Kerberosシンプルアプリケーションのリファレンスアーキテクチャ

KerberosシンプルインスタンスAccess Gatewayアーキテクチャは、Access Gatewayを使用したKerberosベースの認証および承認に必要なコンポーネントのセットを表します。他のアーキテクチャの基準または開始点を表します。

このアーキテクチャは、以下の要件を満たすように設計されています。

  • Kerberos（Windows IIS）ベースのサービスを保護する。
  • テストおよび開発の基準を提供する。

利点と欠点

利点 欠点
  • インストールが簡単である
  • テスト、概念実証などの基準となる
  • VPNの置き換えに使用できる
  • フォールトトレランスを持たない
  • 負荷分散や高可用性の機能がない
  • 本番環境を意図していない
  • 管理サーバーへのアクセスには、SSHポート22とHTTPSポート443を開く必要があります。詳細については、「Access Gatewayデプロイメントの前提条件」を参照してください。

アーキテクチャ

コンポーネント

ロケーション

 コンポーネント 説明
外部インターネット Webクライアント

従来のクライアントブラウザで、[appN|consumer-app1].example.com URLとして認識されるAccess Gatewayにアクセスします。
consumer-app1.example.com
URLは非表示

外部WebクライアントがAccess Gatewayによって保護対象アプリケーションの1つにアクセスするために入力するアプリケーションを表すURL。通常、この性質のすべてのURLは、Access Gatewayインスタンスによってサービスされ、解決されます。
Okta org

Okta orgは、アイデンティティサービスを提供しています。
Okta org Universal Directory

Okta orgでホスティングされるOkta Universal Directoryには、その他のLDAPまたはActive Directory実装の外部のユーザーが含まれます。通常、これにはその他のカスタマーアカウントやパートナーアカウントなどが含まれます。
ファイアウォール

外部インターネットからDMZ

外部インターネットとDMZホスティングAccess Gatewayの間の従来のファイアウォール。
DMZ Access Gateway DMZ内に配置されるAccess Gatewayクラスターは、外部インターネットクライアントが使用するアプリケーションへのアクセスを提供するために使用されます。
Kerberosサービスとキータブを含みます。
キータブの作成の詳細については「キータブを作成する」を参照してください。
Access Gateway Kerberosサービスの定義についての詳細は、「Kerberosサービスを追加する」を参照してください。
通常、Amazon Web Services、MS Azure、Orace OCIなどの仮想環境でホスティングされます。「Access Gatewayのデプロイメントを管理する」を参照してください。
ファイアウォール

DMZから内部ファイアウォール

DMZと内部ネットワーク間の従来のファイアウォール。
内部ネットワーク サービス/保護対象アプリケーション

保護対象Webリソースのセット（この場合はMicrosoftサービス）で、comsumer-app1.internal-example.com URLを使用してアクセスされます。

サポート対象バージョン：

  • Microsoft IIS IWA：IIS 7以降
  • Microsoft OWA IWA：IIS 7以降

キーディストリビューションセンターを含むMicrosoftドメインサービスインスタンス

キーディストリビューションセンター（KDC）を含むドメインサービス。通常、KDCはActive Directoryデータベースを資格情報バックアップストアとして使用します。
実行中、KDCインスタンスはKerberosチケットをリクエストし、このチケットはMicrosoft IISなどのKerberos対応サービスで使用されます。

その他の考慮事項

DNSは通常、外部ドメインと内部ドメインの間で分割されます。[appN|consumer-app1].example.comなどの外部URLはすべて外部で使用され、Access Gatewayインスタンスを指し示します。[protd-N|consumer-app1].internal-example.comなどのAccess Gatewayで使用される内部URLは、内部DNSで提供されます。

ほとんどのアーキテクチャは、ログイベントを外部のsyslogコンポーネントに転送します。Oktaは、すべてのAccess Gateway環境にログサーバーを設定することを強く推奨します。詳しくは、「ログフォワーダーを設定する」を参照してください。


さらに、Access Gateway自体は、通常、内部アクセスを介してのみ管理されます。つまり、管理者は通常、ファイアウォールの内側からAccess Gateway自体にアクセスします。これは、他のアーキテクチャで示されています。

関連項目

一般的なAccess Gatewayフロー

DNSの用途

高可用性

Access Gatewayの前提条件について