された別のネットワークセグメントで実行されます。

Access Gatewayクラスターには、次のコンポーネントがあります。

注:

以下は高可用性Access Gatewayクラスターで最小限推奨される構成です。

外部インターネットとAccess Gatewayクラスターから見えるロードバランサー。
すべてのアプリケーション定義を管理し、データストアやその他の構成などのインフラストラクチャをサポートする、DMZ外の管理者ノード。
すべてのアプリケーションリクエストを管理し、認可のためにOktaテナントと通信し、詳細なアクセス制御を提供する、DMZ内の3つ以上のワーカーノード。Access Gatewayは3つ以下のワーカーノードでも機能しますが、高可用性のためには3つ以上のクラスターサイズ（および1つの管理者ノード）を推奨します。

Access GatewayAccess Gatewayクラスターは通常はファイアウォール内にあり、Oktaテナント、ロードバランサー、サポート対象サービス、基盤となる保護されたWebアプリケーションリソースのみアクセス可能です。さらに、Access Gatewayは明確に定義された特定サイトにアクセス可能でなければなりません：

Okta APIとYumリポジトリ。初期設定、ネットワークテスト、およびAccess Gatewayのアップグレードに使用されます。
イベントをセキュリティ情報およびイベント管理（SIEM）システムに転送するためのSystem Logレシーバー（任意）。SIEMによっては、ワーカーノードが直接イベントを送信する場合があります。
アプリケーションに必要なDNSやその他のサービスには、他のポートが必要です。

管理者は、セキュアシェル（SSH）を使ってポート22経由でCommand Line Management Consoleに、HTTPSを使ってポート443経由で管理コンソールにアクセスできる必要があります。通常、これらのツールはファイアウォール内で管理者のみが使用します。ファイアウォール外でポート22を開かないでください。

注:

高可用性クラスターの初期構成では、クラスターメンバーはHTTPSを使ってポート443で通信します。プロキシの使用時は、高可用性の構成を慎重に行ってください。「Command Line Management Consoleリファレンス」を参照してください。

アプリケーション層

アーキテクチャの最下層は、保護されたWebアプリケーションで、これらのアプリケーションは通常、クライアントのデータセンター内で実行されています。これらのアプリケーションは、Access Gatewayにとってはアクセス可能でなければなりませんが、外部からはアクセスできないことが重要です。通常は、分割DNSを使ってアプリケーションの分離が行われ、内部リソース（保護されたWebアプリケーションやデータベースなどの必要なサポート）はAccess Gatewayと必要なデータセンターリソースにしか見えません。また、通常はファイアウォールがAccess Gatewayをアプリケーション層のロードバランサーから分離します。Access Gatewayは追加のネットワークインターフェイスの使用をサポートします。これは様々な面を持つデータセンターからAccess Gatewayへのトラフィックを分離するために使用されます。