小規模および中規模の企業でリモート アクセスを保護

このガイドの利用方法このガイドでは、インターネットに接続されたさまざまなデバイスを通じて、任意の場所から会社のデータに簡単かつ安全にアクセスできるようにする方法を説明します。

このガイドで説明するのは、テスト済みの規範的な設計および実装ソリューションです。このソリューションにより、データ記憶域を集中管理しながら、リモート アクセス用にネットワークを構成し、データのアクセス許可を制限することで、ネットワーク ユーザーにセキュリティで保護されたリモート アクセスを提供できます。

このソリューション ガイドの内容:

• シナリオ、問題の説明、目標

• このソリューションの推奨される設計

• この設計を推奨する理由

• このソリューションを実装する手順の概要

次の図は、このソリューション ガイドで扱う問題とシナリオをまとめたものです。

 リモート データ アクセスに関する問題

シナリオ、問題の説明、目標

このセクションでは、例として取り上げた組織のシナリオ、問題、および目標について説明します。

シナリオ

組織は、最大 100 人のユーザーと 200 台のデバイスを管理する小規模から中規模の企業で、ユーザーが社外にいるときに、インターネットに接続しているさまざまなデバイスを使用して会社のデータに安全にアクセスする方法を探しています。 ユーザーは、オンサイトおよびオフサイトから一貫した方法で会社のリソースにアクセスできません。 また、オフィスの外に出たネットワーク ユーザーは、ファイルにアクセスできません。 このため、会社のデータをモバイル デバイスに保存するか、電子メールで送信しています。 ネットワーク ユーザーは PC を使用して職場からデータを送信し、リモートで作業しているときには、ノート PC からオフィスに電子メールでデータを送信できます。 勤務時間の後に、タブレット、パッド、ノート PC など、さまざまなデバイスを使用して、ファイルを操作したりデータにアクセスしたりしなければならないことがありますが、オフサイトにいるユーザーが、基幹業務アプリケーションを使用することはできません。

問題の説明

組織は、次の問題に対処する必要があります。

• オフィスのネットワーク外にいるユーザーが、会社のデータと基幹業務アプリケーションに安全にアクセスできない。

• モバイル デバイスからネットワーク リソースに安全にアクセスできない。

• ユーザーが会社のデータを複数のデバイス (職場では PC、リモートではノート PC など) に保存している。 これにより複数のファイル バージョンが作成され、追跡および検索するのが難しくなる。

• 個人のネットワーク接続デバイスに基幹業務アプリケーションがインストールされていないことが原因で作業ができないため、財務上の損失が発生する。

組織の目標

組織は次のことを実現できるソリューションを探しています。

• オフィス ネットワークの外部にいるユーザーが、会社のデータとリソースに安全にアクセスできるようにする。

• ユーザーがモバイル デバイスからネットワーク リソースにアクセスできるようにする。

• 複数のファイル バージョンによって発生するバージョン間の競合を解消する。複数のファイル バージョンは、ネットワークの外部にいるユーザーがローカル コピーで作業することにより作成されます。 

• オフィスの外部から基幹業務アプリケーションにアクセスできないことが原因で発生する財務上の損失を防ぐ。

このソリューションの推奨される設計

次の図は、Windows Server 2012 R2 Essentials、または Windows Server 2012 R2の役割がインストールされている Windows Server Essentials Experience Standard Edition および Datacenter Edition (以降、Windows Server Essentials Experience と呼びます) が稼働しているサーバーに会社のデータを格納および保護し、そのデータにリモート アクセスする方法を示しています。

ネットワークの外部にいるユーザーがデータに安全にアクセスできるようにするためのソリューション設計

Windows Server 2012 R2 Essentials (最大 25 ユーザーおよび 50 デバイスでの使用に適しています)、および Windows Server 2012 R2の役割がインストールされている Windows Server Essentials Experience Standard Edition および Datacenter Edition (最大 100 ユーザーおよび 200 デバイスでの使用に適しています) には、小規模から中規模の企業を対象にしたソリューションが用意されており、ユーザーがさまざまなインターネット接続デバイスから会社のデータに簡単かつ安全にアクセスできます。

