JOUG ベスト・オブ・ブリード忘年会2023 でのLT登壇資料

1. ゼロトラスト三銃士
〜Okta x Jamf x Netskopeネタ10連発〜
株式会社ビットキー
- 日浦 航
- 佐々木 了

2. 2
Outline
1. 自己紹介
2. ビットキーについて
3. アドベントカレンダーについてご紹介
4. 本題: Okta x Jamf x Netskopeネタ10連発

3. 日浦 航
Wataru Hiura
1人目のSREとして創業半年のビットキーへ参画
自社ECサイトのインフラ設計やプロダクトの CI/CD構築
を担当。会社の成長に伴い活躍の幅を広げ、 取引先か
らのセキュリティヒアリングの回答作
成、MDMなどセキュリティ
ツールの導入、社内業務システムの開発、情シスの立ち上げやオフィス
移転に伴うネットワーク設 計、ISMS/クラウドサービスセキュリティ認証の取得、ゼロト
ラストセキュリティ
モデルを参考にした社内業務環境の構築などスタートアップの SREとしては「あるある」らしい
多種多様な成長の機会を与えられる
シンガポール拠点への赴任、新製品のインフラエンジ
ニア/SREチームに異動。
アーキテクチャ設計や CI/CDを担当
2015
2017
株式会社ワークスアプリケーションズに入社
ECパッケージ製品の開発 /導入チームに配属
2019
SRE/CREを包括するContinuous Connectの立ち上げ
2021
workhub製品の保守運用組織の立ち上げ
2022
情シス/セキュリティ部門の専任に
2023
h_r_w_t_r

4. 佐々木 了
Ryo Sasaki
2012/04
2017/07
某 通信系SIer 入社
・元々はNWエンジニアだったので BGP使った他拠点 NW作ったりとか
・自治体とか官公庁系システムに携わったりすることが多かったかな
・橋梁点検ロボット開発やったりとか
フリーランスに転向
・ペネトレーションテストやったりとか
・OpenStatkとOpenShift結構やってたりとか
・ハイブリッドクラウド作ったりとか
・工事現場DXのサービス作って運営したりとか
・HWスタートアップのプロトタイピングやったりとか
2021/11 ビットキーにジョイン
・今はIoTプラットフォームの開発やってます
UWBで遊んでます。
村田製作所さんの
Type2BP評価キットおすすめ！
https://www.murata.com/ja-jp/products/connectivitymodul
e/ultra-wide-band/nxp/type2bp

10. 10
ビットキー 情シス アドベントカレンダーのご紹介

11. 11
● 12月は情シス アドベントカレンダーやってます！
● こちらで今日のネタの詳細を言及しているケースが多いので、
是非あとでご覧ください！
1. ネタ10連発
https://qiita.com/advent-calendar/2023/bitkey-corp-eng

12. ここから本題！！
Okta x Jamf x Netskopeのネタを紹介しまくります！
ただし...
Okta, Jamf,Netskopeの詳細な説明は本日は割愛します！！
多分今日は知ってる人しかいないですよね・・・？

13. ここから本題！！
Okta x Jamf x Netskopeのネタを紹介しまくります！
※ChatGPT DALL-E3に描いてもらったゼロトラスト三銃士

14. 14
Okta User Profile Attribute大好きマンに俺はなる

15. 15
Okta User Profile Attribute大好きマンに俺はなる
● ビットキーは2週間に1回は何かしら組織構造が変わる(マジ)
● それでいてめちゃくちゃSaaSを使いまくっているため、
入社/異動/退社に応じた各SaaSへの権限付与がかなり大変
● 単純にxxというサービスが使える/使えないだけでなく、
“このロールを持っているなら、このxxサービスのyy機能を使えるべき”
みたいな認可を必要とするケースも多い
4. ネタ10連発

