Secure Access Service Edge:グローバルオフィスアクセラレーション

手順 1：ID ソースの作成

1. [Identity Access] ページに移動し、アイデンティティ同期 タブをクリックします。

2. アイデンティティソースの追加 をクリックします。このガイドでは、例として カスタムアイデンティティソース を使用します。

   説明

   本番環境では、AD、LDAP、DingTalk、WeCom などの企業の ID プロバイダー (IdP) と SASE を連携させることを推奨します。

   1. 基本設定 の手順で、ID ソース名 と 説明 を入力し、ID ソースステータス を 有効 に設定します。次へ をクリックします。

   2. ログイン設定 の手順で、PC デバイスのログイン方式 と モバイルログイン方式 を設定します。この例ではデフォルト設定を使用します。必要に応じて [二要素認証]を有効化できます。

   3. 設定を確認したら、確認する をクリックして ID ソースを作成します。

手順 2：ユーザーとユーザーグループの作成

1. [Identity Access] ページに移動し、ユーザーセンター タブをクリックします。左側のドロップダウンリストから前の手順で作成した ID ソースを選択し、ユーザーの追加 をクリックします。

2. [Add User] パネルで、ユーザー名、パスワード、その他の情報を入力し、組織部門 で対象の ID ソースにユーザーを割り当てます。

   その他のフィールドには、[Position]、[Email] (必須)、[Mobile]、[Employment Status] (デフォルトは [Active])、[Account Expiration Time]、および [Remarks] があります。システムは有効期限到来時にアカウントを自動的に凍結します。完了したら、[OK] をクリックします。

3. ユーザーグループ管理 タブに切り替えます。ユーザーグループの追加 をクリックし、名前 (例：dev-group) を設定して、必要に応じて グループ範囲 を設定します。

   [Group Scope] エリアでは、[Organizational Structure]、[Account Name]、[Email]、[Mobile Number] などの条件でユーザーをフィルタリングし、[Configuration relationship] (equals または not equals) を設定できます。完了したら、[OK] をクリックします。

4. 情報を確認したら、OK をクリックします。

手順 1：SASE コネクタの追加

1. [Secure Access Service Edge console] にログインします。左側メニューで、内部ネットワークアクセス > ネットワーク設定 を選択します。

2. [Non-Alibaba Cloud business] タブで、コネクタを追加します。

   1. コネクタの一覧 タブで、コネクタの追加 をクリックします。

   2. コネクタの追加 ダイアログボックスでパラメータを設定し、OK をクリックします。

      パラメータ	説明
      リージョン	コネクタをデプロイするリージョンです。アクセス品質を最適化するために、サーバーに最も近いリージョンを選択します。
      インスタンス名	コネクタの名前です。
      インスタンスの電源	SASE エンドユーザーは、インスタンススイッチが 有効 状態の場合にのみ、コネクタに関連付けられたアプリケーションへアクセスできます。 コネクタ一覧、またはコネクタの 詳細 パネルからもインスタンススイッチを有効化できます。 重要 コネクタのインスタンススイッチを無効化すると、エンドユーザーは SASE クライアント経由で内部アプリケーションにアクセスできなくなります。慎重に操作してください。

      コネクタを追加した後、コネクタ一覧で確認できます。

3. Global Accelerator を有効化します。

   1. 作成したコネクタインスタンスを見つけ、詳細 列の 詳細 をクリックします。

   2. コネクタのインスタンス情報ページで、Global Accelerator セクションを見つけて有効化します。

   3. Global Accelerator の有効化 ダイアログボックスで、次の情報を入力します：

      重要

      Global Accelerator を初めて有効化する際は、サービスにリンクされたロール AliyunServiceRoleForGaCdt と AliyunServiceRoleForGaVpcEndpoint の自動作成を承認するよう求められます。これらのロールにより、Global Accelerator は SASE 内のリソースへアクセスできます。

      パラメータ	説明
      グローバルインスタンス名	必須。Global Accelerator インスタンスの名前を入力します。 重要 Global Accelerator の料金には、インスタンス料金、キャパシティユニット (CU) 料金、およびデータ転送料金が含まれます。
      リソースグループ	リソースグループを選択します。
      プロトコル	[Submit] をクリックすると、関連するサービス規約に同意したことになります。

      情報を確認したら、次へ をクリックします。

   4. アクセラレーションリージョン と 帯域幅の割り当て を設定します。

      パラメータ	説明
      アクセラレーションリージョン	ユーザーの地理的に近いアクセラレーションリージョンを選択します。 説明 ドバイリージョンは、現在アクセラレーションリージョンとしてサポートされていません。
      帯域幅の割り当て	帯域幅の値は 2～10,000 Mbps の範囲で設定できます。次の帯域幅割り当て方法をサポートしています： リージョン別の帯域幅設定：各アクセラレーションリージョンのピーク帯域幅をカスタマイズします。 帯域幅の一括設定：すべてのリージョンに対して同一のピーク帯域幅を設定します。

      設定が完了したら、OK をクリックします。アクセラレーションインスタンスの作成には時間がかかる場合があります。

   5. アクセラレーションインスタンスが作成されたら、インスタンス詳細ページで詳細を確認できます。

      詳細ページには次が表示されます：[Associated Policy] は未設定、[Instance Switch] は有効、Global Accelerator は有効、[Acceleration instance] のステータスは「Available」、[Acceleration instance ID] は ga- で始まります。

手順 2：コネクタのデプロイ

1. 追加したコネクタの [Actions] 列で デプロイメント をクリックします。デプロイメント パネルで、デプロイコマンドを取得します。

2. 宛先サーバーまたは仮想マシンに root ユーザーとしてログインし、デプロイコマンドを実行します。 デプロイメント パネルには、コネクタのアップグレード、アンインストール、ログのエクスポート用コマンドも用意されています。

   [Deploy] パネルでは、次のサーバースペックを推奨しています：CentOS 7.0+、Ubuntu 18.04+、または Debian 12+ (SELinux を無効化)、4 コア CPU、8 GB メモリ。単一サーバーで最大 200 Mbps のアクセス帯域幅を提供します。高可用性のため、1 つのコネクタインスタンスを複数サーバーにデプロイできます。サービスを停止するコマンドも用意されています：systemctl stop aliyun_sase_connector.service。

3. デプロイ後、インスタンス詳細ページでインスタンスステータスが [接続済み] になり、インスタンス ID などの情報も確認できます。

手順 3 (オプション)：管理対象オブジェクトの設定

ネットワーク伝送品質を向上させるため、[transmission network type] を次のとおり変更します。

1. Global Accelerator コンソールの [Instances] ページに移動し、管理対象オブジェクトとそのステータスを確認します。

   インスタンスステータス列には 「Available」 と 「Managed」 が表示されます。「Managed」タグにカーソルを合わせると、管理対象のクラウドサービスが CSAS であることを示すツールチップが表示されます。[Actions] 列には 「Manage instance」 と 「Unmanage」 へのリンクがあります。

2. 現在のアカウントが [クロスボーダーエクスプレス接続]をサポートしている場合、自動作成された管理対象の GA インスタンスはデフォルトで [クロスボーダーエクスプレス接続]モードになります。サポートしていない場合は、デフォルトで [BGP (マルチ ISP) Pro モード]になります。

   GA インスタンスの [Instance Information] タブで、[Transmission network quality type] エリアに クロスボーダーエクスプレス接続が 「Enabling」 と表示され、インスタンス管理ステータスが 「Managed (CSAS)」 であることを確認できます。

手順 4：アプリケーションとアドレスの追加

1. [Application Management] ページに移動し、アプリケーションの追加 をクリックします。

2. 基本設定 の手順で、次のパラメータを設定します：

   • アプリケーション名：アプリケーションの名前を入力します。

   • 説明：アプリケーションの説明を入力します。

   • Tag：アプリケーションのタグを選択します。

   • Status：アプリケーションステータスを 有効 または 無効化 に設定します。

   • アクセスモード：

     • APP アクセス：オフィスアプリケーションにアクセスするには、ユーザーが SASE クライアントアプリをインストールする必要があります。このモードはレイヤー 4 およびレイヤー 7 のアプリケーションをサポートし、オフィスおよび O&M の要件を満たし、幅広いエンドポイントセキュリティの検出および制御ポリシーをサポートします。

     • ブラウザアクセス：ユーザーは SASE クライアントアプリをインストールせずに、企業の Web アプリケーションへアクセスできます。このモードは、エンドポイントセキュリティの検出および制御ポリシーをサポートしません。

