VDI アクセスの落とし穴と
それを避ける方法
最新の VDI 事情。アクセス形態の多様化とそのセキュリティ対策
2
デスクトップ仮想化「VDI」の落とし穴。ネットワークは再点検を
1
CONTENTS
ここでは、重要な IT トレンドである「デ スクトップ仮想化」について考察してみた い。「デスクトップ仮想化」を実現するには 複数の方式があるが、近年普及が進んでいる の が 「 V D I 」（ V i r t u a l D e s k t o p Infrastructure）と呼ばれる方式だ。 VDI 普及の背景として、在宅勤務など柔 軟なワークスタイルを導入する企業の増加、 Microsoft Windows XP サポートの終了に 伴うクライアント端末の見直し、スマート デバイスの普及に伴うマルチデバイスでの デスクトップ環境の実現に対するニーズ拡 大などがある。ユーザーに共通する導入目 的としては、セキュリティ対策の強化が挙 げられる。VDI ではデスクトップ環境がデー タセンターのサーバ上に集約され、ネット ワーク経由でアクセスされるため、クライ アント端末にデータを保持する必要がなく、 端末の盗難や紛失による情報漏えいを防ぐ ことができる。このようにセキュリティ対 策として効果を発揮する VDI だが、導入時 にはネットワーク環境を再点検することを お勧めしたい。 図 1
VDI で見落とされがちな
ポイントとは？
VDI へのアクセスはネットワーク経由の ため、時間や場所に縛られることなく、い つでもアクセスできるので、利便性を最大 限に活かす“攻めのアクセス環境”を提供 するシステム管理者が増えている。 情報管理に厳しい金融サービスの管理者 はこう語る。「従来はクライアント端末の盗 難や紛失による情報漏えいリスクを懸念し て、クライアント端末の持ち出しを禁止し ていました。VDI の導入を機に、社内のみ ならず社外からのインターネット経由での アクセスも解放する方向に切り替えました。 社員からはどこでも仕事ができると好評で、 アクセスの解放に踏み切って良かったと感 じています。しかしインターネット経由の アクセスを解放することで、新たにセキュ リティと利便性のバランスという課題をク リアする必要も出てきました。インターネッ ト経由でのアクセスは URL さえ知っていれ ば誰でもアクセスできるので、VDI のアク セスには厳格な本人確認とクライアント端 末の特定を行う仕組みを設ける必要があり ました。また、インターネットはネットワー ク品質が保証されていないことも懸念事項 でした。たとえ社内 LAN 環境でデスクトッ プ画面がサクサク動いていたとしても、イ ンターネットは回線品質が劣るため、遅延 やパケットロス発生により画面がカクカク としか動かなくなってしまうこともあり、 これを極力なくすことが課題となりました。 つまり、セキュリティを万全にしながらも、 ユーザーの使い勝手を落とさないことも、 併せて検討しておくことを学びました」 VDI の導入を検討する際には、ネットワー クを含めた環境をあらかじめ考慮に入れた 上で導入計画を立てないと、後々「こんな はずではなかった……」と頭を抱えるはめ にもなりかねない。インターネットを介した
VDI アクセスのセキュリティ課題を
まとめて解決
では、こうした課題に対処するには、具 体的にどんな方法があるのか。まずは、不 正アクセスを厳密にシャットアウトするた めに、単なる ID/ パスワードによる認証だ けでなく、さらにクライアント証明書やハー ドウェアトークンなどを使い「正当なデバ イスによるアクセス」であることを証明す る、いわゆる「デバイス認証」を併せて行 うことが有効だ。しかし、一般的な VDI の ゲートウェイのソフトウェアには、こうし たデバイス特定機能は備わっていないため、 別途、その仕組みを導入・運用する必要が ある。 実はこの点において、ADC の導入が大い に役立つことになる。例えば BIG-IP APM （Access Policy Manager）では、インター ネットを経由してアクセスしてくる端末を、 クライアント証明書や MAC アドレスなど で識別し、許可されていない端末からのア クセスを拒否する機能を備えている。また、 「デスクトップ画面の操作自体をキャプチャ するなどの不正なアプリケーションがイン ストールされていないか」といったチェッ クまでできるようになっている。さらには、 ユーザーがアクセスを試みるたびにワンタ イムパスワードを自動的に発行する機能も 備えているため、別途、高価なワンタイム パスワード認証製品を導入しなくとも、容 易に二要素認証を実現できる。 また、VDI のリモートアクセス用ゲート ウェイサーバの中には、Windows サーバ OS 上で動作するソフトウェアがある。こ の 場 合、Windows サ ー バ を DMZ （DeMilitarized Zone：内部ネットワーク とインターネットの間の隔離されたネット ワーク領域）内に配置することに、セキュ リティ上の課題やパッチマネジメントの運 用負荷を感じる方も多いことだろう。しか しこの点においても、BIG-IP は開発当初か ら DMZ にも配置されることを前提とした、デスクトップ仮想化「VDI」の落とし穴。