16. 16
● 解決策
○ Okta User Profileをめちゃくちゃ有効活用
○ グループルールとの併用のみならず、AttributeをSAMLあるいはOIDCに乗せて連携
することで認可処理に活用
■ いわゆる Attribute Based Access Control
アドカレ記事も見てね！
Okta User Profile Attribute大好きマンに俺はなる
4. ネタ10連発
12/15からマネージャになったの
なら、即日SSO可能なAWSアカ
ウントが増えたり、IAMの権限が
広がる

17. 17
社内システムの認証をOktacのOIDCに
まるっとまかせちゃおう

18. 18
社内システムの認証を
OktacのOIDCにまるっとまかせちゃおう
● 皆さんの会社では内製の社内システムってあります？？たぶんありますよね
● それらの認証基盤ってどうやって運用管理してます？？
● 結構めんどうじゃないですか？
● ましてや社内システムっていうとどうしても社内のポジションとかロール毎に認可したく
なると思うけど、それらも含めて完全内製？？
● つらくない？？
4. ネタ10連発

19. 19
社内システムの認証を
OktacのOIDCにまるっとまかせちゃおう
● 解決策
○ OktaのOpenID Connect Povider機能を使ってまるっとOktaにまかせちゃおう！
■ 参考: https://developer.okta.com/code/react/#get-started-with-react-okta
○ フロント側ではOIDC認証する部分だけ実装
○ 後ろは全部Oktaにまかせちゃう
○ これでユーザーストアをOktaに一元化
○ User Profileを使って認可処理も可能
○ 運用保守がマジで楽！！！
本来なら必要な独自ユー
ザーストアおよび認証ロジッ
クを安全確実なOktaにおま
かせ！
4. ネタ10連発

20. 20
Jamfを使ったmacOSのNWメトリクス収集

21. 21
Jamfを使ったmacOSのNWメトリクス収集
● 弊社は全端末がWi-Fi接続であり有線端末は一部の特殊用途を除き存在しない
● MerakiによるクラウドWi-Fi環境を構築
● 東京オフィスに30台弱のアクセスポイント(AP)を敷設
● その配下にmacOS端末が150台程度存在
● 基本的に大半の業務が何らかのSaaSに依存しており、ネットワークが生命線
● ちなみに開発や検証の関係でiPhoneやiPad, Android, 弊社IoTプロダクトなども存在するた
め、実際のクライアント台数は数百台になる
4. ネタ10連発

22. 22
Jamfを使ったmacOSのNWメトリクス収集
● そんな状況下で弊社では、
多くの社員より”Wi-Fiがつながらない”, “ネットが遅い”などの声が多発
● どうにかして改善させたいが、まず現状ぶっちゃけどうなのか？が全然わからんので、まず
はそこからデータを集めたい
a. NWが遅い！というのは正直言って主観的な定性的意見であり、
それらを解決するために定量的な事実集めが必要と判断
4. ネタ10連発

23. 23
● 解決策
○ macOSのairportコマンドを使ってNWメトリクスを収集させるスクリプトを実装
○ メトリクスはDatadogにプッシュして可視化
○ スクリプトは Jamf によって各macOS端末にて定期実行させる
アドカレ記事も見てね！
Jamfを使ったmacOSのNWメトリクス収集
4. ネタ10連発

24. 24
Netskopeを固定グローバルIPアドレスで運用したい！

25. 25
4. ネタ10連発
Netskopeを固定グローバルIPアドレスで運用したい！
● Netskopeはアウトバウンド通信がまるっとNetskope環境を通るのでグローバルIPアドレス
が自社のものではなくなる
● Netskopeが確保する一定範囲内のグローバルIPアドレスレンジのどれかが使われる
● 後述するセキュリティルームやお客様環境へのリモートアクセスの際に問題になる
○ だからといってNetskopeを無効化したくない (本末転倒)
● 専有できるオプション機能もあるのだけど諸々の理由からかなりハードルが高い