3. 設定を確認したら、次へ をクリックして アプリケーションアドレス の設定に進み、次の情報を入力します：

   • アプリケーションアドレス：アプリケーションサーバーのドメイン名または IP アドレスを入力します。

   • ポート：アプリケーションの開始ポートと終了ポートを入力します。

   • 説明：アドレスの説明を入力します。

   • プロトコル：TCP プロトコル または UDP プロトコル を選択します。

   • Web アプリのアクセス強化 ([Advanced Settings])：オプション。必要に応じてアクセス強化を設定します。

4. アプリケーションアドレス情報を確認したら、OK をクリックします。

5. 設定後、[Office Applications] ページの一覧にアプリケーションが表示されます。[Application Address] 列には設定したアドレスが表示され、[Access Mode] は 「APP Access」、[Status] スイッチはオンになります。

6. 設定したアクセスモード (例：「APP Access」) を使用してアクセラレーション済みアドレスに接続し、設定を検証します。

手順 5：コネクタ転送ポリシーの設定

1. コネクタの一覧 タブで、転送ルール をクリックします。

2. 転送ルール ページで、ポリシーの作成 をクリックします。

3. ポリシーの作成 パネルでパラメータを設定し、OK をクリックします。

   パラメータ	説明
   ポリシー名	コネクタ転送ポリシーの名前です。
   説明	ポリシーの説明です。
   優先度	ポリシーの優先度です。値は 1～100 の範囲です。数値が小さいほど優先度が高くなります。
   ポリシーの詳細	有効なユーザーと関連付けるアプリケーションを追加します。
   コネクタの関連付け	ポリシーに関連付けるコネクタを選択します。
   ポリシーの状態	ステータスが 有効 状態の場合にのみ、ポリシーが有効になります。

手順 6：ゼロトラストポリシーの設定

1. [Zero trust policy] ページで、ポリシーの追加 をクリックします。

2. ポリシーの作成 パネルでパラメータを設定し、OK をクリックします。

   パラメータ	説明
   ポリシー名	ゼロトラストポリシーの名前です。
   説明	ポリシーの説明です。
   優先度	ポリシーの優先度です。値は 1～45 の範囲です。
   アクション	アクションを アクセス許可 (デフォルト) または アクセス禁止 に設定します。
   ポリシーの詳細	有効なユーザーと関連付けるアプリケーションを追加します。
   信頼済みプロセス	デフォルトでは無効です。 説明 有効にすると、ゼロトラストゲートウェイはアクセスを開始したプロセスが信頼できるプロセスであるかどうかを検証します。信頼できないプロセスからのアクセスはブロックされます。
   セキュリティベースライン	オプション。適用するセキュリティベースラインを選択します。
   トリガーテンプレート	オプション。適用するトリガーテンプレートを選択します。
   ポリシーステータス	デフォルトで有効です。ステータスが 有効 状態の場合にのみ、ポリシーが有効になります。

診断タスクの作成

1. [Network Diagnostics] ページに移動し、タスクの作成 をクリックします。

2. 表示されるパネルで、次のパラメータを設定します：

   • タスクの種類：エンドツーエンド診断 または アプリケーション診断 を選択できます。オフィスアクセラレーションの診断タスクの場合は、エンドツーエンド診断 を選択します。

   • タスクオブジェクト：この診断タスクの対象オブジェクトを設定します。複数のオブジェクトを追加できます。

     • ユーザー名：ユーザーを選択します。

     • アプリケーションプロトコル：TCP および UDP のプロトコルタイプをサポートします。

     • アプリケーションアドレス：アプリケーションのドメイン名または IP アドレスと、ポート番号を入力します。

   • エンドポイント：デフォルトは [自動選択] です。アクセスポイントを手動で指定することもできます。

3. 情報を確認したら、OK をクリックします。

診断結果の確認

1. [Network Diagnostics] ページに移動し、タスクリストで作成した診断タスクを見つけます。

2. 詳細 列の 詳細 をクリックして、タスクの診断詳細を展開します。

   展開された診断詳細は、エンドツーエンドのトポロジ図として表示され、次の 6 ノードを順に通過します：Desktop、POP access point、accelerator、connector server、connector client、オリジンサーバー。各リンク間のレイテンシが (例：74 ms、4 ms、3 ms、169 ms、167 ms) のように表示されます。各ノードの詳細には、名前、アドレス、リソース ID、および地理的位置 (例：Singapore/Alibaba Cloud、China (Hong Kong)/Alibaba Cloud) が含まれます。