次の表に、このソリューション設計の一部である Windows Server 2012 R2 Essentials と Windows Server Essentials Experience に含まれるテクノロジと、そのテクノロジがこの設計で採用された理由を示します。

この設計を推奨する理由

このセクションでは、最終的なソリューション設計の基になった設計上の考慮事項と決定事項について詳しく説明します。 また、推奨される構成や、このソリューションで使用されている各機能の使用方法についても説明します。

Windows Server Essentials ダッシュボード

Windows Server 2012 R2 Essentials と Windows Server Essentials Experience の Windows Server Essentials ダッシュボードを使用すると、複数のネイティブの Windows Server 管理ツールを使用しなくても、サーバーの重要な情報や管理機能にすぐにアクセスできます。 たとえば、ダッシュボードを使用して、ユーザー アカウントを作成および管理したり、サーバー フォルダー内のデータを管理したりできます。

推奨事項: Windows Server Essentials ダッシュボードを使用して、ネットワークの大部分の管理タスクを実行できます。 ダッシュボードからタスクとウィザードを実行すると、サーバーの機能を最適に構成できます。 ダッシュボードを使用して、共有フォルダー、クライアント コンピューター、VPN などのネットワーク リソースへのリモート アクセス許可をユーザー単位で構成することもできます。

記憶域

一般的なサーバー ハードウェアに付属する組み込みの RAID コントローラーを使用して、会社のデータに対して高可用性と回復力を備えた記憶域を提供することもできます。 この記憶域オプションでは、必要とされる記憶域の可用性と回復性を実現できますが、比較的複雑で高コストになります。

これに対し、記憶域スペース機能を使用すると、動的に拡張可能で低コスト、かつ回復力のあるデータ ボリュームを作成してビジネス データを格納できます。データは標準的なハード ディスクには格納されません。 記憶域スペースには仮想ハード ディスク ドライブ (VHD) 含まれており、これはダッシュボードの [ハード ディスク] タブに表示されます。

記憶域スペースを使用すると、2 台以上のドライブにファイルを保存でき、1 台のドライブに障害が発生しても、ファイルは安全に保持されます。 記憶域スペースでは、業界標準の複数のハード ディスクを記憶域プールにグループ化することで、サーバーの記憶域を仮想化し、記憶域プールの利用可能な容量から VHD (記憶域スペース) を作成できます。 これらの記憶域スペースを使用して、すべてのユーザーが各自の PC にデータを保存するのではなく、会社のデータを 1 か所に格納して集中管理することができます。

推奨事項: 10 ユーザーに満たない小規模企業では、3 台以上の SAS または SATA ドライブを使用して、1 台のドライブをオペレーティング システムのバックアップに使用し、残りの 2 台のドライブを記憶域スペースに使用します。 記憶域スペースは、ミラー化された回復性を備えた 2 台以上のドライブを使用して作成することをお勧めします。

10 ユーザーを超える小規模企業、または 100 ユーザーまでの中規模企業では、3 台以上の SAS ドライブで記憶域スペースを構成してください。その際、1 台のドライブはオペレーティング システムのバックアップに使用し、残りの 2 台は記憶域スペースに使用します。 また、ドライブを追加できる拡張可能なサーバー シャーシを使用することをお勧めします。

サーバー フォルダー

サーバー フォルダーを使用すると、ユーザーが各自の PC にファイルを保存するのではなく、クライアント コンピューター上のファイルを 1 か所に格納して集中管理できます。

サーバー フォルダーにファイルを格納することで、ファイルのバックアップが簡単になり、アクセスも容易になります。 ファイルは、すべてのクライアントがアクセスできる場所に配置されますが、 アクセスには認証済みのネットワーク資格情報が必要であるため、ファイルの安全性は確保されています。