26. 26
Netskopeを固定グローバルIPアドレスで運用したい！
● 解決策
○ AWSでFargateを使ったフォワードプロキシ環境を構築し、
Netskopeから特定通信をポリシーでひっかけてProxyを使わせる
○ これで自社管理のAWS環境で保有するグローバルIPアドレスを使えるので、
事実上、固定化できる
4. ネタ10連発
サーバレスでらくらく管理

27. 27
共有アカウント x Okta SWAでいい感じに管理する

28. 28
● ダメだと分かっていてもなんだかんだ残るのが共有アカウント
- ベンダーのサポートサイトとかToB ECに多い気がする。
- ID/PWが口伝で継承されており「誰が使っているのか」わからないのもあるある
- 仮に監査ログが備わっているSaaSやプランであってもだいたい無意味になる
- Slackチャンネルにピン止めされてたり、Notionのチームポータルページのトップに貼られて
いることもあるという話を聞いた（うちじゃないよ）
● なんとかID/PWを知られることなく運用できて、誰がいつログインしたのかを記録する方法はないか
共有アカウント x Okta SWAでいい感じに管理する
4. ネタ10連発

29. 29
● 解決策
Okta のSWAでいいやん
- ID/PWを隠蔽した状態でユーザーがログインできるようになる
- ユーザーはID/PWを知らなくて良い
- チーム内で引き継ぎも不要
- Okta側で誰がログインしたのか記録が残る
アドカレ記事も見てね！
共有アカウント x Okta SWAでいい感じに管理する
4. ネタ10連発
Sample App
share@bitkey.jp
←ダッシュボードでアプリをクリックしたら
勝手にID/PWを入力してログインボタンまで押してくれる
【宣伝】もう一歩踏み込んで、
SWAをTerraformで管理する方法をアドカレで公開しました

30. 30
Okta Access Requestsを使ったSaaSへの一時権限付与

31. 31
Okta Access Requestsを使ったSaaSへの一時権限付与
● 「一時的なアクセス権限付与」を実現したい！
- 恒久付与は怖い。Attributeや組織図連携も長すぎる
- 1日だけ！とか数時間！を実現したい
- （ていうかサービスの本番環境ってそういうもんじゃない？？）
- でもこういう運用はしたくない
i. 情シスがタイマーとにらめっこしてOktaの設定変更したり
ii. Okta Workflowsで時限爆弾を作ったり
4. ネタ10連発

32. 32
● 解決策
○ Okta Access Requests is GOD
■ 自動でApplicationやグループにAssign/Revokeが可能
■ 「許可（承認）されてからN時間だけアクセスできる」という仕組みを10分で作れる
アドカレ記事も見てね！
Okta Access Requestsを使ったSaaSへの一時権限付与
4. ネタ10連発

33. 33
JamfのSmart Computer Group x Okta Access Requests

34. 34
● Jamfでアプリケーションを禁止したり、Airdropを禁止したりしますよね？
- Jamfで禁止・制御かけているものを
なんかの特例やビジネス上の都合で一時的に許可
する、みたいなことありませんか？
- うちはある。
- 社外で登壇するからその日だけ
Amphetamine使いたいとか
- 例外運用は別にいいけど
いちいち情シスがJamf上でexclusionsに端末や人を追加するのがめんどくさい
4. ネタ10連発
JamfのSmart Computer Group x Okta Access Requests

35. 35
● 解決策
○ Okta LDAP × Jamf Smart Computer Group × Okta AccessRequestsで
勝手に申請させて勝手に反映させる
■ ビジネス側の事情なんか情シスは知らん。部門のManagerが判断してくれ
→ Okta Access Requestsで申請者のManagerを指定できる
■ とにかく情シスは手を動かしたくない！！
→ Okta GroupをSmart Computer Groupのトリガーにして禁止設定のexclusionsに入
れておけば何もしなくて良い
■ ピタゴラスイッチなのでリードタイムが読めないのはごめん
アドカレ記事でも書きました
JamfのSmart Computer Group x Okta Access Request
4. ネタ10連発

