Entra IDとJamfで実現する金融業界のセキュリティ対策〜デバイストラストへの道のり〜

Slide 1

Slide 1 text

1 Kenichi Hikita 2024/08/06 Entra IDとJamfで実現する金融業界のセキュリティ対策〜デバイストラストへの道のり〜 Jamf Nation Live Tokyo 2024

Slide 2

Slide 2 text

2 引田健一(hikky) corporate engineer at Kanmu, Inc. 株式会社カンムコーポレートエンジニア一般社団法人日本ビジネステクノロジー協会理事運営コミュニティ - Japan EMS User Group(EMS勉強会) - Japan Okta User Group - 情シスSlack Admin etc 第一種大型免許、第一種けん引免許保持 https://blog.intracker.net/ 自己紹介

Slide 3

Slide 3 text

3 Mac歴はまだ4年弱

Slide 4

Slide 4 text

4 会社概要 COMPANY

Slide 5

Slide 5 text

5 会社概要社名住所設立代表者資本金事業内容許認可主要な株主株式会社カンム〒150-0013 東京都渋谷区恵比寿 1-20-18 三富ビル新館 4階 2011年1月八巻渉約32億9038万円（資本剰余金含む）ブランドプリペイド・クレジットカード事業の開発・運営資金決済法第三者型前払式支払手段関東財務局長第00690号第二種金融商品取引業関東財務局長（金商）第 3321号株式会社三菱 UFJ銀行（親会社）、株式会社セブン銀行

Slide 6

Slide 6 text

6 プロダクト誰でもすぐに作って買い物できる Visaプリカアプリ手元の資産形成に活用できるクレジットカード新規事業立ち上げ中

Slide 7

Slide 7 text

7 バンドルカード誰でもすぐ作れる 1分でVisaカードが発行可能 1 すぐ確認できる使ってすぐにPush通知で金額確認 2 後でも払えるその場でチャージして翌月末にお支払い 3 🎊 2024年2月：累計1,000万DLを突破

Slide 8

Slide 8 text

8 Pool 決済で1%キャッシュバック入金した金額に応じて利用可能枠が付与されるクレジットカード使った金額の1%をキャッシュバック 1 投資ができて予定利回り 1%〜値動きがなく年利1%〜のリターンが期待でき、少額から投資をはじめることができます（税引前、運用成果を保証するものではありません） 2 投資とVisaカードを組み合わせたプロダクト

Slide 9

Slide 9 text

9 デバイスは CYOD

Slide 10

Slide 10 text

10 2024/08/06 皆さんデバイストラストやってますか？

Slide 11

Slide 11 text

11 agenda INDEX 1 2 3 4 What’s 「デバイストラスト」？ Why 「デバイストラスト」？やってみた 4パターン紹介検証した気づき（所感と悩み）

Slide 12

Slide 12 text

12 デバイストラストとは？アクセス条件アクセス許可 OSVerは？最新サポート切れどのデバイス？私物社給誰が？社員社外スタッフアクセス OK アクセス NG

Slide 13

Slide 13 text

13 - 私物PCから会社資産へアクセスできないようにしたい - リモートワーク中に会社 PCを利用させたい - デバイスの状態を確認してから、アクセスさせたい - コンプライアンス要件を満たしたい - 柔軟なアクセス制御を実現したいデバイストラストを設定する理由？

Slide 14

Slide 14 text

14 - Intune + Jamf条件付きアクセス - Intune + Jamfデバイスコンプライアンス - Entra CBA + Secure W2 - Platform SSO やりたいなと、色々と試してきました。

