Big-IPとADFSパート2 - APM - ADFS Proxyに代わる選択肢

このパートではADC（Application Delivery Controller）について説明します。先のパート1ではBig-IPの優れた負荷分散機能を使って社内ADFSファームと境界部ADFSProxyファームの両方を展開することにより、ハイアベイラビリティと拡張性を確保しました。しかしBig-IPはこれ以外にもさまざまな方法でアプリケーションデリバリに貢献します。このパート2ではADFSProxyレイヤの代わりとしてAccess Policy Manager（APM）モジュールを使用します。この手法の事例として、最も一般的な使用ケースであるウェブベースのMicrosoft Office 365（英語）アプリケーションとフェデレーション化を行い、このアプリケーションへのシングルサインオンを可能にするためADFSを展開する場合を考えてみます。

このADFSProxyサーバの目的は、インターネットからアクセスできないADFSサーバへの要求を受領し、それを転送することです。パート1で述べたように、ハイアベイラビリティを実現するには少なくとも2台のプロキシサーバに加えて負荷分散ソリューション（もちろんF5 Big-IP）が必要です。F5のアプライアンスにAPMを実装することにより、これらのサーバが不要になるだけでなく、境界部で事前承認を行い、またクライアントサイドでのチェックなど高度な機能（アンチウィルスのバリデーション、ファイアウォールの検証など）の導入によりおそらくよりセキュリティを強化した展開が実現します。

前提事項および製品展開のための資料 - この展開シナリオでは、読者にBIG-IP LTMモジュールの管理に関する一般的な知識と、APMモジュールに関する基本的な理解があることを想定しています。詳細やガイドが必要な場合はF5のサポートサイトASKF5（英語）を参照してください。下図は社内外のクライアントがADFS経由でOffice 365にアクセスする場合の典型的なプロセスフローを示しています（受動的制御、「ウェブベース」のアクセス）。

両方のクライアントがOffice 365リソースへのアクセスを試みます。
両方のクライアントがそのリソースのフェデレーションサービスにリダイレクトされます（注：このステップはMicrosoft Outlookなどのアクティブクライアントの場合には省略されることがあります）。
両方のクライアントは社内のフェデレーションサービスにリダイレクトされます。
ADFSサーバがアクティブディレクトリに対してクライアントを認証します。
・社内クライアントはADFSサーバファームのメンバーに直接負荷分散されます。
・社外のクライアントは：
- APMのカスタマイズ可能なサインオンページ経由でActive Directoryに対し事前認証されます。
- 認証されたユーザはADFSサーバファームのメンバーにリダイレクトされます。
ADFSサーバは、署名済みのセキュリティトークンとリソースパートナーへのクレームセットを含む認証クッキーをクライアントに提供します。
クライアントはMicrosoft Federation Gatewayに接続し、そこでトークンとクレームが検証されます。Microsoft Federation Gatewayが新しいセキュリティトークンをクライアントに提供します。
クライアントは新しい認証クッキーをそれに含まれるセキュリティトークンと共にOffice 365リソースに提示してアクセスを行います。

仮想サーバとプールメンバー - （社内と社外の）すべてのユーザは同じBig-IPを経由してADFSサーバファームにアクセスしますが、その要件とそれ以降のユーザエクスペリエンスはそれぞれ異なります。社内の認証されたユーザはADFSサーバファームに直接負荷分散されますが、社外ユーザは（APM経由で事前承認を得た後にADFSファームのメンバーへのアクセスを許可されます。このため2つの仮想サーバが使用され、その1つは社内アクセスに、もう1つは社外からのアクセス専用となります。社内と社外の仮想サーバには、いずれも同じ社内ADFSサーバファームプールが関連付けられます。

社内の仮想サーバ - 社内ADFSファームの仮想サーバ設定については本シリーズのパート1をご覧ください。

社外の仮想サーバ - 社外の仮想サーバのコンフィグレーション設定は、本シリーズのパート1に記載した仮想サーバの場合と同様です。これに加え、APM Access Profile（下記設定のハイライト部分を参照）が仮想サーバに割り当てられます。

APMのコンフィグレーション設定 - 社外ユーザが社内のADFSファームへのアクセスを許可されるのに先立ち、以下のAccess Policy Manager（APM）コンフィグレーションが作成され、社外向けの仮想サーバに関連付けられます。先に述べたように、APMモジュールは事前承認に加え、クライアントサイドでのチェックやシングルサインオン（SSO）など高度な機能も提供します。もちろんこれらはさまざまな機能のほんの一部に過ぎません。ASKF5（英語）にはクライアントサイドのチェックに関する詳細が記載されています。

AAAサーバ - ADFSアクセスプロファイルはActive Directory AAAサーバを使用します。

アクセスポリシー - ADFSアクセスプロファイルには以下のアクセスポリシーが関連付けられています。

ログオンページの表示に先立ち、クライアントマシンにアップデート済みのアンチウィルスソフトウェアが存在するかチェックします。クライアントにアンチウィルスソフトウェアが存在しないか、あるいはウィルス定義が（30日以内に）アップデートされていない場合、ユーザはリダイレクトされます。
オンプレミスとOffice365 ExchangeユーザのいずれにもシングルURLのOWAアクセスを提供するため、ADクエリとシンプルなiRulesが使用されます。

SSO のコンフィグレーション - ADFSアクセスポータルは複数の認証ドメインについてNTLM v1 SSO プロファイルを使用します（下図参照）。複数のSSO ドメインを使用することにより、クライアントは一度認証するだけでExchange OnlineやSharePoint Onlineなどホストされたアプリケーションと、オンプレミスでホストされたアプリケーションの両方にアクセスすることができます。これをさらに促進するには同じSSOコンフィグレーションを使う複数の仮想サーバ（ADFS、Exchange、SharePoint）を展開します。