Sophos Mobile ユーザーマニュアル
Advertisement
Advertisement
Sophos Mobile
インストールガイド
製品バージョン: 9
⽬次
評価版ライセンスの正規ライセンスへの更新...............................................................3
Sophos Mobile サーバーのインストールと設定.......................................................... 6
Sophos Mobile Web サーバーの設定....................................................................... 9
EAS プロキシを使⽤するシナリオ.......................................................................... 11
EAS プロキシのインストーラのダウンロード............................................................ 12
スタンドアロン型 EAS プロキシのインストール........................................................12
PowerShell 経由のメールアクセス制御の設定...........................................................15
Sophos UTM を使⽤した負荷分散の設定................................................................. 22
Sophos Mobile サーバーのアップデート................................................................. 24
アップデート後のタスク.......................................................................................24
サーバークラスタのアップデート........................................................................... 24
スタンドアロン型 EAS プロキシのアップデート........................................................25
Sophos Mobile サーバーの機能.............................................................................26
Sophos Mobile Web インターフェース.................................................................. 26
(2019/05/16)
Sophos Mobile
1 このガイドについて
このガイドでは、Sophos Mobile 9 のインストールおよび設定の⽅法について説明しています。ま
た、既にインストールされている Sophos Mobile をアップデートする⽅法についても説明していま
す。
特に記載されていない限り、すべての⼿順は、Microsoft Windows Server の管理者または管理グ
ループのユーザーとして実⾏する必要があります。
Copyright © 2019 Sophos Limited 1
2
Sophos Mobile
2 Sophos Mobile について
Sophos Mobile
Sophos Mobile は、モバイルデバイスのセキュリティ管理に割けるリソースが限られている企業に
最適な EMM ソリューションです。直感的に使⽤できるクラウド管理型の Sophos Central Admin
コンソールで、エンドポイント、ネットワーク、サーバーと併せて、モバイルデバイスのセキュリ
ティ対策も⼀元的に管理することができます。セキュア・コンテナ アプリや、iOS、ビジネス向け
Android、Samsung Knox に対応するモバイル OS のコンテナ化機能で、デバイス上の機密性が⾼
い企業データを個⼈データから確実に分離します。
トップレベルのデータ保護機能を備えているだけでなく、さまざまなセキュリティ機能を網羅して
いることや、費⽤対効果が⾮常に⾼いこと、また管理機能が柔軟であることも特⻑です。Sophos
Mobile を使えば、モバイルデバイスの使⽤を許可して⽣産性を向上する⼀⽅で、企業データを保護
し、個⼈のプライバシーを守ることも可能です。
Sophos Mobile Security
Sophos Mobile Security は、パフォーマンやバッテリーの持ちに影響を与えることなく、Android
デバイスを保護します。業界トップレベルのマルウェア対策テクノロジーを駆使し、実績あるマル
ウェア / ウイルス対策をはじめ、業務上不要と思われるアプリケーションの検出、プライバシー /
セキュリティアドバイザー、盗難・紛失対策、Web プロテクションなど、さまざまな機能を提供し
ます。
Sophos Secure Workspace
Sophos Secure Workspace は、iOS / Android 対応のモバイルコンテンツ管理アプリです。コン
テナ化機能が搭載されており、業務⽂書ファイルや Web コンテンツを安全に管理、配布、保護す
ることができます。セキュアなコンテナ環境内で Office 形式の⽂書ファイルを編集できるため、
暗号化されたコンテンツが復号化されず安全に保たれます。フィッシング対策テクノロジーを使っ
て、⽂書ファイル内の悪質なリンクやコンテンツからユーザーを保護します。
