Apple WKWebView の Mobile Enterprise Gateway (MEG) サポートの拡張設定の構成

モバイルエンタープライズゲートウェイ（MEG）の Apple サポート WKWebViewIBM® MaaS360® ブラウザーからアクセスされるイントラネットトラフィックをトンネリングするには、次の設定が必要です。これらの設定のほとんどは Mobile Enterprise Gateway（MEG ）によって自動的に検出されますが、 Cloud Extender® Configuration Toolでこれらの設定を編集することができます。

DNS サーバーおよび検索ドメイン

IBM MaaS360 ブラウザでアクセスする企業内イントラネットサイトのホスト名を解決するために、DNSサーバーを使用します。この値は、 Cloud Extender Configuration Toolの Mobile Enterprise Gateway（MEG）モジュールのAdvancedセクションで設定できます。

これらの値は、これらの設定が実行されたマシンによって、 Cloud Extenderの Mobile Enterprise Gateway（MEG）モジュールによって自動的に検出されます。

デバイス・トンネル・プロキシー設定

プロキシー・タイプ設定は、プロキシー・サーバーを介して経路指定されるトラフィックのタイプを指定します。

この HTTPS 設定は、許可された HTTP / HTTPS サイト ( WorkPlace Persona ポリシーの許可リストにリストされているサイト) をモバイルエンタープライズゲートウェイ (MEG) モジュール経由でルーティングします。
HTTPでは、許可されたサイトのみをモバイルエンタープライズゲートウェイ（MEG）モジュール経由でルーティングHTTPを使用します。

アクセス・リストおよび例外リスト

モバイル・エンタープライズ・ゲートウェイ (MEG) は、 WorkPlace Persona ポリシーで指定されたアクセス・パターンを使用して、ゲートウェイを通過できるトラフィックをフィルタリングします。これらの設定は、ブラウザ > Enterprise Gateway > アクセスリストの WorkPlace ペルソナポリシーで構成されます。

以下のアクセス・パターンを使用して、トラフィックがゲートウェイを通過できるようにします。最新バージョンの Mobile Enterprise Gateway (MEG)にアップグレードすると、既存のすべてのパターンがサポートされますが、一部のアクセス・パターンでは、デバイス上で追加の処理が必要になります。 WorkPlace Persona ポリシーのアクセスリストを更新して、次の表でサポートされているパターンを使用します。更新されたアクセス・リストでは、ゲートウェイを介してルーティングされるワイルドカードのドメイン式と IP サブネットを使用します。

パターン	MEG によるサポート	MEG の推奨構成	コメント
`.`	✓	✓	すべての IBM MaaS360 ブラウザのトラフィックを IBM MaaS360 ゲートウェイ経由でトンネリングする。
`*.testhost.com`	✓	✓	`testhost.com` ドメインにマッチするすべてのトラフィックを IBM MaaS360 ゲートウェイ経由でトンネリングする。
`testhost, testhost. , testhost`	✓	X	指定された `testhost` 正規表現に一致するすべてのトラフィックを、 IBM MaaS360 ゲートウェイ経由でトンネリングする。
`1., 1... , 1…`	✓	✓	`1.0.0.0/255.0.0.0` IPサブネットに一致するすべてのトラフィックをトンネリングする。

構成の例

管理者は、1.2.3.4 を DNS サーバーとして使用し、test-domain1 と test-domain2 のイントラネット・ドメイン、および 10.0.0.0/255.0.0.0 サブネットの下にデプロイされたドメインをルーティングしたいと考えています。

以下のコンフィギュレーションを使用する。

DNS サーバー: 1.2.3.4
DNS 検索ドメイン: test-domain1.com, test-domain2.com, …
アクセス・リスト: 0.*.*. *

アクセス・フィルター・リストで *.* を使用している場合の影響

アクセスフィルタリストで *.* フィルタを使用すると、 IBM MaaS360 ブラウザがアクティブな間、 IBM MaaS360 ゲートウェイがデバイスから発信されるすべてのトラフィックを受信できるようにするルールがデバイス上に追加されます。このトラフィックには、 IBM MaaS360 ブラウザから発信されるすべてのユーザートラフィックと、バックグラウンドで実行されているアプリから発信されるネットワークトラフィックが含まれます。すべてのユーザー・トラフィックを許可すると、企業ファイアウォールによってブロックされるか、企業ネットワークからの発信ネットワーク・データに無駄な負荷がかかる可能性があります。企業ネットワークを経由させたいドメインとIPサブネットを正確に指定します。