36. 36
Netskope x Okta Access Requests

37. 37
● Netskopeのクライアント、強制化したいけどむちゃくちゃ現場に反対されません？
- 特に開発。もと開発組織Managerなので気持ちはわかる
- 都度Exceptionに設定したりやCLIの証明書問題と戦うのはマジでNetskopeのつらいところ
- わりと手探りなので「仕事できねぇ」「開発は好きな時に無効にできるようにしろ」
とか言われている会社が多いのでは（想像）
- でも「好きな時に無効化できる状態」を許すのは情シス的に結構苦渋の決断
Netskope x Okta Access Requests
4. ネタ10連発

38. 38
アドカレ記事でも書く予定
● 解決策
○ 「デフォルトは強制」「Okta Access Requestsから承認不要で一時的に無効化できる」
でなんとか手を打ってくれないか・・・
- Netskopeので「自分で無効化できる」Client Configurationを作っておき、
OktaのGroupをアサインしておく
- 申請されたら自動で該当のGroupにアサイン（時間制限あり）
- 「申請したら無効化できる」状態で耐えてもらっている間に頑張って解決させる
- 申請者と動かなかったURLが勝手に集まってくるので分析も容易
- これは嘘。Okta Access Requestsのログは申請単位の
jsonなのであまり容易ではない
4. ネタ10連発
Netskope x Okta Access Requests

39. 39
Netskope x Okta Access Requests その2

40. 40
● ルールや期限を守らないやつに腹立つことってないですか？
- ないですか。そうですか。すみません。これはボツ案で、まだやってないですが実装はしたやつです
- e-Leaningとか、OSアップデートとか...etc
Netskope x Okta Access Requests その2
4. ネタ10連発

41. 41
● 解決策
○ e-Leaning未受講者はe-Leaningサイト以外ブロック。解除するためには上長承認が必要
- NetskopeのPolicyで任意の作業時にBlockもしくはAlertのポップアップを表示できます
- 「e-Leaningが期日まで終わってない人」の
Oktaグループを対象に
- 解除するためには「e-Leaningが終わりました」というエビデンスを上長に申請して承認が必要
- という情シスがコスト0でリマインドと「期日死守」の文化醸成ができる仕組みも作れます
- NetskopeとOkta Access Requestならね
（NotionやSlackで投稿するたびにリマインドのポップアップが表示される、みたいなマジの嫌がらせもできるっちゃできる）
アドカレ記事でも書いたけど諸般の事情でボツになりました
4. ネタ10連発
Netskope x Okta Access Requests その2

42. 42
● 解決策
○ e-Leaning未受講者はe-Leaningサイト以外ブロック。解除するためには上長承認が必要
- NetskopeのPolicyで任意の作業時にBlockもしくはAlertのポップアップを表示できます
- 「e-Leaningが期日まで終わってない人」の
Oktaグループを対象に
- 解除するためには「e-Leaningが終わりました」というエビデンスを上長に申請して承認が必要
- という情シスがコスト0でリマインドと「期日死守」の文化醸成ができる仕組みも作れます
- NetskopeとOkta Access Requestならね
（NotionやSlackで投稿するたびにリマインドのポップアップが表示される、みたいなマジの嫌がらせもできるっちゃできる）
アドカレ記事でも書いたけど諸般の事情でボツになりました
4. ネタ10連発
Netskope x Okta Access Request

43. 43
HW（セキュリティエリア）とSW（SaaS/IaaS/Paas）の
アクセス管理を自社サービスとOktaでやってみた

44. 44
● セキュリティレベルの要求が高い業務エリア、サービス色々ありますよね
「スマートロック」で有名な弊社ではありますが、例えば
workhubでは、
オフィスのエリアに対して色々と情シスのニーズを満たすアクセスコントロールを実現できます
HW（セキュリティエリア）とSW（SaaS/IaaS/Paas）のアクセス管理を自社サービスとOktaでやってみた
https://www.workhub.site/
4. ネタ10連発