ネットワークは再点検を
1
VDI 導入時のネットワークにまつわる懸念 図1極めて堅牢でセキュアな専用 OS を搭載し ているため、きわめて安心感が高い。 さらに BIG-IP には SSO（シングルサイ ンオン）の機能が搭載されている。これを 活用すれば、ユーザーが何度も ID/ パスワー ドを入力する手間を省くことができ、使い 勝手を高める効果が大いに期待できるのだ。
VDI プロトコル本来の
パフォーマンスを
損なわないために
「VDI をインターネット経由やリモートア クセス環境で利用する際にはパフォーマン ス の 課 題 が あ る 」 と 前 述 し た が、 実 は、 ADC はこのパフォーマンス問題を解決する 上でもきわめて有効なのだ。少し掘り下げ て説明しよう。 図 2 例えば、ヴイエムウェア社の VDI 製品 「VMware Horizon View」の画面転送プ ロトコル「PC over IP （PCoIP）」は、UDP （User Datagram Protocol：コネクションレスであり、信頼性よりもデータ転送効率 性を重視している）をベースとした高速・ 高効率のプロトコルだ。しかし通常、リモー トアクセス環境では SSL VPN ゲートウェイ の VPN トンネルを利用するケースが多い。 この VPN トンネルは、TCP（Transmission Control Protocol : 転送効率よりも、デー タを届ける信頼性を重視している）をベー スとしており、ネットワークの遅延やパケッ トロスによる転送効率の低下が激しい。こ の場合、TCP をベースとした VPN トンネ ル内に UDP をベースとした PCoIP をカプ セリングする格好となるため、ネットワー クの遅延やパケットロスに起因する TCP の パフォーマンス劣化の悪影響を受け、せっ かくの「UDP ベースの高速性」というメリッ トを台無しにしてしまい、デスクトップ画 面のカクカク問題を引き起こしやすい。 しかし BIG-IP は、この PCoIP やシトリッ クス社の「Xen Desktop」が採用するプロ トコル「ICA」をサポートしており、PCoIP や ICA のプロキシサーバとして直接転送処 理することができる。つまり、オーバーヘッ ドの大きい VPN トンネルを使わずとも、す でに紹介したデバイスチェックによる二要 素認証による十分なセキュリティレベルを 担保しつつ、プロキシとして PCoIP や ICA を処理できる。結果として画面データ転送 のスピードが上がり、インターネット経由 であっても、ユーザーの使い勝手を大幅に 損なうことなく VDI 環境を提供できるとい うわけだ。 以上のように、インターネット経由での VDI 活用にまつわる“セキュリティ”“使い 勝手”“パフォーマンス”の課題を解決する 手段として、BIG-IP をはじめとする ADC 製品は、現時点で最もリーズナブルなソ リューションの 1 つなのである。VDI と ADC との間に、実はこんなに深い関係があ ることをこれまで知らなかった方も多いか もしれないが、これを機にぜひ認識を深め ていただければ幸いである。 仮想化製品のリーディングベンダーとし て広く知られる VMware。サーバ仮想化の 分野ではデファクトスタンダードとしての 地位を築き上げた同社だが、ここ 1 〜 2 年 の間でクライアント仮想化の分野における 存在感も急速に高まっている。ひと口にク ライアント仮想化といっても、その実現方 式にはいくつかの種類がある。以前から使 わ れ て い る の が、 マ イ ク ロ ソ フ ト の Windows リモートデスクトップサービス ／ターミナルサービスやシトリックスの XenApp に代表される複数のユーザーが サーバのアプリケーションを共有して使う サーバーベース方式だ。 一 方、 近 年 注 目 が 高 ま っ て い る の が、 VDI 方式である。VDI 方式では、クライア ント OS とアプリケーション環境を仮想化 基盤上の独立した仮想マシンとして実装し、 個別のユーザーが利用する。柔軟なワーク スタイル、情報漏えいリスクの軽減、マル チデバイス化の流れを受けて急速に普及が 進んでいる。この VDI の市場においてトッ プ シ ェ ア を 占 め る の が、「VMware Horizon View」である。
