43 Microsoft Forefront Threat Management Gateway 2010とAccess Managerの統合
この章では、Access ManagerとMicrosoft Forefront Threat Management Gateway (TMG) 2010との間の通信を構成する方法について説明します。内容は次のとおりです。
43.1 このリリースの新機能
Access ManagerとMicrosoft Forefront Threat Management Gateway (TMG) 2010との統合をサポートするようになりました。
この章は、Access Managerのポリシーと操作に詳しいユーザーを対象としています。
43.2 TMG Server 2010との統合の概要
この項では、この統合を有効にするために実行するタスクの概要を示します。内容は次のとおりです。
43.2.1 この統合について
Microsoft Forefront Threat Management Gateway (TMG) 2010は、Internet Security and Acceleration (ISA) Server 2006の次世代サーバーです。
この章では、Forefront TMG WebサーバーとAccess Manager間のオープンな(保護されていない)接続を構成するステップについて説明します。この通信は、ISAPI対応10g Webgateの使用に基づいています。保護されている通信の詳細は、Forefront TMG Serverのドキュメントを参照してください。
IIS WebサーバーとForefront TMGは、同じコンピュータにインストールされていても、別々のコンピュータにインストールされていてもかまいません。この章の例では、両方が同じホストにインストールされています。
次の概要では、実行が必要なタスクと、ISAPI WebGateをTMG Serverに合せて設定するステップについて説明します。
タスクの概要: TMG ServerでのISAPI Webgateのインストールと構成
-
「動作保証要件の確認について」の説明に従った最新の動作保証マトリックスの取得。
43.2.2 動作保証要件の確認について
この章で特定のバージョンおよびプラットフォームについて言及している場合、それらは例示のみの目的で記載されています。最新の動作保証情報は、次のOracle Technology Networkを参照してください。
http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html
43.3 Forefront TMGのポリシーとルールの作成
Forefront TMG 2010をインストールした後、デフォルトのファイアウォール・ポリシーが、Forefrontをホストするコンピュータに対するすべてのトラフィックを拒否するため、そのホストに対して、他のコンピュータからpingを実行できなくなります。
この項では、次の操作に必要な情報を提供します。
43.3.1 Forefront TMG用カスタム・ポリシーの作成
カスタムForefrontファイアウォール・ポリシーを作成できます。
前提条件:
ベンダーのドキュメントに従ってForefront TMG 2010をインストールします。
デフォルトのファイアウォール・ポリシーをオーバーライドするカスタム・ポリシーを作成するには:
43.3.2 Forefront TMGファイアウォール・ポリシー・ルールの作成
リソースを保護するため、Forefront TMGコンソールを使用してファイアウォール・ポリシーを作成する必要があります。
認証の基本設定に対してリスナーを作成する際、「HTTP 経由でのクライアントの認証を許可する」と「すべてのユーザーに認証を要求する」を選択してください。そのようにされていない場合、TMGプロキシを使用して公開済Webサイトにアクセスできなくなります。
TMGサーバーは、公開済Webサーバーへの認証を行う際、「認証の委任」を使用します。
ノート:
IISとForefront TMGは同じ(または別々の)コンピュータにインストールできます。ここでは、両方が同じホスト上にインストールされている状態としています。
デフォルトのファイアウォール・ポリシーをオーバーライドするカスタム・ポリシーを作成するには:
43.4 Forefront TMG Server用の11g Webgateのインストールおよび構成
11g Webゲートを設定し、Webフィルタとしてプラグインを登録できます。
タスクの概要: TMG Server用にWebゲートとフィルタを構成する手順には、次のタスクが含まれます
43.4.1 TMG Server用の11g Webgateのインストール
Forefront TMG ServerとともにWebgateをインストールする場合、ISAPI Webgateのインストール先(Webgate_install_dir)を、Microsoft Forefront TMGのインストール先と同じにする必要があります。
たとえば、Forefront TMGをC:\Program Files\Microsoft Forefront Threat Management Gateway
にインストールする場合、ISAPI Webgateもここにインストールする必要があります。
タスクの概要: Forefront TMG Server用のISAPI Webgateのインストール
43.4.2 webgateディレクトリの権限の変更
Forefront TMG Serverに対応するISAPI Webゲートのインストールと構成が終了したら、webgate
サブディレクトリへの権限を変更する必要があります。
このサブディレクトリは、Forefront TMG Server(およびWebgate)のインストール・ディレクトリ内に作成されています。ユーザーNETWORK SERVICEを作成し、SYSTEM ADMINISTRATORにフル・コントロールを付与する必要があります。これにより、Forefront TMG ServerがWebgateとアクセス・サーバー.との間の接続を確立できます。特定の構成ファイルをシステム管理者に対して読取り可能にする必要があります。SYSTEM ADMINISTRATORにフル・コントロールを付与するのはそのためです。
ノート:
Webゲート簡易モード: ユーザーNETWORK SERVICEを追加し、TMG_install_dir<TMG_WG_INSTANCE_DIR>/webgate/config/password.xml
内のpassword.xml
ファイルに対するフル・コントロールを付与します。
webgateインストールおよびインスタンス・サブディレクトリの権限を変更するには、次のようにします。
cacls <WG Instance Dir>\webgate /E/T/G NETWORK:f
cacls <WG Instance Dir>\webgate /E/T/G “NETWORK SERVICE”:f
cacls <WG Install Dir>\webgate /E/T/G NETWORK:f
cacls <WG Install Dir>\webgate /E/T/G “NETWORK SERVICE”:f
- 「ISAPI 11g Webゲートに対するTMG 2010 Serverの構成」に進みます。
43.5 ISAPI 11g Webgateに対するTMG 2010 Serverの構成
TMG ServerをAccess Manager用11g ISAPI Webゲートと連動するように構成できます。
タスクの概要: ISAPI 11g Webgateに対するTMG 2010 Serverの構成
43.5.1 Access ManagerプラグインのTMG Server Webフィルタとしての登録
ISAPI Webgate権限をリセットしたら、Access Managerのwebgate.dll
およびpostgate.dll
プラグインをForefront TMG Server内にWebフィルタとして登録する必要があります。
Webフィルタは、TMG Serverホストを通過する全HTTPトラフィックをスクリーニングします。条件に適合するリクエストのみが、通過を許可されます。次の手順では、Access ManagerプラグインをTMG Serverに登録する方法を説明します。
ノート:
フィルタ登録を元に戻す必要がある場合、次の手順を使用し、regsvr32
コマンドに/u
オプションを指定します。たとえば、<TMG_WG_INSTALL_DIR>\webgate\iis\lib\webgate.dll
のようになります
Access ManagerプラグインをTMG Server Webフィルタとして登録するには:
43.6 TMG Serverの起動、停止および再起動
Access Manager Webコンポーネントのインストールまたは設定中にTMG Serverの再起動を求められた場合は、画面に表示される指示に従ってください。
net
コマンドは、インストールに伴いメタベースが破損しないようにするために役立ちます。TMG Serverの停止と開始に適している、次のコマンドを検討してください。
-
net stop fwsrv
-
net start fwsrv
詳細は、TMG Serverのドキュメントを参照してください。
43.7 TMG ServerのWebゲートをアンインストールする前のAccess Managerフィルタの削除
TMG Serverと連動するように構成されたWebgateのアンインストールを計画している場合、最初にAccess Managerフィルタの登録を手動で解除してから、Webgateをアンインストールする必要があります。
WebGateのアンインストールの前にフィルタの登録を解除するには: