Workspace ONE Accessってなんだ？

 この投稿は「vExperts Advent Calendar 2022」の17日目の投稿です。

VMware Workspace ONE UEMについて、機能の概要を紹介する記事は以前書いたことがあるのですが、Workspace ONE UEMとよくセットで出てくるWorkspace ONE Accessについては紹介する記事を書かずに、いきなりREST APIにアクセスするような記事を書いていたので、Workspace ONE Accessを紹介する記事を記載していこうと思います。

Workspace ONE Accessは、Workspace ONEに含まれる、アクセス管理機能を提供するSaaSサービスです。ユーザーが仮想アプリケーションやWebアプリケーションを利用する際に、以下の機能を提供します。

  • ユーザーポータル機能
  • シングルサインオン機能
  • アクセスポリシー機能

Oktaなどの専業のアクセス管理のSaaSサービスと比べると、ユーザープロビジョニング機能や、ソーシャルログイン機能、用意された他SaaS連携用テンプレートの数などでは見劣りすることがありますが、すべてのWorkspace ONEのエディションで利用可能であり、UEMとほぼセットになってついて来ます。そのため、自社の利用用途にかっちりハマって、有効に使うことができれば非常にお得なサービスととらえることもできます。

Workspace ONE Accessは主に以下の機能を提供します。

●ユーザーポータル機能

ユーザーポータル機能は、一般ユーザーにポータルサイトを提供します。
このポータルサイトにはWebサイト、WebアプリのリンクやHorizonなどのVDIへのリンクを含めることができ、ユーザーが個別に一つ一つのリンクをブックマークする負担を軽減することができます。

vExpertや、VMwareのパートナー企業に所属する方が利用可能なTESTDRIVE内に用意されたいくつかの製品の体験版アクセス時に利用するユーザーポータルなども、Workspace ONE Accessが利用されています。

TESTDRIVEの一部製品利用時に通過する
Workspace ONE Accessのユーザーポータル。
HorizonやSlackなど、様々なアプリケーションへのリンクが一つのページに集められています。

●シングルサインオン機能

ユーザーポータルに含めたWebアプリやVDIのリンクをクリックすると、ユーザーはリンク先のシステムのログインページにアクセスすることになりますが、リンク先のシステムがSAMLなどのれでレーションプロトコルに対応していれば、ユーザーにパスワードの入力を実施させることなく、シームレスにシングルサインオンをさせることが可能です。

なお、対応しているフェデレーション方式は以下のようなものがあります。

・SAML 2.0
・SAML 1.1
・WS-Federation 1.2 (Office 365のみ)
・OpenID Connect
・OktaなどのサードパーティIDPによって連携されるアプリケーション

●アクセスポリシー機能

ユーザーポータルに含めたWebアプリやVDIのリンクの中に、ほかのリンクよりも強力なアクセス制限を課したいリンクがある場合、アクセスポリシーをカスタムして、特定のリンクだけに多要素認証を強制することも可能です。
利用可能な認証方法は日々増えており、比較的最近ではGoogle Authenticatorなども利用可能なTOTP(Time-based One Time Password)機能を搭載しました（実はクライアントとなるモバイルのIntelligent HubアプリにもTOTP機能が搭載されています）。

TESTDRIVEで有効化したTime-based One Time Password(TOTP)の
認証方式の初回認証画面。
TOTPの秘密鍵を含んだQRコードが表示されています。

iOS版Intelligent Hubアプリの画面にも、
「２要素認証」の機能があり、タップすると、、、

秘密鍵を含んだQRコードをスキャンするためのボタンが表示されます。
タップすることで、カメラが起動し、初回認証画面に表示されていた
QRコードを読み込めるようになります。