推奨事項: サーバー フォルダーは記憶域スペースのドライブ上に作成し、部門またはプロジェクトごとに個別のサーバー フォルダーを作成します。 たとえば、会計部門に対して "Accounting" という名前のフォルダーを作成できます。 記憶域スペースのドライブにサーバー フォルダーを作成すると、(ミラーリングによって) データの可用性が向上します。

また、サーバー フォルダーの容量が上限に近づいたときに警告が表示されるように、サーバー フォルダーにクォータを設定することをお勧めします。 警告が表示された場合は、サーバー フォルダー内のファイルを削除して利用可能な記憶域スペースを増やすか、サーバー フォルダーに領域を追加してクォータの設定を調整できます。

ユーザーとグループの管理

ユーザー アカウントとユーザー グループ アカウントは、会社のデータへのアクセス許可をユーザーに指定する際に役立ちます。 これにより、意図しないユーザー アクセスから会社のデータが保護されます。 ネットワーク リソースへのアクセスを簡単に管理するには、Windows Server Essentials ダッシュボードの [ユーザー] タブから、すべてのネットワーク ユーザーのユーザー アカウントを作成します。

さらに、ユーザー グループ アカウントを作成し、ユーザー アカウントをメンバーとして追加することができます。 ユーザー グループ アカウントのメンバーに付与されているサーバー リソースに対するセキュリティ アクセス レベルは、そのグループ アカウントのすべてのメンバー間で統一されています。 グループ メンバーシップを使用すると、ユーザー グループのアクセス許可を 1 つのページで指定できるため、リソース管理が簡素化されます。 これは、ネットワーク内の各ユーザーのプロパティ ページを開いて、関連フォルダーのアクセス許可を割り当てる操作とは対照的です。

推奨事項: 作成するユーザー アカウントには、会社の部門や社内で進行中の各種プロジェクトに基づいて、さまざまなユーザー グループのメンバーを含めるようにしてください。 作成したユーザー グループに一連のアクセス許可を割り当てると、そのアクセス許可は、ユーザー グループのすべてのメンバーに適用されます。 たとえば、経理部門 A で作業しているユーザーのグループがある場合は、"Department A User Group" という名前のユーザー グループ アカウントを作成して、関連するユーザー アカウントをこのグループに追加できます。 次に、"Accounting" という名前のサーバー フォルダーへのアクセス許可を "Department A User Group" に割り当てることができます。

ネットワーク内のユーザー アカウントごとに、リモート アクセス (リモート Web アクセス、VPN など) に使用される方法に基づいて、リモート アクセス許可を構成できます。 また、ネットワーク リソース (サーバー フォルダー、クライアント コンピューターなど) へのアクセスを構成することもできます。 たとえば、"VPN ユーザー" と "RWA ユーザー" 向けのユーザー グループを作成し、これらのグループのリモート アクセス許可を構成してから、リモート アクセス特権が必要なユーザー アカウントをこれらのグループに追加できます。

デバイス管理

ユーザーがネットワーク上のコンピューターからサーバー フォルダーにアクセスできるようにするには、ユーザーのコンピューターをサーバーに接続する必要があります。 コンピューターをサーバーに接続する利点を次に示します。

• ネットワーク ユーザーが各自のユーザー アカウントを使用して、サーバーに格納されているデータに安全にアクセスできます。

• ダッシュボードからクライアント コンピューターを管理できます。

• グループ ポリシー設定を使用して、ネットワーク上のクライアント コンピューターが保護されます。

• クライアント コンピューター上のデータが定期的にバックアップされます。

• クライアント コンピューターの正常性が監視されます。

推奨事項: 管理するすべてのコンピューター (ローカルまたはリモート) をサーバーに接続してください。これにより、ネイティブのサーバー ツールである [Active Directory ユーザーとコンピューター] を使用しなくても、Windows Server Essentials ダッシュボードの [デバイス] タブからコンピューターを管理できるようになります。

