モバイル・エンタープライズ・ゲートウェイ (MEG) モジュール
IBM® MaaS360® Mobile Enterprise Gateway (MEG) は、新しい VPN のようなテクノロジーを実装することなく、ファイアウォールの内側にある情報リソースへのシンプルかつシームレスで安全なアクセスをデバイス・ユーザーに提供します。
モバイル・エンタープライズ・ゲートウェイ (MEG) モジュールの利点
- シームレスなログオン
- 資格情報のキャッシング
- 複数の IBM MaaS360 アプリケーションにまたがるワンタイムログオン
- NTLM、Kerberos、SPNEGO、ID 証明書などの強力な認証スキームを使用してイントラネット・リソースを保護するシングル・サインオン
モバイル・エンタープライズ・ゲートウェイ (MEG) モジュールの動作
モバイル・エンタープライズ・ゲートウェイ (MEG) モジュールは、イントラネット・リソースの 2 要素認証要件を満たす企業ディレクトリー資格情報と MaaS360 登録 ID 証明書に基づいてユーザーとデバイスを認証することで、最大限のセキュリティーを提供します。 モバイル・デバイスと モバイル・エンタープライズ・ゲートウェイ (MEG) の間のすべての通信は完全に暗号化され、エンドツーエンドで保護されるため、中間者攻撃を防ぐことができます。
- ユーザーに認証情報の入力を求めることなく、ユーザーとデバイスのシームレスなバックグラウンド再認証を実現
- イントラネット・リソースごとの認証トークン要求
- ゲートウェイでのプロキシー・アクセス・リスト検証
- IBM MaaS360 とのシームレスな統合
- 強力なゲートウェイ認証スキーム
- フォレスト間認証/クロスドメイン認証
- デバイス上の複数のアプリへの入り口となるゲートウェイへのシングル・サインオン (SSO) のサポート
- サイトに対する Kerberos、SPNEGO、および NTLM v2 認証のサポート
- サイト用の内部プロキシーのサポート
- 細分化されたプロキシー・アクセス・リスト
- シームレスな高可用性 (HA) 構成
- 最大 100,000 台のデバイスに対応する高スケーリング
- 地域ゲートウェイ・クラスターのサポートおよび自動ローカル・ゲートウェイ・ルーティング
- 大容量のファイルおよびビデオ用のストリーミング・シナリオ
- Windows ファイル共有の Web 分散オーサリングおよびバージョン管理 (WebDAV) サポート ( SMB2 および SMB3をサポート)
- リレー DR のサポート
モバイル・エンタープライズ・ゲートウェイ (MEG) ゲートウェイ・モードについて
| モード | 説明 |
|---|---|
| リレー・アクセス | ゲートウェイは、 IBM MaaS360 リレーサーバーへのアウトバウンドアクセスを確立する。 デバイスはリレー・サーバーとのみ対話し、ゲートウェイとは直接対話しません。 |
| 直接 | デバイスは、直接リソースにアクセスするためにモバイルエンタープライズゲートウェイ（MEG ）と直接通信し、 IBM MaaS360 ホストされたリレーサーバーをバイパスします。 小規模なデプロイメント用のスタンドアロン・ゲートウェイとして、または高可用性 (HA) 用のクラスター・ゲートウェイとして、ゲートウェイをインストールすることもできます。 |
要件およびスケーリング
| アイテム | 最小要件 |
|---|---|
| ハードウェア・コンポーネント | Windows Server 2019、2016、2012 R2、2012、2008 R2、または 2008 がインストールされた物理マシンまたは仮想マシン 注: Mobile Enterprise Gateway (MEG) は、Windows Server 2016、2012 R2、2012、2008 R2、または 2008 の Server Core インストール・オプションをサポートしていません。 サーバーのフルインストール、サーバーのグラフィカルシェル、またはサーバーのデスクトップエクスペリエンスインストールのみがサポートされています。
|
| モバイル・デバイス・クライアント | iOS 11.0 以降 Android 4.2 以降 (キャリア・バージョン) |
| 許可 | Mobile Enterprise Gateway (MEG) が Active Directory 上のドメイン・ユーザー・グループのメンバーとして、およびサーバー上のローカル管理者グループのメンバーとして実行するサービス・アカウント。 |
| ネットワーク・ポート | モバイル・エンタープライズ・ゲートウェイ (MEG)を実行しているマシンからポート 443 へのアクセス: ゲートウェイは、このアウトバウンド・ポートを使用して、 MaaS360 バックエンド・サービスおよび Web サービスと通信します。 リレー・アクセス・モードを使用している場合、ゲートウェイはポート 443 を使用してリレー・サービスと通信します。 リレーではインバウンド・ポートは使用されません。 |
| ネットワーク・ゲートウェイ動作モード (リレー・アクセスおよび直接) |
|
| ネットワーク- MaaS360 バックエンド・サービス | MaaS360 バックエンドサービスの要件については、 Cloud Extender および Mobile Enterprise Gateway（MEG）モジュールのシステム要件に記載されている要件を参照してください。 |
| スケーリング | Less than 10,000 devicesCPU: 2 コア (2.8 GHz) メモリー: 4 GB ストレージ: 2 GB |
| デバイスが 10,000 台より多い: CPU (HA モードでは使用するゲートウェイを追加) | |
| 高可用性のスケーリング | デバイスが 10,000 台未満の非 HA ゲートウェイ: 1 つのゲートウェイで十分に対応。 HA 構成は使用不可。 |
| デバイスが 10,000 台より多い場合の HA ゲートウェイ: クラスター・モードで実行されている 2 つのゲートウェイ 注: 1 つのゲートウェイで負荷を処理できる場合でも、HA の観点から別のゲートウェイ・インスタンスを使用する必要があります。
|
Mobile Enterprise Gateway (MEG) 2.96 の考えられる SQL ドライバー・エラー・メッセージ
Mobile Enterprise Gateway (MEG) 2.96.000 は、MSSQL の TLS 1.0 および TLS 1.2 をサポートしません。 MobileGateway.log ファイルに以下のエラーメッセージが表示された場合。
The driver could not establish a secure connection to SQL Server by using Secure Sockets
Layer (SSL) encryption.