今後、Workspace ONE Accessの細かな機能や、使い方については本ブログ上でもこっそりと更新をしていこうと思います。

明日の「vExperts Advent Calendar 2022」は Masato Narishige さんです。
どうぞお楽しみに！

このブログの人気の投稿

●久々にESXiのカスタムISOをつくってみた

ブログのタイトルに仮想化という言葉がはいっているのですが、ここ2-3年ESXiなどにちゃんと触れていないことに気づき、後ろめたい気持ちがあったので、久々に仮想化について記載いたします。 今回は自作PCをくみ上げ、ESXi 6.7をインストールしてみました。 ※7じゃなくて6.7な理由は、自作パソコンをくみ上げた後にオンボードnicがRealtekさんだったことに気づいたためです。 ESXi 6.7までは有志の方が作ったRealtekのドライバを使うことができたようなのですが、7では使えないらしく、泣く泣くこの選択になりました。。。 参考： Homelab considerations for vSphere 7 そのため、インストールではなく、カスタムイメージの作成から始まります。 ※というかインストールはいろんな人がすでにブログで書いており、現状ほぼ自分も迷わないので、忘備録としてカスタムISOの作成だけを記載します。。汗 普段Workspace ONEに触れている私は、ESXiのカスタムイメージを作成する機会が滅多になく、作成のたびに2時間程度調べて格闘しなければいけなかったので、この機会に忘備録として記載してしまいます。。 なお、必要なイメージやVIBなどは以下を利用しました。 Net55-r8168 - V-Front VIBSDepot Wiki VMware vSphere Hypervisor (ESXi) 6.7U3b(オフラインバンドル) 手順は主に以下を参考にしました。 Using vSphere ESXi Image Builder to create an installable ISO that is not vulnerable to Heartbleed Using the vSphere ESXi Image Builder CLI ●ESXiのカスタムイメージ作成をやる前に、概念をぼんやり思い出そう 今回のESXiカスタムイメージ作成では、以下二つの概念が出てきます。 ソフトウェアデポ これはVIBなどのソフトウェアモジュールをプールしたモノのようです。ESXiのオフラインバンドルや拡張VIBモジュールのzipを入手したら、Add-EsxSoftwareDepotコマンドレットを使用して、とりあえずソフトウェアデポに追加していきます
Read more »

■Microsoft Graph PowerShellモジュールでMicrosoft 365の認証をWorkspace ONE Accessにフェデレーションする

イメージ
耐寒マツバギク(2024/5/18撮影) タンポポに似て、円形に細い花弁を持っていることや、その名前からキクの仲間と思ったところ、調べてみると違う植物の仲間だそうです。 マツバギクという名称なのでなんとなくアジア原産かと思っていたら、南アフリカ原産でした。 New-MgDomainFederationConfiguration コマンドというコマンドがあるそうです。 以下URLを見てみると、 前回のブログエントリ で使用した Set-MsolDomainAuthentication コマンドの後継コマンドだそうです。 Find Azure AD PowerShell and MSOnline cmdlets in Microsoft Graph PowerShell 今回は、New-MgDomainFederationConfiguration コマンドを使用してMicrosoft 365の認証をWorkspace ONE Accessに委任しました。 本ブログエントリは2024年5月18日時点で筆者が確認できた情報をもとに作成しております。本ブログエントリを参考に同様の手順を実行する場合、その時々の各製品、サービスの提供元の公式情報をご確認ください。 ■目次 Microsoft.Graph.Identity.DirectoryManagement モジュールのインストール Microsoft 365に接続 Microsoft 365に存在するドメインのリスト表示 New-MgDomainFederationConfiguration コマンドによるフェデレーション設定 ログイン確認 その他躓いたこと ①Microsoft.Graph.Identity.DirectoryManagement モジュールのインストール Set-MsolDomainAuthentication コマンドは MSOnline というモジュールの中のコマンドですが、New-MgDomainFederationConfiguration コマンドは別の Microsoft.Graph.Identity.DirectoryManagement モジュールに含まれたコマンドのようです。 以下のコマンドでモジュールをインストールしました。 Install-Module -Name Microso
Read more »

■Workspace ONE UEM API Explorerについて

イメージ
この投稿は、 vExperts Advent Calendar 2019 - Adventar の 12日目の記事 です。 今年初めて vExperts Advent Calendar に参加させていただきます。どうぞ宜しくお願い致します。 今回の記事のテーマは、 「Workspace ONE UEM(以下UEM)の持つREST APIの動作確認をしてみること」 です。 VMware製品の持つAPIの多くは、以下のページでどのようなものがあるかを確認することが可能です。 VMware API Explorer ただ、 UEM のAPI については上記ページに記載はなく、UEMホストそのものに同様のページが設けられています。具体的には各UEMホストの、以下のURLに準備されています。 https://<UEMのFQDN>/api/help/#!/apis ※2020/9/25 追記：確認する範囲では <UEMのFQDN>でもAPI Explorerにはアクセス可能ですが、 多くのSaaS共有環境では、API のURLは普段管理コンソールとして利用するcnXXX.awmdm.comの先頭二文字のcnをasに入れ替えた値となります(API ExplorerのFQDNも本来はこちらになります)。 UAGなどでTunnelやContent Gatewayなどの構成要件として APIとの通信が必要な 場合は、 <UEMのFQDN>ではなく、 asXXX.awmdm.comなどのような、API用URL をご確認の上、通信を許可してください。なお 管理者権限にもよりますが、 API用URLについては SaaS共有環境であれば[グループと設定]＞[すべての設定]＞[システム]＞[高度な設定]＞[サイトURL]で確認可能です(2020/9/25時点)。    REST API用のURLの確認画面。 ※画像はConsole Administrator権限で確認した際のもの 上記URLにアクセスすると、 Workspace ONE UEM API Explorer が表示されます。 REST APIの動作確認というと、 postmanなどのREST Clientをインストール したり、 FireFoxやChrome
Read more »