Sophos Mobile の管理者は、あらかじめ設定したコンプライアンス違反時のルールに応じて、
管理下にあるデバイスのコンテンツへのアクセスを簡単に制限することができます。Sophos
SafeGuard Encryption との併⽤で、ローカルやクラウド上に保存されている暗号化済みファイル
を、Windows、macOS、iOS、Android など、異なるデバイス間でシームレスに共有できるように
なります。
Sophos Secure Email
Sophos Secure Email は、セキュアコンテナなど、さまざまな機能を装備した Android / iOS 対
応のアプリで、Sophos Mobile で管理した場合、モバイルデバイス上の業務データ (ビジネス⽤
のメール / 予定表 / 連絡先など) と個⼈データの領域を分離することができます。すべての企業情
報は、AES-256 を使⽤して暗号化され、コンプライアンスルールに違反したデバイスのアクセス
は、簡単にブロックすることができます。また、管理者は、業務メールの⼀貫したセキュリティポ
リシーを、さまざまなデバイスと OS 環境に適⽤することができます。
Copyright © 2019 Sophos Limited
Sophos Mobile
3 Sophos Mobile のライセンス
Sophos Mobile には次の 2種類のライセンスがあります。
• Mobile Standard ライセンス
• Mobile Advanced ライセンス
Mobile Advanced ライセンスでは、Sophos Mobile Security、Sophos Secure Workspace およ
び Sophos Secure Email アプリの管理機能を利⽤できます。
スーパー管理者は、購⼊したライセンスをスーパー管理者カスタマーの画⾯でアクティベートし
て、各カスタマーに対して、ライセンスを提供するユーザー数を指定できます。
3.1 評価版ライセンス
ソフォスでは Sophos Mobile の無償評価を提供しています。無償評価版はソフォスの Web サイ
トからお申し込みいただけます。 http://www.sophos.com/ja-jp/products/free-trials/mobilecontrol.aspx
。
評価版ライセンスは 30⽇間有効で、最⼤ 5名までのユーザーを管理できます。
Sophos Mobile の評価版を初期設定する際に必要となるのは、評価版の利⽤申し込みの際に登録し
たメールアドレスのみです。
3.2 評価版ライセンスの正規ライセンスへの更新
評価版ライセンスは、Sophos Mobile で正規版のライセンスキーを⼊⼒するだけで正規版ライセン
スに更新できます。詳細は、「 Sophos Mobile 管理者ヘルプ 」を参照してください。
3.3 ライセンスの更新
ライセンスを更新するには、Sophos Mobile Admin で新しいライセンスキーのアクティベーショ
ンを⾏う必要があります。
Copyright © 2019 Sophos Limited 3
Sophos Mobile
4
4 Sophos Mobile の設定
このセクションでは、Sophos Mobile サーバーを新規インストールする⽅法について説明します。
既にインストールされているサーバーをアップデートする⽅法は、
(p. 24)を参照してください。
4.1 インストールの前提要件
Sophos Mobile サーバーをインストールする前に、次の前提条件を確認してください。
• 「 Sophos Mobile サーバー導⼊ガイド (英語) 」を読んでいること。このドキュメントに
は、Sophos Mobile サーバーを企業のインフラに統合するアーキテクチャの例や、サイジング
のガイドライン、必要となるネットワークポート / プロトコルなどが記載されています。
• 「 Sophos Mobile 9 リリースノート (英語) 」を読み、Sophos Mobile サーバーをホストする
サーバー (サーバーコンピュータ)、管理対象のデバイス、その他関連するコンポーネントが
Sophos Mobile でサポートされていることが検証済みであること。
• Sophos Mobile サーバー⽤の SSL/TLS 証明書があること。詳細は、 SSL/TLS 証明書の要求
(p. 5)を参照してください。
• IIS (インターネット インフォメーション サービス)、あるいは 80番または 443番ポートを使
⽤するその他のアプリケーションがサーバーコンピュータにインストールされていないこと。
• サーバーコンピュータの DNS 名がインターネットで名前解決できること。
• ユーザーアカウントが LDAP ディレクトリに保存されている場合は、セルフサービスポータル
の使⽤を許可されているユーザーを含む １つまたは複数の LDAP グループがあること。
既存のデータベースサーバーで Sophos Mobile のデータベースを管理する場合の前提条件は以下
のとおりです。
• Microsoft SQL Server または Microsoft SQL Server Express の場合:
̶ Windows 認証または SQL Server 認証が使⽤されていること。
̶ TCP/IP が有効であること。
̶ SQL Server Browser サービスが有効になっていること。
̶ SQL へのログインに使⽤するアカウントの⾔語が英語に設定されていること。
• Microsoft SQL Server Express の場合:
̶ SQL 管理ツールがインストールされていること。
4.2 システム環境の要件
Sophos Mobile のインストーラは、⼀連のテストを実⾏して、システム環境が Sophos Mobile の
要件すべてを満たしていることを確認します。
要件は次のとおりです。