Slide 15

Slide 15 text

15 2024/08/06 Intune + Jamf Pro連携

Slide 16

Slide 16 text

16 Intune + Jamf条件付きアクセス当時はこれで Macも条件付きアクセスで制御ができる！！と大喜びしました。

Slide 17

Slide 17 text

17 2024/08/06 しかしそんなうまくいかない・・・

Slide 18

Slide 18 text

18 Intune + Jamf条件付きアクセス - Chromeがデフォルトブラウザだと登録に失敗する (現在は解消 ) - Intune上「準拠済み」状態でも、認証に失敗する - 準拠済端末が、非準拠端末に戻ってしまう - Jamf Pro上の条件指定はできない - Intune側のデバイスコンプライアンスポリシーで評価される - 評価されるまで時間が結構かかる、外れるとすぐアクセス不可 - 再登録が結構面倒 - 結局除外のオンパレード

Slide 19

Slide 19 text

19 Intune + Jamfデバイスコンプライアンス Jamf Proのスマートコンピュターグループが使えるようになった！最高！ EMS勉強会 ✕ JMUGでも取り上げました https://youtu.be/ty9XZ3P7Veo?si=pT9EqiWwrHjj8U1u

Slide 20

Slide 20 text

20 Intune + Jamfデバイスコンプライアンスパートナーコンプライアンス管理に統合されましたね

Slide 21

Slide 21 text

21 2024/08/06 やっぱりうまくいかない・・・

Slide 22

Slide 22 text

22 Intune + Jamfデバイスコンプライアンス - Intune上「準拠済み」状態でも、認証に失敗する - 準拠済端末が、非準拠端末に戻ってしまう - 対象スマートコンピュータグループにいるが、登録に失敗する - 評価されるまで時間が結構かかる (Intune側) - 再登録が結構面倒 - 結局除外のオンパレード

Slide 23

Slide 23 text

23 2024/08/06 こうなったら証明書だ！！

Slide 24

Slide 24 text

24 Entra CBA + Secure W2 1. Jamfを利用して証明書を配布 2. 証明書があることを条件とした条件付きアクセスポリシーを作成 3. 認証強度で証明書以外を禁止設定画像引用元 https://www.securew2.com/blog/auto-enrolling-certificates-in-jamf

Slide 25

Slide 25 text

25 Entra CBA + Secure W2(認証強度とか） Entra CBA認証を強制する場合には、認証強度の設定が必要

Slide 26

Slide 26 text

26 Entra CBA + Secure W2 - 1デバイスごと証明書費用が必要 - 組織がスケールした際に、費用が高額になる - VPNログイン認証に Entra IDを利用していたが、証明書選択画面がでてこない (これはCASBのせいだったかも ) - Entra ID側の設定が複雑になる - 証明書運用がやっぱり大変 - コンプライアンスポリシーは評価されない

Slide 27

Slide 27 text

27 Entra CBA + Secure W2 設定方法の続きはブログで https://blog.intracker.net/archives/4893

Slide 28

Slide 28 text

28 2024/08/06 Platform SSO

Slide 29

Slide 29 text

29 Platform SSO - macOS13(Ventura)以上から利用可能 - Mac端末に対して、 IdPの情報を同期して利用可能になる - IdPのパスワードを Mac端末に同期する

Slide 30

Slide 30 text

30 Platform SSO - Jamf Proから構成プロファイルを配布

Slide 31

Slide 31 text

31 Platform SSO

Slide 32

Slide 32 text

32 Platform SSO Platform SSOを設定した端末は Entra ID上で以下のように表示されます。

Slide 33

Slide 33 text

33 Platform SSO(条件付きアクセス）以下のような条件で条件付きアクセスポリシーを作成 Entra ID Joinでない端末はアクセスをブロック

Slide 34

Slide 34 text

34 Platform SSO(注意点） Chromeで判定をするには、 Microsoft Single Sing On拡張機能のインストールが必要なので、 Chrome Enterpriseを利用して全端末へ配布

Slide 35

Slide 35 text

35 Platform SSO(注意点）拡張機能がインストールされていないと、デバイスIDが取得できず認証に失敗する

Slide 36

Slide 36 text

36 Platform SSO(注意点） CASBが導入されている場合には、プロセスや URL除外等の設定が必要 https://learn.microsoft.com/ja-jp/entra/identity/devices/how-to-hybrid-join#network-co nnectivity-requirements 調べた限りでは以下のプロセスが利用されている - company portal - mac sso extension - appssoagent

