すべてのプロダクト
Search

このプロダクト

    Secure Access Service Edge:プライベートアクセスの初期構成に関する管理者ガイド

    ドキュメントセンター

    Secure Access Service Edge:プライベートアクセスの初期構成に関する管理者ガイド

    最終更新日:Jul 18, 2026

    非公開アクセス機能の動作する仕組みと、SASE (Secure Access Service Edge) を有効化した後に迅速に設定する方法について学びます。

    プライベートアクセスのセキュリティ

    プライベートアクセスは、ソフトウェア定義ペリメータ（SDP）テクノロジーに基づく SaaS ベースのゼロトラストネットワークアクセス機能です。SASE プライベートアクセスソリューションにより、従業員はプライベートネットワーク経由でクラウドベースのビジネスリソースに安全にアクセスでき、管理者は既存のネットワークアーキテクチャを変更したり、パブリック IP アドレスを公開したりすることなく、アクセス権限を管理できます。

    操作手順

    ステップ 1：ID プロバイダー (IdP) の構成

    ID プロバイダー (IdP) は、企業の従業員の身分認証を処理します。SASE は、LDAP、DingTalk、WeChat Work、Feishu、IDaaS、およびカスタム ID プロバイダーを含む、サードパーティおよび自社構築の認証システムをサポートしています。ビジネスで複数の IdP を使用している場合、それぞれを設定して認証ステータスを有効にすることで、異なる IdP で SASE サービスを利用できます。

    このトピックでは、機能を迅速にテストするために、カスタム IdP を例として使用します。

    1. SASE コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、アイデンティティ管理 > アイデンティティアクセス を選択します。

    3. アイデンティティ同期 タブで、カスタムアイデンティティソース を見つけ、編集 列の 詳細 をクリックし、画面の指示に従ってカスタム IdP を構成します。詳細については、「カスタム ID プロバイダーへの接続」をご参照ください。

    4. ユーザーグループ管理 タブで、ユーザーグループの追加 をクリックします。

    5. ユーザーグループの追加 パネルで、組織構造、アカウント名、メール、および 携帯電話番号 などのユーザーグループ情報を構成し、OK をクリックします。詳細については、「ユーザーグループ管理」をご参照ください。

    ステップ 2：ユーザーグループの構成

    ポリシーを構成する際は、そのポリシーを適用するユーザーグループを指定する必要があります。

    1. 左側のナビゲーションウィンドウで、アイデンティティ管理 > アイデンティティアクセス を選択します。

    2. ユーザーグループ管理 タブで、ユーザーグループの追加 をクリックします。

    3. ユーザーグループの追加 パネルで、組織構造、アカウント名、メール、および 携帯電話番号 を構成し、OK をクリックします。詳細については、「ユーザーグループ管理」をご参照ください。

    ステップ 2：プライベートアプリケーションの構成

    SASE では、非公開アプリケーションとは、パブリック IP アドレスを必要としない、アプリケーション、サーバー、またはデータベースなどの社内の IT リソースを指します。非公開アプリケーションにアクセスするには、従業員は SASE クライアントがインストールされたデバイスを使用し、ID およびセキュリティポリシーのチェックを通過する必要があります。

    1. 左側のナビゲーションウィンドウで、内部ネットワークアクセス > アプリケーション名 を選択します。

    2. 内部アプリケーション ページの カスタムタグ セクションで、追加 をクリックしてタグ名を設定し、OK をクリックします。

      カスタムタグは最大 100 個まで追加できます。

    3. アプリケーションの追加 をクリックし、以下の手順に従ってアプリケーションを構成します。

      企業の内部 CIDR ブロックを解決するための DNS サーバがある場合は、プライベートネットワーク DNS 設定 をクリックできます。DNS アドレス ダイアログボックスで、デフォルト DNS サービス と その他の DNS サービス を手動で入力します。デフォルト DNS グループ（各 DNS グループには最大 2 つの DNS サーバ IP アドレスを含めることができます）は、プライマリエンタープライズ DNS として SASE クライアントにプッシュされます。従業員はクライアント上で DNS グループを切り替えて、特定のアクセス要件を満たすことができます。

      DNS サービスを設定しない場合、SASE は、企業の内部 CIDR ブロックを解決するために Alibaba Cloud DNS サーバーを自動的に設定します。Alibaba Cloud DNS PrivateZone が設定されている場合は、IP アドレスまたはドメイン名の解決において優先されます。

