要約

  • Broadcomの最新の告知では、パリのローカライゼーションゾーンの旧アドレスを9月29日に廃止する予定だ。
  • 新アドレスの国判定によりMicrosoftへのアクセスが妨げられる可能性を、同社が注意喚起している。

通信が新しいゲートウェイに届けば移行完了、と考えてよいのか。BroadcomのパリCloud Secure Web Gateway移行では、その先にあるログイン判定も確認対象になる。

移行先は英国ドーバーの計算用接続拠点だ。告知は作業を進行中と表示している。8月17日の更新で、移行日は9月1日、旧アドレスの廃止日は9月29日に改められた。これは現在の予定であり、全顧客の切り替えが済んだとの確認ではない。Broadcomの移行告知。

同じ「場所」でも意味が異なる

ローカライゼーションゾーンは、利用者の国に対応するIPアドレスでコンテンツを取得するための仕組みである。その役割と、処理を行う拠点の所在地は区別する必要がある。さらに、他社のシステムがそのIPアドレスをどの国に分類するかも別の問題だ。

8月28日の更新でBroadcomは、移転先の拠点を経由しMicrosoft Conditional Accessを利用する顧客が、Microsoftのサービスへアクセスできなくなる可能性を示した。同社は新しいCloud SWGのIPアドレスをMicrosoftが誤って地理分類することが原因だとしている。影響人数や障害時間を第三者が確認した資料ではない。

Microsoftの技術文書では、位置の判断に公開IPアドレス、またはAuthenticatorのGPS情報を利用する。IPから国や地域を判断する場合は、定期更新される対応表を使う。社内端末のプライベートIPアドレスと、外部サービスが見る公開アドレスは同じではない。Microsoftのネットワーク条件に関する文書。

したがって、転送が正常でもアクセス判定は変わり得る。経路を管理する供給側、位置を解釈する認証基盤、その信号で許可を決める顧客という、異なる管理主体が関わるためだ。

自動切り替えにも範囲がある

Broadcomは接続方式を分けて説明している。一部のエージェントと標準のプロキシホスト名を使う通信は自動転送される。一方、IPsecや特定の拠点・IPに固定した設定には別の対応が要る。ゲートウェイへ接続するためのファイアウォール設定と、外部アプリが出口アドレスを受け入れる設定も区別されている。

移行時の通信許可リストを、そのまま信頼済みの社内ネットワークと見なすこともできない。Microsoftは、専用ではない、または列挙できない出口アドレスを信頼済みの名前付き場所へ追加すると、安全性を弱めるおそれがあると注意する。この一般論は、Broadcomの全アドレスが共有だと断定するものではない。Microsoftの継続的アクセス評価に関する文書。

管理型セキュリティの購入側にとって、これは自動化の範囲を確かめる材料となる。告知から移行費用の実績、価格変更、データ所在地に関する適合性まで読み取ることはできない。