プライベートアプリケーションアクセス

プライベートエンドポイント、エージェント、デバイス／ネットワークポリシー、ワークロードID、セッション、監査証跡を管理します。

ワークフロー

前提条件を確認するプラットフォームでの有効化、テナントプロファイル、別途配置して登録したエージェントを確認します。
エンドポイントを登録する正確なHTTPS接続先をテナント、アプリケーション、エージェント、プロファイルに紐付けて承認を申請します。
アクセスを割り当てる有効期限付きのアクセスを申請し、ネットワーク、デバイス、IDの各ポリシーを確認します。
監視するエージェントのリース、証明書、エンドポイントの稼働状態、判定、セッションを確認します。
失効させる漏えいしたエンドポイント、認証情報、ワークロードトークン、割り当てを失効させ、状態を検証します。

アクセス境界とセットアップ

プラットフォームで有効化されていない限り、プライベートアクセスは無効です。このサービスは顧客ネットワークへの受信接続を開きません。また、リポジトリにエージェントは同梱されていません。顧客側エージェントは署名付き相互TLSで外向きにポーリングします。この制御チャネルは汎用プロキシではありません。テナント管理者が正確なHTTPSエンドポイントを登録し、配信前に独立したGod承認が必要です。

機能、テナントアプリケーション、プロファイル、登録済みエージェントの状態を確認します。
正確なHTTPS接続先と許可パスを入力します。認証情報は入力しないでください。
承認を申請し、承認済みになるまで配信を想定しないでください。

エージェント、証明書、デバイス

エージェントの登録には、一度限りのブートストラップ、顧客が保持する秘密鍵、短期間有効な証明書、署名付きリクエストを使います。秘密鍵をアップロードしてはいけません。ローテーションと失効は別々の処理です。失効すると、すべてのエージェント証明書が拒否されます。管理対象デバイスの状態は保証レベルを判断する信号であり、端末の健全性を証明するものではありません。ポリシーに使う前に証跡の鮮度を確認してください。

対象テナントのコネクター用に登録を作成し、一度限りのトークンを保護します。
鍵をローカルで生成し、互換性のあるエージェントが登録済みで正常な状態か確認します。
有効期限前にローテーションし、侵害されたエージェントや古いデバイス証明書を失効させます。

ネットワークゾーンとポリシー

ポリシーでは、テナント、アプリケーション、ロール、リソース、デバイス保証レベル、認証強度、セッション経過時間、ネットワーク信号を条件にできます。レポート専用モードは将来の判定を示しますが、アクセスをブロックしません。ポリシーはバージョン管理されるため、公開前にプレビューしてください。稼働状態の診断やネットワーク信号だけでアクセスが許可されることはありません。

テナントとアプリケーションの範囲、信号、優先度、適用モードを確認します。
代表的なリクエストをプレビューし、想定される判定と比較します。
公開後に実際の判定を調べます。保証チェックを弱めず、範囲を修正してください。

割り当て、セッション、接続解除

割り当てはユーザー、グループ、パッケージを対象とし、承認と有効期限が必要な場合があります。ユーザーは自分のセッションを切断できます。テナント管理者は対象アプリケーションのセッションを終了できます。God専用の緊急切断には、直近のフィッシング耐性ステップアップ認証が必要です。この操作ではアプリのセッション、エンドポイント、保管済み認証情報、トークンファミリーが失効しますが、他アプリと共有されているエージェントや上流のCookieは失効しません。

対象アプリへのアクセスを申請し、利用前に承認を確認します。
セッションを終了する前に、一覧でユーザーとアプリケーションを確認します。
緊急切断では正規のステップアップ認証を完了し、失効状態と監査記録を確認します。

ワークロードIDとシークレット

ワークロードIDには所有者、信頼設定、認証情報、トークン、パッケージ割り当て、レビュー、インシデントがあります。読み取り操作と書き込み操作には、それぞれの権限が必要です。必要な信頼設定やパッケージアクセスだけを申請し、所有権確認または独立承認を完了してください。漏えいしたトークンや証明書は失効させます。プロフィール情報、監査メモ、エクスポートにシークレットを含めてはいけません。

IDの所有者、テナント、認証情報、レビュー状態を確認します。
目的を示して、必要な承認を含む特定の信頼設定またはパッケージを申請します。
認証情報をローテーションし、漏えいしたトークンや証明書を失効させて無効状態を確認します。

診断、監査、保持

診断には、範囲を限定したイベント、分類済みの判定、遅延、エージェントの鮮度、証明書の有効期限が表示されます。リクエスト本文、認証情報、トークン、生のIPアドレス、ユーザーエージェントは含まれません。監査、証跡パック、保持、法的保全、エクスポートは、それぞれ別の権限管理対象です。ダウンロードした証跡は機密情報として扱ってください。管理API仕様: /api/auth/management/openapi.json。

テナントとアプリケーションの範囲、エージェントの鮮度、稼働状態、拒否カテゴリを確認します。
調査証跡の保持には監査または証跡パックを使い、範囲を必要最小限にします。
エクスポートや保持設定を変更する前に権限と保全記録を確認し、監査結果を検証します。

よくある質問

エンドポイントを登録するとすぐに利用可能になりますか？

いいえ。独立した承認を受け、現在のバインド条件を満たすまでは保留状態です。

顧客側エージェントは含まれていますか？

いいえ。対応エージェントを別途配置してください。登録しただけでは実行時の正常性は確認できません。

エージェントは任意の内部ホストへ接続できますか？

いいえ。任意の接続先ではなく、正確に承認された接続先とパスのポリシーが適用されます。

セッションを終了するとエージェントも失効しますか？

いいえ。エージェント証明書は別途失効させてください。セッション操作の範囲はより限定されています。

緊急切断で上流のCookieも消去されますか？

いいえ。上流の状態は顧客のコネクターとアプリケーションのログアウト方法によって異なります。

デバイス状態が正常なら拒否を覆せますか？

いいえ。有効なテナントとアプリケーションのポリシーによってアクセスが判定されます。