Mobile Enterprise Gateway (MEG) 2.96.300 以降にアップグレードし、 JDBC の文字列に sslProtocol=TLSv1.2 を追加すると問題が解決します。
jdbc:sqlserver://Wdsql2012.fiberlinkqa.local;databaseName=megdb;sslProtocol=TLSv1.2
モバイル・エンタープライズ・ゲートウェイ (MEG) アーキテクチャー (リレー・アクセス・モード)
次の図は、リレーアクセスモードのモバイルエンタープライズゲートウェイ（MEG ）のアーキテクチャーを示しています。
For the client- iOS および Android 用の MaaS360 アプリ、 SDK と統合されたエンタープライズ・アプリは、モバイル・エンタープライズ・ゲートウェイ（MEG）と通信します。 MaaS360 Mobile Browser および MaaS360 内にラップされた、または MaaS360 SDK と統合されたエンタープライズアプリは、 モバイルエンタープライズ・ゲートウェイ（MEG ）と通信します。
- MaaS360 アプリは、 iTunes または Google Play から使用することも、 アプリ・カタログを介してデバイスにプッシュすることもできます。
- アプリは、HTTPS を使用してリレー・サービスに接続し、要求をポストし、応答を受け取ります。
- リレーへの SSL 接続に加えて、ペイロードは、アプリとゲートウェイの間においてエンドツーエンドで AES-256 ビット暗号化を使用して暗号化されます。
- 企業データは、ポリシーを適用して MaaS360 アプリ・コンテナーで保護されます。
- ネットワークのセキュリティーと分離を維持するために、モバイル・デバイスが組織のネットワーク上に存在することはなく、 MaaS360 アプリはネットワークに直接アクセスできません。
For the gateway- 組織の内部ネットワークまたはDMZ上の物理ホスト・マシンまたは仮想マシン（VM）上で動作するWindowsベースのサーバー・ソフトウェア。
- Cloud Extender ® と一緒にモジュールとしてパッケージ化されています。
- ゲートウェイは、ポート 443 を使用して、クラウドの MaaS360 リレー・サービスへのアウトバウンド接続を確立します。
- リレーからイントラネット・アクセス要求をダウンロードし、リソースを取り出し、結果のペイロードをリレー・サービスにポストします。 これらのペイロードは、AES 256 ビット暗号化によってエンドツーエンドで暗号化されます。 鍵は、デバイスのみと共有されます。
- ゲートウェイは、 Active Directory または LDAP サーバーに対してユーザーを認証する。
- NTLM、Kerberos、SPNEGO、および ID 証明書ベースの認証により身元を確認する、アップストリーム・サイト対応のシングルサインオン (SSO) をサポートします。
For gateway provision services- ゲートウェイのアクティブ化はこのサービスに対して実行されます。
- MaaS360 は、ゲートウェイを一意に識別および認証するために、ID 証明書をゲートウェイに発行します。
- デバイスまたはアプリは、各ゲートウェイに使用するリレー・サーバーのアドレスを受け取るために、プロビジョニング・サーバーに接続します。
For the relay server- クライアントとゲートウェイ間の通信を可能にするクラウド内の Web サービス。
- Link サービスは、クライアントとゲートウェイ間の暗号化された通信を読むことができない。
モバイル・エンタープライズ・ゲートウェイ (MEG) アーキテクチャー (直接モード)
次の図は、ダイレクトモードのモバイルエンタープライズゲートウェイ（MEG ）のアーキテクチャーを示しています。
For the client- iOS および Android 用の IBM MaaS360 アプリ、 MaaS360 Mobile Browser および MaaS360 内にラップされているか、 MaaS360 SDK と統合されているエンタープライズアプリはすべて、 モバイルエンタープライズゲートウェイ（MEG ）と通信できます。
- IBM MaaS360 アプリは、 iTunes または Google Playから入手可能で、 App Catalogを通じてデバイスにプッシュすることもできる。
- アプリは、イントラネット・リソースにアクセスするために、直接ゲートウェイに接続します。
- SSL 証明書が使用される場合、HTTPS を使用してアクセスします。
- ゲートウェイへの SSL 接続に加えて、ペイロードは、アプリとゲートウェイの間においてエンドツーエンドで AES-256 ビット暗号化を使用して暗号化されます。
- 企業データは、 IBM MaaS360 アプリコンテナで保護され、ポリシーの実施により保護される。
For the gateway- 組織の内部ネットワークまたはDMZ上の物理ホスト・マシンまたは仮想マシン（VM）上で動作するWindowsベースのサーバー・ソフトウェア。
- モジュールとして Cloud Extender と一緒にパッケージ化されます。
- ネットワークで、構成可能なポートを使用して、ゲートウェイ・サーバーへのインバウンド・トラフィックを許可する必要があります。
- モバイル・デバイスからイントラネット・アクセス要求を受け取り、リソースをフェッチし、結果のペイロードをモバイル・デバイスにポストして返します。
- これらのペイロードは、AES 256 ビット暗号化によってエンドツーエンドで暗号化されます。 鍵は、デバイスのみと共有されます。
- ゲートウェイは、 Active Directory / LDAPサーバーに対してユーザーを認証する。
- NTLM、Kerberos、SPNEGO、および ID 証明書ベースの認証により身元を確認する、アップストリーム・サイト対応のシングルサインオン (SSO) をサポートします。