Google Workspaceで実現するゼロトラスト〜会社支給デバイスのみにアクセスを制限する方法

2023年9月18日掲載

Duet AI for Google Workspace とは？特長や導入方法を分かりやすく解説

今回は、Google Workspaceのコンテキストアウェアアクセスという機能についてご紹介したいと思います。Google版ゼロトラストとも言える機能となります。

従来は出社して業務を行うということが多かったことから、アクセス制御というと接続元IPアドレスベースでの制限を行うことが一般的でした。しかしながらリモートワークの普及や出社とのハイブリッドなど働く場所が多様化してきたことからIPアドレスだけで制限することが困難になりつつあります。理想はデバイスごとで縛りをかけることができるのが一番良いとはわかっていつつも、証明書の配布など面倒なことが多く導入を躊躇されているというお客様も多いのではないでしょうか？

そこでコンテキストアウェアアクセスを使用して指定したデバイスのみアプリへのアクセスを許可するルールの作成方法についてご紹介します。設定はとても簡単ですし証明書をインストールするというような心理的なハードルや手間もかかりません。

本記事がデバイスベースでのアクセス制御に悩まれている方のお役に立てば幸いです。

1.コンテキストアウェアアクセスとは？

コンテキストアウェアアクセスは英語で書くと　Context Aware Accessとなります。

今一つピンと来にくい言葉ですが

コンテクスト（Context）：背景、状況、場面、文脈
アウェア（Aware）：～を知っている、～が分かっている
アクセス（Access）：アクセスする、接続する

と言った意味で

ユーザーのデバイスや場所などの状況（コンテキスト）に応じて（アウェア）、アプリケーションへのアクセスを制御する機能です。この機能を使うと、自ドメインのユーザーがアクセスできるアプリを制御できるようになります。例えば会社のPCからのみメールやドキュメントにアクセスできるようにしたり、外出先ではスマートフォンのみに限定したりすることができます。これにより、不正なアクセスやデータ漏洩のリスクを低減することができます。

少しややこしいのですが、アプリケーションへのアクセスを制御するのがコンテキストアウェアアクセスでデータへのアクセスを制御するのが従来の共有設定（アクセス権）となります。例えばGoogleドライブそのものへアクセスをさせたくない　ということであればコンテキストアウェアアクセスで制御しますが、特定のファイルへのアクセスだけ止めたいということであれば共有設定で制御します。またコンテキストアウェアアクセスの設定は管理下のユーザーに適用されるものであり外部のユーザーには影響を及ぼしません。

コンテキストとして指定できる条件のことをアクセスレベルと言います。

設定できる条件は以下のようなものがありますが、多くはIPアドレスかデバイスを指定することが多いかと思います。単一の条件でも複数の組み合わせの条件も作成することが可能です。

#	条件	例
1	IPアドレス	指定した範囲内の IP アドレスを使用するユーザーはアプリにアクセスできます。
2	デバイス	会社で所有しているデバイスのみアクセス可能というような制限ができます。
3	デバイスのOS	WindowsとMacOSのみアクセス可能というようなことができます。バージョンの指定も可能です。
4	場所	国や地域を指定します。この国や地域にいるユーザーはアプリにアクセスできます。

コンテキストアウェアアクセスレベルを作成する

この機能は Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus、Cloud Identity Premium　のお客様がご利用可能です。Business系プランをご利用のお客様はコンテキストアウェアアクセスが利用可能なプランへの移行が必要となります。