45. 45
HW（セキュリティエリア）とSW（SaaS/IaaS/Paas）のアクセス管理を自社サービスとOktaでやってみた
● 一昔であれば、
「本番サーバにはセキュリティ区画のネットワークからのみ接続可能」
「セキュリティ区画は入退室を厳格に管理している」
などがセオリーでしたが、SaaS全盛期の昨今
どのようにセキュリティ要求を維持するべきでしょうか？
4. ネタ10連発

46. 46
● SaaS全盛期の昨今、どのようにセキュリティ要求を維持するべきか
例えば
- SaaS側のIPアドレス制限機能を利用する
- アカウント＆アクセスの管理を厳重にする
- 入退室管理と防犯カメラで安全性を担保する
HW（セキュリティエリア）とSW（SaaS/IaaS/Paas）のアクセス管理を自社サービスとOktaでやってみた
4. ネタ10連発

47. 47
● SaaS全盛期の昨今、どのようにセキュリティ要求を維持するべきか
例えば
- SaaS側のIPアドレス制限機能を利用する
→ Oktaで管理すればSaaS側の機能有無は関係なくなる（ログイン条件が柔軟）
- アカウント＆アクセスの管理を厳重にする
→ Okta Access Requestsを使えば、SaaSの利用についてもワークフローで証跡を残せる
- 入退室管理と防犯カメラで安全性を担保する
→ Netskope × Jamf × Okta（× CrowdStrike）で
「特定の部屋に配置された特定の端末で、許可された人のみ一時的にアクセス可能」
HW（セキュリティエリア）とSW（SaaS/IaaS/Paas）のアクセス管理を自社サービスとOktaでやってみた
4. ネタ10連発

48. 48
● SaaS全盛期の昨今、どのようにセキュリティ要求を維持するべきか
例えば
- SaaS側のIPアドレス制限機能を利用する
→ Oktaで管理すればSaaS側の機能有無は関係なくなる（ログイン条件が柔軟）
- アカウント＆アクセスの管理を厳重にする
→ Okta Access Requestsを使えば、SaaSの利用についてもワークフローで証跡を残せる
- 入退室管理と防犯カメラで安全性を担保する
→ Netskope × Jamf × Okta（× CrowdStrike）で
「特定の部屋に配置された特定の端末で、許可された人のみ一時的にアクセス可能」
→ CrowdStrikeが端末の安全性をスコアリングしてくれて、
90点未満はOktaで認証させない = 接続できないとかできる
HW（セキュリティエリア）とSW（SaaS/IaaS/Paas）のアクセス管理を自社サービスとOktaでやってみた
4. ネタ10連発

49. 49
● SaaS全盛期の昨今、どのようにセキュリティ要求を維持するべきか
例えば
- SaaS側のIPアドレス制限機能を利用する
→ Oktaで管理すればSaaS側の機能有無は関係なくなる（ログイン条件が柔軟）
- アカウント＆アクセスの管理を厳重にする
→ Okta Access Requestを使えば、SaaSの利用についてもワークフローで証跡を残せる
- 入退室管理と防犯カメラで安全性を担保する
→ Netskope×Jamf×Okta（× CrowdStrike）で
「特定の部屋に配置された特定の端末で、許可された人のみ一時的にアクセス可能」
- 更に端末のセキュリティ状況もアクセス要件に追加できる
ex) OS Version、Netkopeの設定状況、EDR/EPPの設定状況を条件にできる
→ CrowdStrikeが端末の安全性をスコアリングしてくれて、Oktaで90点未満は接続できないとかできるぜ
HW（セキュリティエリア）とSW（SaaS/IaaS/Paas）のアクセス管理を自社サービスとOktaでやってみた
4. ネタ10連発
※ イメージ

50. 50
さいごに
● 今回は時間がないので詳細は述べられませんでした 󰢛
● それぞれの詳細は是非アドカレの記事をご覧ください！
● あと、このあとの懇親会でガッツリお話しましょう！
https://qiita.com/advent-calendar/2023/bitkey-corp-eng

51. 51
End of File