      1. 手動設定 タブで、以下のパラメーターを構成します。

        パラメーター

        説明

        例

        アプリケーション名

        プライベートアプリケーションの名前です。

        名前は 1～128 文字で、漢字、英数字、ハイフン (-)、アンダースコア (_)、ピリオド (.) を使用できます。

        勤怠管理アプリケーション

        説明

        プライベートアプリケーションの説明です。

        従業員向けの勤怠管理アドレス

        タグ

        アプリケーションの分類、検索、管理を支援するためのカスタムタグです。

        OA システム

        状態

        アプリケーションのアクセスステータスです。有効な値は次のとおりです。

        • 有効：アプリケーションが利用可能です。

        • 無効化：アプリケーションが利用できません。

        有効

      2. 次へ をクリックし、以下のアドレスおよびポート情報を構成します。

        パラメーター

        説明

        例

        アプリケーションアドレス

        アプリケーションのプライベートアクセスアドレスです。IP アドレス、CIDR ブロック、ドメイン名、ワイルドカードドメイン名を使用してアプリケーションまたはリソースを定義できます。単一のアプリケーションに対して複数のプライベートアクセスアドレスを設定できます。

        10.10.1.100

        ポート

        アプリケーションで使用されるポート番号またはポート範囲です。

        80-200

        プロトコル

        アプリケーションのプロトコルです。有効な値は すべてのプロトコル、TCP プロトコル、および UDP プロトコル です。

        すべてのプロトコル

    ステップ 3：ネットワーク接続の確立

    ネットワーク接続を確立する前に、現在のサービスデプロイを確認し、適切な接続ソリューションを選択してください。

    サービスデプロイ環境

    ソリューション

    環境要件

    企業のサービスおよびリソースが Alibaba Cloud 上にデプロイされている

    ネットワーク構成機能を使用して、指定された Alibaba Cloud VPC リソースと SASE エンドユーザーとの間でネットワーク接続を確立します。

    [ネットワーク構成] > [Alibaba Cloud サービス] ページで、対象サービスサーバーが配置されている VPC のネットワーク接続を有効化します。

    オフィス用コンピューターの要件：

    • Windows (64 ビット、32 ビット、.msi 64 ビット、.msi 32 ビット)：Windows 7 以降

    • macOS：macOS 10.10 以降

    • Linux：Ubuntu 18.04 以降、UOS

    企業のサービスおよびリソースが AWS や Tencent Cloud などの Alibaba Cloud 以外の環境にデプロイされており、Alibaba Cloud 仮想ボーダールーター (VBR)、クラウド相互接続ネットワーク (CCN)、または VPN ゲートウェイがすでにネットワーク接続に使用されている

    Alibaba Cloud のネットワークチャネル（[Leased Lines、SAG、または IPsec-VPN]）を使用して、SASE クライアントが Alibaba Cloud 以外の環境にあるサービスリソースにアクセスできるようにします。

    [ネットワーク構成] > [Alibaba Cloud 以外のサービス] > [クラウドネットワークインスタンス] タブで、オリジンフェッチ用 VPC を構成し、ネットワーク接続を有効化します。

    オフィス用コンピューターの要件：

    • Windows (64 ビット、32 ビット、.msi 64 ビット、.msi 32 ビット)：Windows 7 以降

    • macOS：macOS 10.10 以降

    • Linux：Ubuntu 18.04 以降、UOS

    企業のサービスおよびリソースが Alibaba Cloud 以外の環境にデプロイされている

    SASE には、Alibaba Cloud 以外のネットワークに接続できるコネクタ機能が用意されています。これにより、SASE アプリを使用して、Alibaba Cloud 以外の環境にあるサービスにアクセスできます。

    この方法は、ネットワークアクセスのために他のネットワーク製品に依存しません。

    [ネットワーク構成] > [Alibaba Cloud 以外のサービス] > [コネクタリスト] タブで、SASE コネクタを手動で追加します。その後、コマンドを実行してコネクタをデプロイし、コネクタインスタンスが有効になっていることを確認します。

    オフィス用コンピューターの要件：

    • Windows (64 ビット、32 ビット、.msi 64 ビット、.msi 32 ビット)：Windows 7 以降

    • macOS：macOS 10.10 以降

    • Linux：Ubuntu 18.04 以降、UOS

    コネクタをデプロイするサーバーの要件：

    • 仮想マシンまたはサーバー構成：

      • CPU：4 コア

      • メモリ：8 GB

      • ディスク：40 GB

      • オペレーティングシステム：CentOS 7 以降

    • ネットワーク構成：サーバーはインターネットにアクセスできる必要があります。ファイアウォールが構成されている場合は、コネクタをデプロイするサーバーまたは仮想マシンのアウトバウンドトラフィックをポート 443 および 8000 で許可する必要があります。

    • 仕様制限：200 MB のトラフィック転送。

    • ポート要件：ポート 9000～9010 が使用されていないことを確認してください。

    このトピックでは、Alibaba Cloud 以外の環境にビジネスリソースがデプロイされているケースを例として使用します。

    1. 左側のナビゲーションウィンドウで、内部ネットワークアクセス > ネットワーク設定 を選択します。

    2. ネットワーク設定 ページで、Alibaba Cloud 以外のサービス をクリックします。

    3. コネクタを追加およびデプロイします。

      1. コネクタの一覧 タブで、コネクタの追加 をクリックします。

        コネクタは最大 5 個まで追加できます。

      2. コネクタの追加 パネルで、ビジネス要件に基づいてパラメーターを構成し、OK をクリックします。

        パラメーター

        説明

        例

        リージョン

        コネクタのリージョンです。最適なアクセス品質を得るため、サーバーに最も近いリージョンを選択してください。

        中国 (北京)