Windows Server Essentials のグループ ポリシー設定

Windows Server 2012 R2 Essentials または Windows Server Essentials Experience のグループ ポリシーの実装ウィザードを使用すると、フォルダー リダイレクトを有効にしてデータを集中管理できます。 さらに、このウィザードを使用して、ネットワーク上のすべてのクライアント コンピューターで Windows Update、Windows Defender、および Windows ファイアウォールを有効にして、ネットワークのセキュリティを確保することができます。 これにより、エンド ユーザーが各自の PC でこれらの設定を有効にする必要がなくなります。

推奨事項: Windows Server Essentials のグループ ポリシー設定は無効にしないことをお勧めします。

Anywhere Access

Anywhere Access 機能 (リモート Web アクセスおよび VPN) を構成すると、ネットワーク ユーザーが、インターネットに接続していればいつでもどこからでも、デバイスを問わずにサーバー リソースにアクセスできます。

推奨事項: Anywhere Access のセットアップ ウィザードを実行して、リモート Web アクセスと仮想プライベート ネットワークを設定します。 設定が完了したら、ウィザードで報告された問題を解決してください。

リモート Web アクセス

リモート Web アクセスは、効率的でタッチ操作に適したブラウザー エクスペリエンスを提供し、インターネットに接続していれば事実上どこからでも、デバイスを問わずにアプリケーションやデータにアクセスできる環境を実現します。

推奨事項: リモート ユーザーが社外から安全にデータにアクセスできるように、リモート Web アクセス向けのユーザーおよびユーザー グループのアクセス許可を構成してください。

仮想プライベート ネットワーク

仮想プライベート ネットワーク (VPN) 接続を使用すると、自宅や外出先で作業をするユーザーが、インターネットなどのパブリック ネットワークによって提供されるインフラストラクチャを使用して、プライベート ネットワーク上のサーバーにアクセスできます。

推奨事項: リモート ユーザーがセキュリティで保護された VPN 接続を通じてサーバーに接続できるように、VPN 向けのユーザーおよびユーザー グループのアクセス許可を構成してください。

My Server 2012 R2 アプリ

My Server アプリを使用すると、Windows 8.1、Windows 8、または Windows RT オペレーティング システムが稼働しているデバイスから Windows Server Essentials サーバー上のリソースに接続し、簡単な管理タスクを実行できます。 My Server では、ユーザー、デバイス、およびアラートを管理したり、サーバー上の共有ファイルを操作したりできます。 オフラインになっても、My Server から最後にアクセスしたファイルの操作を続行できます。オフラインでの変更は、次回接続したときにサーバーへ自動的に同期されます。

推奨事項: My Server アプリを Windows 8.1、Windows 8、または Windows RT オペレーティング システムを実行している任意のデバイスにインストールし、サーバー上のドキュメントにアクセスするために使用してください。

このソリューションを実装する手順の概要

ソリューションを実装するには、このセクションの手順に従います。 各手順の内容が正常に完了したことを確認してから、次の手順に進んでください。

1. Anywhere Access を有効にします。

   Anywhere Access を使用すると、リモート Web アクセスと VPN の機能を管理できます。 リモート Web アクセスと VPN を有効にするには、ダッシュボードの [設定] ページにある [Anywhere Access] タブから、Anywhere Access のセットアップ ウィザードを実行します。 リモート Web アクセスを有効にするには、「リモート Web アクセスの管理」の指示に従います。 VPN を有効にするには、「Windows Server Essentials での VPN の管理 [blue]」の指示に従います。

2. ドメイン名をセットアップします。

   ドメイン名をセットアップするには、ドメイン名のセットアップ ウィザードを実行して、「リモート Web アクセスの管理」の指示に従います。 既存のドメイン名がない場合は、ドメイン名のセットアップ ウィザードの実行中に、Microsoft 個人用ドメイン名 (yourhostname.remotewebaccess.com など) を無料で取得できます。

