MarineSL 社内VPN導入調査
1. VPN に求めること
- 社員が自宅・外出先・公衆Wi-Fiのどこからでも、VPN を経由して固定IPで社内システム・SaaS・取引先システムに接続できる(ホワイトリスト用)
- Azure 上の DB・ストレージ・保守用 SSH は VPN 内からのみ接続でき、外部から直接到達できない
- アクセス権を確実に付与・失効できる
2. 3案の比較
3案とも上記の要件をすべて満たします。差は費用、運用の手間、社員の Microsoft アカウントとの連携です。
| 案1 OpenVPN 自前構築 | 案2 Tailscale + Azure VM 推奨 | 案3 Azure VPN Gateway + Firewall | |
|---|---|---|---|
| 方式 | Azure 上の VM に OpenVPN サーバーを構築 | Azure 上の VM を Tailscale の出口にし、アカウントと設定は Tailscale のサービスで管理 | Azure 純正の VPN サービスに Azure Firewall を追加し、固定の出口IPを確保 |
| 長所 | 最も安い。契約先は Azure のみ。 | Microsoft アカウントでログインし、アカウント停止で即失効。管理画面で誰が・どの端末で・いつ接続したか分かる。 | Microsoft が管理し、VPN 本体の保守が不要 |
| 短所 | 端末ごとに証明書を手動で発行。管理画面がない | SaaS の契約が1つ増える(Tailscale・米国)。1名ごとの月額。VM の保守は自社 | 固定の出口IPのために Firewall が必須で、月額の7割を占める。設定がやや複雑。 |
| ログイン | 証明書ファイル | Microsoft アカウント + MFA | Microsoft アカウント + MFA |
| 月額(10名以内) | 約1万円 | 約2万円 | 約7万円 |
| 構築 | 1〜2日 | 1〜2日 | 3〜5日 |
| 位置づけ | 低コストの代替案 | 主案 | 評価済み・不採用 |
案2 を推奨します。案1 との差額は月額およそ1万円で、得られるのは「証明書管理の自動化」と「顧客に提示できる接続管理画面」です。VPN の機能自体は3案とも同じで、後から案を変えても Azure 側の設定はやり直し不要です。
案3 の再評価時期:顧客から VPN 部分の SLA(Service Level Agreement:事業者による可用性の書面上の保証)を求められたとき。
3. 既存顧客への影響
VPN の導入自体はどの顧客にも影響せず、顧客のログイン方法は変わりません。顧客に影響するのは IEEU から提案された「アクセス元IPの制限」です。これはサイト全体のホワイトリストにはせず、要望のあった顧客のみに適用します。方法は2つあり、併用もできます。
| 方法 | 設定する側 | 内容 | 他の顧客への影響 |
|---|---|---|---|
| A 顧客側で制限 | IEEU の IT | IEEU 自社の Entra ID の条件付きアクセスで「MarineSL へのログインはオフィスと VPN の IP からのみ許可」と設定。または IP 制限の代わりに「MFA + 会社登録端末」とする | なし |
| B プラットフォーム側で顧客ごとに設定 | MarineSL | report-platform の各ワークスペースに「許可IP」欄を追加し、空欄なら制限なし。IEEU は IP を登録、他の顧客は空欄のまま。少量の開発が必要 | なし |
方法 A をどちらが設定するかは、IEEU のアカウントがどのテナントにあるかで決まります。IEEU のユーザーが自社テナントでログインしている場合は IEEU の IT が設定し、MarineSL テナント内のユーザーアカウントの場合は MarineSL が自社の Entra ID で IEEU のユーザーグループに対して設定します。事前の確認が必要です。
適用後のルール:
| 顧客 | ログインのルール |
|---|---|
| IEEU | Microsoft アカウントでのログイン成功 かつ アクセス元IPが許可リストにある |
| 他の顧客 | Microsoft アカウントでのログイン成功のみ(現在と同じ) |
4. IEEU からの質問①〜③への回答案
① バックエンド(DB・サーバー)への接続時の IP 制限・多要素認証の有無
現状、管理アクセスは Entra ID 認証(多要素認証)で保護しています。VPN 導入後は、DB および保守用 SSH への接続を VNet 内(VPN 経由)からのみに限定し、インターネットからの直接接続を遮断します。
② IEEU のシステムは独立したサーバーか、他社と統合運用か
独立したサーバーではなく、共用のプラットフォーム上でお客様ごとのワークスペース単位にデータとアクセス権を分離しています。認証は Microsoft SSO により、IEEU のユーザーは IEEU のワークスペースのみにアクセスできます。
③ SSO を使わないユーザー認証情報の有無
IEEU のユーザーはすべて Microsoft SSO でログインしています。プラットフォームにはメール/パスワードおよび Google ログインの機能がありますが、本番環境では無効化しています。テスト用アカウントは棚卸しを行い、不要なものは無効化します。要確認