        インスタンス名

        コネクタの名前です。

        private-access-connector-for-company-A

        インスタンスの電源

        SASE エンドユーザーは、インスタンスが 有効 の場合にのみ、コネクタに関連付けられたアプリケーションにアクセスできます。

        重要

        インスタンスの電源 を無効にすると、エンドユーザーは SASE クライアントを使用してプライベートアプリケーションにアクセスできなくなります。慎重に操作してください。

        有効

        左側のナビゲーションウィンドウで [プライベートアクセス] > [ネットワーク構成] を選択し、[Alibaba Cloud 以外のサービス] タブをクリックします。[コネクタリスト] セクションで、追加済みのコネクタインスタンスとそのステータスを確認でき、[コネクタの追加] をクリックして新しいコネクタを追加できます。

    4. コネクタをインストールおよびデプロイします。

      1. 詳細 列で デプロイメント をクリックします。デプロイメント パネルで、コネクタのデプロイコマンドをコピーします。

        curl -sSL https://sase-app.oss-cn-hangzhou.aliyuncs.com/connector.default.sh | ALIUID=1637xxxx0585 CODE=AE854025xxxxDB714E2C INSTANCE_ID=connector-09fcxxxxd8ba bash

      2. コネクタをデプロイするサーバーまたは仮想マシンに root ユーザーとしてログインし、コマンドを実行します。

    ステップ 4：ゼロトラストポリシーの作成

    ゼロトラストポリシーは、ユーザーグループを特定のアプリケーションにマッピングすることでアクセスを制御します。デフォルトでは、すべてのアクセスが拒否されます。ユーザーにアプリケーションへのアクセスを許可するには、[許可] ポリシーを作成する必要があります。

    1. 左側のナビゲーションウィンドウで、内部ネットワークアクセス > アクセス制御 を選択します。

    2. ゼロトラストポリシー タブで、ポリシーの追加 をクリックします。

    3. ポリシーの作成 パネルで、以下のパラメーターを構成し、OK をクリックします。

      ビジネス要件に基づき、ゼロトラストポリシーを無制限に作成できます。

      パラメーター

      説明

      例

      ポリシー名

      ゼロトラストポリシーの名前です。

      名前は 2～100 文字で、漢字、英数字、ハイフン (-)、アンダースコア (_) を使用できます。

      勤怠アプリ用の許可ポリシー

      説明

      ゼロトラストポリシーの説明です。

      すべてのユーザーが勤怠管理アプリケーションにアクセスできます。

      優先度

      評価順序を決定する数値です。数値が小さいほど優先度が高くなります (1 が最高)。ポリシーは優先度の高い順に評価されます。

      ポリシーが競合する場合、優先度の高いポリシーが適用されます。

      1

      アクション

      ポリシーの操作です。有効な値は次のとおりです。

      • アクセス許可: ポリシーにより、ユーザーまたはデバイスが指定されたアプリケーションにアクセスできます。

      • アクセス禁止：ユーザーまたはデバイスが指定されたアプリケーションにアクセスすることを拒否します。

      許可

      対象ユーザー

      ポリシーは、指定されたユーザーグループに属するユーザーのエンドポイントデバイスに適用されます。SASE は、それに応じて一致するアクセス動作を許可またはブロックします。

      追加。 ユーザーグループ タブで、ポリシーを適用するユーザーグループを選択します。現在のユーザーグループが要件を満たさない場合は、カスタムユーザーグループ タブで新しいグループを構成できます。ユーザーグループの構成方法の詳細については、「ユーザーグループ管理」をご参照ください。

      企業の全従業員

      選択済みのアプリケーション

      アクション 設定に基づき、許可または拒否されるアプリケーションです。

      追加 をクリックします。[タグ] タブで、構成済みのタグに基づいて指定されたアプリケーションを選択します。また、[アプリケーション] タブで直接アプリケーションを選択することもできます。

      勤怠管理アプリケーション

      セキュリティベースライン

      企業の要件を満たすセキュリティベースラインテンプレートを選択します。

      -

      ポリシーの状態

      ポリシーのステータスを設定します。

      有効

    ステップ 5：構成の検証

    1. インストール済みの SASE クライアントを開きます。

    2. 企業認証 ID を入力し、OK をクリックします。

      Secure Access Service Edge コンソールにログインできます。左側のナビゲーションウィンドウの 設定項目 ページで、エンタープライズユーザー ID を取得できます。

    3. メールまたは電話で受け取った初期ユーザー名とパスワードを使用してログインします。

    4. [プライベートネットワークに接続] をクリックします。

    5. 企業の勤怠管理アプリケーションにアクセスします。

      アプリケーションにアクセスできる場合は、構成は成功しています。