3. サーバーに記憶域スペースを作成します。 

   記憶域スペースを作成するには、「Windows Server Essentials でのサーバー記憶域の管理」の「記憶域スペースの作成」セクションの指示に従います。

   New-WssStorageSpace Windows PowerShell コマンドレットを使用して、双方向でミラー化された新しい記憶域スペースを作成することもできます。

   記憶域スペースを作成したら、それがダッシュボードの [ハード ディスク] タブの一覧に追加されていることを確認します。

4. 必要に応じて、さまざまな部門またはデータの種類に対応するサーバー フォルダーを作成します。

   サーバー フォルダーを作成するには、「サーバー フォルダーの追加と移動」の指示に従います。

   注意

   組織で共有フォルダーが既に使用されている場合でも、さまざまなデバイスに格納されているデータを、この手順で作成したサーバー フォルダーに移動できます。

   フォルダーの追加ウィザードを使用して新しいサーバー フォルダーを作成するときは、[フォルダーの名前と説明を入力します] ページの [場所] フィールドで、そのフォルダーを手順 1. で作成した記憶域スペースの既定の場所に格納し、データの高可用性を確保します。 作成したすべてのサーバー フォルダーが、ダッシュボードの [記憶域] タブに表示されていることを確認します。

   Add-WssFolder Windows PowerShell コマンドレットを使用して、サーバー フォルダーを追加することもできます。 詳細については、「Add-WssFolder」を参照してください。

5. ユーザー アカウントとユーザー グループを作成します。

   ネットワーク上のすべてのユーザーのユーザー アカウントを作成し、組織内の部門とプロジェクトに基づいてユーザー グループを作成します。 VPN 経由でデータにアクセスするユーザーや、リモート Web アクセス経由でデータにアクセスするユーザーなど、リモート アクセスの方法に従ってユーザー グループを作成することもできます。

   次に、ユーザーが関連付けられた部門、プロジェクト、またはリモート アクセス方法に基づいて、該当するユーザー グループにユーザー アカウントを追加します。 ユーザー アカウントを作成する手順については、「ユーザー アカウントの追加」を参照してください。 ユーザー グループの詳細については、「Windows Server Essentials でのユーザー アカウントの管理 [H2]」を参照してください。

   すべてのユーザー アカウントとユーザー グループが、ダッシュボードの [ユーザー] および [ユーザー グループ] タブに表示されていることを確認します。

6. サーバー フォルダーのアクセス許可をユーザーに割り当てます。

   ユーザー アカウントにアクセス許可を割り当てて、ユーザーがサーバー フォルダーにアクセスできるようにするには、「サーバー フォルダーへのアクセスの管理」の手順に従います。

   ユーザーにアクセス許可を付与した後に、ダッシュボードからユーザー アカウントのプロパティを表示して、任意のユーザー アカウントのネットワーク リソースへのアクセス許可を確認、表示、または変更できます。 詳細については、「Windows Server Essentials でのユーザー アカウントの管理 [H2]」を参照してください。

7. ネットワーク上のすべてのクライアント コンピューターをサーバーに接続します。

   Windows Server 2012 R2 Essentials または Windows Server Essentials Experience が稼働しているサーバーに、すべてのクライアントが接続されている必要があります。 Windows Server Essentials が稼働しているサーバーにクライアントを接続する前に、次の項目を確認してください。

   • クライアント コンピューターでサポートされているオペレーティング システム

   • コンピューターをサーバーに接続するための前提条件

   ネットワーク上にあるローカルおよびリモートのすべてのコンピューターで、コンピューターをサーバーに接続ウィザードを実行します。Windows Server Essentials Experience を実行しているサーバーにクライアント コンピューターを接続する手順については、「サーバーへのコンピューターの接続」を参照してください。