アクセス・フィルター・リストで不完全なドメインが指定された正規表現を使用している場合の影響

testhost、 testhost. *、 *testhost のアクセスパターンでは、 iOS デバイスの IBM MaaS360 ゲートウェイクライアントがすべてのDNSトラフィックを処理し、指定された正規表現を適用する必要があります。 IBM MaaS360 ゲートウェイ・クライアントは、 IBM MaaS360 ブラウザが実行されているとき、デバイス上のすべてのDNSトラフィックを傍受する。式に一致するDNSクエリはすべて、 Mobile Enterprise Gateway（MEG）モジュールで指定されているDNSサーバーを使用します。その他のトラフィックについては、 IBM MaaS360 Browserは、 Quad9 によって提供されるパブリックDNSサーバーを使用してドメインを解決します。 Quad9 DNS サービスには、IPv4 アドレス 9.9.9.9, 149.112.112.112 からアクセスできます。 WorkPlace Persona ポリシーアクセスリストで testhost、 testhost. *、 *testhost などの一致パターンが指定されている場合、この方法を使用してすべてのDNSトラフィックを遮断します。

プロキシー自動構成 (PAC) URL または「オートプロキシー」設定を使用したプロキシー・サーバーの構成

IBM MaaS360 ゲートウェイは、 WorkPlace Persona ポリシーにリストされている指定された正規表現と、 Cloud Extender構成ツールにリストされている指定されたDNSサーバーおよびDNSドメインに一致するドメインのみを許可します。ゲートウェイを通過するすべてのトラフィックは、宛先サーバーに転送されます。ゲートウェイを介してゲートウェイ・トラフィックを送信する場合は、 Cloud Extender 構成ツールでプロキシーを構成します。

プロキシー・サーバーへのトラフィックにアクセスするために、すべてのプロキシー・サーバーの IP アドレスまたはホスト名を WorkPlace Persona ポリシー・アクセス・リストにリストすることもできます。プロキシ設定の自動検出は、新しい Mobile Enterprise Gateway（MEG）プロトコルではサポートされていません。プロキシー設定はデバイス上で構成されるため、デバイスには、プロキシー設定を解決するための PAC URL または手動プロキシー・サーバー・アドレスが必要です。自動プロキシ設定を使用している場合は、プロキシ PAC URL 設定を選択するか、プロキシ構成のためにプロキシ設定を手動で構成します。

Kerberos 認証

Mobile Enterprise Gateway (MEG) は、ネイティブの iOS 機能を使用して Kerberos 認証をサポートします。 MaaS360 iOS MDM ポリシーでは、MDM シングルサインオンペイロードを使用して Kerberos 認証を設定できます。 Kerberos 認証は、iOS デバイス上の非 MDM カスタマーではサポートされていません。 iOS デバイスで Kerberos を構成するには、 iOS MDM ポリシーで以下のパラメーターを使用します。

iOS の MDM ポリシー設定	説明	サポートされるデバイス
アカウント名	Kerberos シングル・サインオン (SSO) アカウントのアカウント名。	iOS 7.0+
プリンシパル名	Kerberos がユーザーを識別できるようにする固有の名前。名前が指定されない場合、プロファイルのインストール時に名前の指定を求めるプロファイルがユーザーに出されます。ワイルドカードとして %domain% を使用できます。	iOS 7.0+
レルム	ユーザー・アカウントの場所およびユーザー・アカウント名を含む文字ストリング。この値は大文字にする必要があります。ワイルドカードとして %domain% を使用できます。	iOS 7.0+
URL プレフィックス	HTTP 経由で Kerberos 認証にこのアカウントを使用するために一致している必要がある URL プレフィックスのリスト。注意: URL ポストフィックスも一致している必要があります。	iOS 7.0+
ID 証明書	デバイスでの認証に使用される証明書。このフィールドはブランクにすることができます。選択しない場合は、認証にユーザー名/パスワードが使用されます。	iOS 8.0+
許可されるアプリの範囲	デバイスで許可されるアプリのリストまたは範囲。	iOS 8.0+

地域ゲートウェイ

地域ゲートウェイ機能は、 Mobile Enterprise Gateway (MEG)ではサポートされません。将来のリリースでは、 Mobile Enterprise Gateway (MEG) エージェントに対する地域ゲートウェイのサポートが追加されます。 WorkPlace Persona ポリシーで地域ゲートウェイを設定し、 Mobile Enterprise Gateway (MEG) を使用する場合、 IBM MaaS360 Browser iOS app トラフィックはポリシーで設定されているデフォルトゲートウェイを通過しますが、地域ゲートウェイ設定で設定されているゲートウェイは使用しません。