急速な進化を遂げる
VMware の VDI 製品
「VMware Horizon View」
2014 年 4 月 10 日 に は 最 新 版 の 「VMware Horizon 6」 が リ リ ー ス さ れ、 注目すべき新機能の数々が投入されている。 ヴイエムウェアのソリューション本部 ソ リューション開発部 部長、菊本洋司氏によ
最新の VDI 事情。
アクセス形態の多様化とそのセキュリティ対策
2
VDI のセキュリティとパフォーマンス課題を ADC で解決 図2れば、それらの中でも特に「Virtual SAN （VSAN）」と呼ばれる機能は、VDI 導入の 敷居を低くできるため、注目を集めている という。 「VSAN はひと言で言うと、複数のサーバ の内蔵ディスクを束ねて、あたかも大容量 ストレージのように扱うソフトウェアです。 2014 年 3 月にハイパーバイザーである vSphere（ESXi）にこの機能が組み込まれ ました。さらに、VMware Horizon 6 では これを追加ライセンス費用なしで利用でき るようになりました」（菊本氏） 図 3 VDI の導入検討にあたっては、共有スト レージのコストとユーザーの行動に紐づく ディスク IO の集中が導入障壁になるケー スが多い。例えば、就業開始時間の午前 9 時 に ア ク セ ス が 集 中 し、 デ ィ ス ク IO パ フォーマンスにムラが発生してユーザーに とって使いづらいシステムとなったり、 SAN ストレージとネットワーク基盤が高価 であることがボトルネックになりやすい。 しかし、従来より実装されているサーバの メモリ領域を Read Cache 化することで IOPS 自体を減らす Storage Accelarator を使用することにより、ディスク IO の集 中を回避できる。 また、VSAN を使えば共有ストレージは 基本的に不要で、サーバとその内蔵ディス クを増やしていくだけでディスクの容量と IO 性能をスケールアウトし、イニシャルコ ストを抑えられる。 さらに菊本氏によれば、「クラウドポッド・ アーキテクチャ」と呼ばれる技術も要チェッ クだという。これは、Horizon View の環 境（ポッド）を複数のデータセンターにま たがって構築できる機能だという。この機 能を活用すれば、ユーザーはもともと接続 していたポッドだけでなく、他のデータセ ンターに配置されたポッド経由でも自身の 仮想デスクトップを利用できます。１つの デスクトッププールがもしダウンしてし まった際の冗長化の手段として使えるほか、 さまざまな場所に移動しながら仮想デスク トップを利用するユーザーは、今いる場所 に最も近いポッドが利用できるので、ネッ トワークの遅延によるパフォーマンス劣化 の悪影響を抑えられるなど常に高いサービ スレベルが維持されます」
VDI 分野における
VMware と F5 の協業が
ユーザビリティを向上
菊本氏によれば、このクラウドポッド・ アーキテクチャを BIG-IP を使った広域負荷 分散（地理的に離れた DC にあるサーバ群 を負荷分散する手法）機能と連携させるこ とによって、顧客に付加価値の高いソリュー ションを提供できるようになるという。「ク ラウドポッド・アーキテクチャを BIG-IP GTM の『グローバル・ロードバランシング』 機能と組み合わせれば、ユーザーはポッド の稼働状況を意識することなく、どの場所 からでも常に同じ URI にアクセスするだけ で、自動的に最も近い場所やサービス提供 可能なポッドにリダイレクトしてくれます。 この連携がないと、ユーザーは複数の URI を覚えておく必要があり、仮に利用中のポッ ドに障害が発生した場合は、別のポッドに アクセスするための別の URI へアクセスし 直す必要があり、利便性は低下します」 ちなみに、VMware と F5 ネットワーク スのこうした連携ソリューションは、今に 始まったことではなく、すでに数多くの実 績があるという。ヴイエムウェアのマーケ ティング本部 テクノロジー アライアンス担 当部長、森田徹治氏は次のように説明する。 「米国本社ではすでにかなり前から両社の 間でさまざまな協業や、エンジニア同士の 共同作業が行われています。日本でも 4 年 ほ ど 前 か ら、VMware vCenter Site Recovery Manager と BIG-IP を連携させ た災害対策ソリューションの構築を通じて、 密接な協業体制を築いてきました。これに 加えて現在では、VDI 案件の提案活動にお いて両社のエンジニアやセールス担当が密 接に連携して動いています」 森田氏によれば、近年では仮想デスクトッ プ環境を社外からインターネット経由で利 用したいというニーズが強く、これを実現 する上で BIG-IP が極めて有効なのだとい う。