   クライアント コンピューターをサーバーに接続したら、コンピューターの名前がダッシュボードの [デバイス] タブに表示されていることを確認します。 ダッシュボードの作業ウィンドウに表示されている管理タスクを使用して、サーバーに接続されているすべてのコンピューターを管理できます。 詳細については、「ダッシュボードを使用してデバイスを管理する」を参照してください。

8. ユーザー アカウントとネットワーク デバイスのリモート アクセス許可を構成します。

   ユーザー アカウントと、ユーザーがリモート接続に使用できるネットワーク デバイスに対して、リモート アクセス許可を割り当てます。 この接続は、リモート Web アクセスを使用して、VPN 接続またはリモート デスクトップ セッションを通じて行うことができます。 手順については、「Windows Server Essentials でのユーザー アカウントの管理 [H2]」に含まれる次のセクションを参照してください。

   • ユーザー アカウントにリモート デスクトップのアクセス許可を付与する

   • ユーザーが自身のコンピューターへのリモート デスクトップ セッションを確立できるようにする

   • ユーザー アカウントのリモート アクセス許可を変更する

   • ユーザー アカウントの仮想ネットワーク アクセス許可を変更する

9. グループ ポリシー設定を実装します。

   Windows Server Essentials でグループ ポリシー設定を実装するには、フォルダー リダイレクト、Windows Defender、Windows ファイアウォール、および Windows Update の設定を有効にします。詳細については、「フォルダー リダイレクトおよびセキュリティ用のグループ ポリシー設定の構成」を参照してください。

   グループ ポリシー設定が実装されたら、[グループ ポリシー設定を構成] タスクが [デバイス] タブに表示されることを確認します。

10. My Server 2012 R2 アプリをインストールします。

    Windows Phone と Windows 8.1 および Windows 8 を実行しているデバイスに、My Server 2012 R2 アプリをインストールします。 My Server 2012 R2 アプリは、Windows を実行しているデバイスに Windows ストアから インストールできます。 このアプリの使用方法については、「My Server アプリを利用した Windows Server Essentials への接続 [SBS8]」を参照してください。

    My Server 2012 R2 アプリは、Windows Phone ストアから Windows Phone にインストールできます。 My Server アプリがデバイスにインストールされていることを確認します。 My Server 2012 R2 Phone アプリについては、「My Server 2012 R2 Windows および Windows Phone アプリ」を参照してください。

    Windows Phone と Windows 8.1 または Windows 8 が稼働しているデバイスの My Server 2012 R2 アプリを Windows Server Essentials 環境で正常に使用するには、最初にサーバー証明書をデバイスにインストールする必要があります。 証明書により、ご利用のデバイスを、ローカル ネットワークから、Windows Server Essentials が稼働しているサーバーに接続できます。 サーバー証明書をインストールする手順については、「My Server アプリを利用した Windows Server Essentials への接続 [SBS8]」の「ローカル ネットワークからサーバーに接続する方法」を参照してください。

上記の手順を完了すると、このドキュメントの冒頭に記載された組織の目標が次のように達成されます。

• ネットワーク ユーザーは、オフィス ネットワークの外部からリモート Web アクセスまたは VPN を使用して、会社のデータやリソースに安全にアクセスできます。

• ユーザーは、リモート Web アクセス、VPN、または My Server 2012 R2 アプリを使用して、さまざまなモバイル デバイスからネットワーク リソースにアクセスできます。

• ユーザーはネットワークの外部から作業できるため、社外で作業するときにローカル コピーを使用する必要はありません。 複数のファイル バージョンによって発生するバージョン競合も解消されました。

• ネットワーク ユーザーは、VPN またはリモート Web アクセスを使用して、社内のクライアント コンピューターとの間にリモート デスクトップ セッションを作成することで、勤務時間外でも基幹業務アプリケーションにアクセスできるため、ビジネス上の損失が回避されます。

関連項目