Presented by
PI System
最新セキュリティについて
Customer Support Engineer
Mitsuaki Hayakawa
項目
• PI Systemのセキュリティモデル
• セキュリティモデルの移行
• 移行作業テストケース
PI Systemの
PI Systemで実現するセキュリティモデル
• Server製品群でセキュリティモデルに違いがあります
PI Data Archive
PI Data Archive
PI AF
PI AF
PI Coresight (Web)
PI Coresight (Web)
三種類の認証システムを
組み合わせ
PI Data Archive
デフォルト ユーザー デフォルト ユーザー PI System独自 の認証システムTrust
Trust
IPアドレス・ホスト 名に対して認証 を設定 Windows 認証 Windows 認証 Windowsの認証 システムAF Server
AF Server
データベース
データベース
アセット
アセット
PI AF
Windows認証を使用した
ユーザー
Mapping
各レイヤーでセキュリティ設定
IIS
アクセス権設定
PI AF
アクセス権
設定
PI Data
Archive
アクセス権
設定
PI Coresight (Web)
IISによる認証と
PI Data Archive、PI AF
それぞれのアクセス認証
従来型セキュリティ設定の問題点
IISのアクセス権限 チェック （PI Coresight） エレメントのアクセス権限チェック （PI AF） PI Pointのアクセス権限チェック （PI Data Archive）適切なアクセス権限
チェックができない
?
個別のセキュリティ
モデルでユーザー
認証を管理
それぞれに認証が
必要となり、認証を
引き継げない事も
Windows認証への移行
IISのアクセス権限 チェック （PI Coresight） エレメントのアクセス権限チェック （PI AF） PI Pointのアクセス権限チェック （PI Data Archive）アクセス権限チェック
OK
Active Directoryで
ユーザー認証を
一括管理
一度、Active Directory
で認証すればすべての
Server製品でアクセス
権限のチェックが可能
IIS
AF
DA
Kerberos認証
チケット発行
Active Directory
Kerberos認証
（ダブルホップ可能）
NTLM認証
移行モデル
Before
企業ネットワーク
（
Active Directory環境）
制御ネットワーク
（
Workgroup環境）
ユーザー設定
デフォルトユーザーログオンで
データアクセス
移行モデル
After
企業ネットワーク
（
Active Directory環境）
Mapping
Windows認証でデータアクセス
ユーザー設定
DMZにPI Serverを展開する場合
企業ネットワーク
（
Active Directory環境）
DMZ
Read Only Domain Controller
移行の流れ
設計
• Identities • 管理区分設計
• Identities • 管理区分AD登録
• PI Server • 新規 グループAD登録
• PI Server • 新規 グループ設定変更
• Identities • Mapping • PI Point設定変更
• Identities • Mapping • PI Point動作確認
• データ参照 • セキュリティ レベル変更動作確認
• データ参照 • セキュリティ レベル変更移行の流れ
– 設計
PI
System
PI
System
Directory
Directory
Active
Active
PI System管理部門
情報システム管理部門
「追加・変更は全社 単位で影響が 発生する場合も」 「既存のグループ等 を活用するのか、 または新規に 作成するのか」 「影響範囲はPI Systemへアクセス している部署のみ」 「人事異動時の 変更ワークフロー 構築」移行の流れ
– Active Directory登録
AD登録
• IPアドレス変更
• Active Directoryへの登録
外部NW
• DNSへの反映
• Interface間ファイアウォールへの設定変更
AP設定
• SQL Server
• 管理者アカウント
移行の流れ
– 設定変更
ID