「少し前まで、VDI やシンクライアント といえば、金融企業が情報漏えいを防ぐた めに導入するものだというイメージが強 かったと言えます。しかし、サーバの性能 向上で統合率が上がって費用対効果が高く なってくると、セキュリティ以外の導入メ リット、特に場所やデバイスを問わずデス クトップ環境を利用できることによる“ワー クスタイル革新”の可能性に注目して導入 を進める企業が増えてきました。ただし、 Virtual SAN の概要とメリット 図3 ヴイエムウェア ソリューション本部 ソリューション開発部 部長菊本洋司
氏これを実現するには十分なセキュリティ対 策を講じる必要があり、そのための手段と して BIG-IP は現時点で最も優れた解の 1 つ だと考えています」
アクセス形態の多様化に
対応する先進的な VDI とは
菊本氏は、VDI のセキュリティを担保す る上で BIG-IP が果たす役割を理解するため のキーワードとして、「アクセス形態の多様 性」を挙げる。 「社外から仮想デスクトップを利用する最 もオーソドックスな形態は、SSL VPN を使 いトンネルを張って、VDI の画面転送プロ トコル（Horizon View の場合は「PCoIP」） を通信する方法です。この場合、ユーザー の要件としてあらかじめ許可した端末から しかアクセスできないよう、クライアント 証明書を使ったデバイス認証やデバイスの 状態チェックを実施するケースが多いので すが、BIG-IP にはこうした機能がすべて備 わっており、極めて柔軟にセキュリティポ リシーを設定できるため使い勝手が良いの です。さらに BIG-IP が優れている点として は、SSL VPN 以外の接続形態にも 1 台で対 応できることが挙げられます」（菊本氏） 例えば、1 人の従業員が複数の端末（会 社支給の PC、タブレット端末、自宅の PC など）を使っているような場合、すべての 端末の状態をきちんと管理して、デバイス 単位での認証を行えるようにするのは、か なり骨が折れる作業となる。また社外から の管理外の端末を使ったアクセスとなると、 VPN 接続の環境を必ずどこでも用意できる とは限らない。 そ こ で よ く 使 わ れ る の が、 端 末 に Horizon View のクライアントソフトウェ アを導入することで、VPN トンネルを介さ ずに画面転送プロトコルを処理してしまう 方式だ。さらに近年では、HTML5 の機能 を使って、ブラウザ上で画面データやキー ボ ー ド・ マ ウ ス デ ー タ を や り 取 り す る 「HTML アクセス」という方式も出てきてい る。この方式は、 Horizon View のクライ アントソフトウェア自体のインストールも 必要ないので、さらに幅広くクライアント 環境をサポートできる。 企業の従業員のワークスタイルは徐々に 変化していく。将来のワークスタイルの変 化を見据えずに、直近の要件だけでアクセ ス環境を整えてしまうと、アクセス形態の 変化に追従できない。結果的に、それぞれ 個別に対応したネットワーク機器を導入・ 運用せざるを得ず、手間やコストがかさん でしまうというケースが増えてきている。 それが BIG-IP であれば、すべてを 1 台でま かなえるのだという。 図 4 「BIG-IP の OS を ア ッ プ デ ー ト す れ ば、 Horizon View クライアントソフトウェア との間で PCo IP を直接やり取りできるほ か、HTML アクセス方式にも対応できるよ うになります。1 台だけでこれだけ多様な アクセス形態をカバーできるので、ワーク スタイルの変化に合わせてアクセス形態の 種類を少しずつ増やしていくような段階的 な導入に極めて適しています。また BIG-IP は、ワンタイムパスワードによる認証機能 も備えているため、不特定の端末を使った アクセスでも、二要素認証によって十分な セキュリティレベルを担保できます」（菊本 氏） 菊本氏いわく、同社の技術とここまで密 接に連携できるネットワーク機器製品は、 現在のところ BIG-IP だけだという。「両社 の技術提携は今後も密接になっていき、そ れによって、これまでできなかったことが どんどん実現されていくでしょう。個人的 にも、今後の展開をとても楽しみにしてい ます」と強調する。F5 ネットワークスジャパン株式会社
URLhttp://www.f5networks.co.jp/inquiry/
お問い合わせ先Horizon View と BIG-IP が実現する「アクセス形態の多様性」 図4 ヴイエムウェア マーケティング本部 テクノロジー アライアンス担当 部長