Slide 37

Slide 37 text

37 Platform SSO - ちゃんと登録されれば安定する - 登録時にエラーとなったりすることがたまにある - 条件付きアクセス + Platform SSOという構成で比較的わかりやすい - コスト増がない - コンプライアンスポリシーは評価されない - 一度登録されると再評価はされない - Entra Joined状態と認識されている限りアクセスが可能

Slide 38

Slide 38 text

38 2024/08/06 検証した気づき（所感と悩み）

Slide 39

Slide 39 text

39 所感と悩み所感 - Entra ID Joined状態でないと、各種 SaaSへのアクセスができないという環境の構築はできた - デバイスリスク等に関しては、 EDRや、Identity Protectionに任せよう - なんちゃってデバイストラスト (デバイス制限かも）ですみませんここが微妙 - OSのバージョン情報等を元にアクセス許可、拒否はできない - デバイスフィルタ条件を変えれば多少は可能 - パスワードレスからは遠のいている - Entra IDのパスワードで macOSにログインできるので

Slide 40

Slide 40 text

40 2024/08/06 すべての手法に共通すること

Slide 41

Slide 41 text

41 Entra IDデバイスの棚卸しが必ず必要 Entra IDデバイスとして登録され、デバイスを使いまわした場合新しいデバイスとして登録されてきます。棚卸しをしないとカオスな状況に

Slide 42

Slide 42 text

42 2024/08/06 ゼロタッチキッティング

Slide 43

Slide 43 text

43 ゼロタッチキッティング - 弊社では、登録カスタマイゼーションを利用しているため、セットアップ時にEntra IDの認証が入る - セットアップ時は Entra ID Joined状態ではないことになる - 当然ながら認証に失敗し、設定アシスタントが先に進まない

Slide 44

Slide 44 text

44 ゼロタッチキッティング - 以下のアプリケーションを条件付きアクセスから除外することで対応 - Jamf Pro - Microsoft Intune - My Apps

Slide 45

Slide 45 text

45 2024/08/06 まとめ

Slide 46

Slide 46 text

46 まとめ - Platform SSOを組みあわせることで、ちょっとしたデバイストラストを実現することができる - Jamf Pro(MDM)のフレームワークを利用することで、スマートにセキュアな環境を構築していくことができる - 完璧だとは思っていないので、別な防御策も組み合わせる必要が当然ある - パスワードレスからは遠のくので、導入判断は悩む - Mac + Entra IDのデバイストラストはここ数年で変化が色々とでてきているので今後にも期待

Slide 47

Slide 47 text

47 デバイス制限はしたけど・・・ - 貸与PCから他テナント SaaSへのアクセスはできてしまう - CASB等で監視、制御はしている - このあたりは社内教育も大事なこと - データのラベリングのほうが大事 - データが一番大事 - 私物PCもやろうと思えば突破できる (MDMが入るけど） - 新しい端末が登録されたという通知が必要 - Jamf Proを利用して check-inが無いマシンを通知するのも効果的

Slide 48

Slide 48 text

48 今後の展望 - Jamf ZTNAを利用することでもっといい方法がないかチャレンジ - 資産管理台帳と組み合わせて、台帳に存在しないマシンが登録された場合に通知等をさせる or 登録拒否 - Intune + Jamf Proデバイスコンプライアンスが安定してきたら切り替えたい

Slide 49

Slide 49 text

49 2024/08/06 宣伝

Slide 50

Slide 50 text

50 採用について We Are Hiring https://kanmu.co.jp/jobs/ カンム　採用

Slide 51

Slide 51 text

51 Business Technology Conference Japan BTCONJP2024開催のお知らせ日時：2024/10/12 (土) 11:00 - 18:00 場所：LINEヤフー本社　　　　　セミナールーム (紀尾井町) 公式サイト： https://btcon.jp/

Slide 52

Slide 52 text

52 Thank you! ありがとうございました