• このコンピュータの管理者です。
• Sophos Mobile は、コンピュータの OS に対応しています。
• コンピュータに少なくとも 1つのネットワークアダプタがあります。
Copyright © 2019 Sophos Limited
Sophos Mobile
• コンピュータに少なくとも 4GB の RAM が搭載されています。
• Microsoft Internet Information Services (IIS) Web サーバーは、コンピュータで無効化されて
います。
• コンピュータで次の HTTP/S ポートを使⽤できます。80、443、8080、8181
• コンピュータは、Apple Push Notification Service (APNs) に接続できます。
• コンピュータは、Google Firebase Cloud Messaging (FCM) サービスに接続できます。
• コンピュータは、Google reCAPTCHA サービスに接続できます。
• コンピュータは、Windows プッシュ通知サービスに接続できます。
• コンピュータは、Sophos サービスに接続できます。
• 任意: コンピュータは、Apple Volume Purchase Program (VPP) Web サービスに接続できま
す。
• 任意: コンピュータは、Apple Device Enrollment Program (DEP) Web サービスに接続できま
す。
• 任意: コンピュータは、Apple Itunes Web サービスに接続できます。
• 任意: コンピュータは、Apple アクティベーションロックのバイパス Web サービスに接続できま
す。
• 任意: コンピュータは、Google の Web サービスに接続してビジネス向け Android を利⽤できま
す。
• 任意: コンピュータは、Microsoft の Web サービスに接続して Intune アプリ保護を利⽤できま
す。
4.3 SSL/TLS 証明書の要求
ソフォスの製品には、Sophos Mobile の EAS プロキシの SSL/TLS 証明書要求を作成する SSL
Certificate Wizard (SSL 証明書ウィザード) が含まれています。%MDM_HOME%\tools\Wizard
というフォルダからウィザードを実⾏するか、 www.sophos.com/mysophos からウィザードをダ
ウンロードします。
注
⾃⼰署名証明書や、⾃⼰認証局 (CA) で発⾏した証明書を使⽤している場合は、次の制限がありま
す。
• デバイスを Sophos Mobile に登録する前に、⾃⼰署名証明書または⾃⼰認証局による証明
書をデバイスに⼿動インストールする必要があります。この操作を実⾏しないと、Sophos
Mobile Control アプリによってサーバーが信頼されず、接続が拒否されます。グローバルに
信頼されている CA 発⾏の証明書の場合、この⼿動インストールは必要ありません。
• Sophos Mobile サーバー上の APK ファイルから Android アプリをインストールすることは
できません。
• Android ゼロタッチ登録、または Samsung Knox Mobile Enrollment を使⽤することはで
きません。
SSL/TLS 証明書を要求するには以下を実⾏します。
• Sophos Mobile SSL Certificate Wizard.exe というファイルをダブルクリックして、SSL
Certificate Wizard を起動します。
ウィザードの指⽰に従ってインストールを⾏います。以下の指⽰に従って、必要な情報を⼊⼒し
ます。
Copyright © 2019 Sophos Limited 5
6
Sophos Mobile a) 証明書のベンダーでコピー＆ペースト機能がサポートされている場合は、「 Upload CSR 」
(CSR のアップロード) ページで、「 Open CSR 」(CSR を開く) ボタンをクリックして、CSR
ファイルを開くことができます。 b) 「 Import Certificate Files 」(証明書ファイルのインポート) ページで、「 Upload CSR 」
(CSR のアップロード) でダウンロードした CA 証明書を、「 Select CA certificate file 」
(CA ファイルの選択) フィールドに⼊⼒します。 c) 「 Certificate created 」(作成された証明書) ページに、作成された証明書の保存場所が表⽰
されます。Sophos Mobile を設定する際は、この保存場所を参照する必要があります。
注
証明書ファイルを含むフォルダのバックアップを作成するようにしてください。
4.4 Sophos Mobile サーバーのインストールと設
定
前提条件:
• Sophos Mobile を既存のデータベースに接続する場合は、インストールを開始する前にデータ
ベースのアカウント情報が⼿元にあることを確認してください。また、新しいデータストア、
ユーザーアカウント、およびデータレコードを作成するための⼗分な権限があることを確認し
てください。
• データベースをローカルに保存していない場合は、TCP ポート 1433 (Microsoft SQL Server
の場合) または 1433 (MySQL の場合) にアクセスできる必要があります。また、Sophos
Mobile サーバーで使⽤されるデータベースログオン⽤の管理者アカウントも必要です。
1. ローカル管理者権限を持つユーザーアカウントで Windows にサインインします。
2. Sophos Mobile インストーラを起動します。
3. 「 System Property Checks 」(システムプロパティの確認) ページで、「 Check 」(チェック)
をクリックして、システム環境が、Sophos Mobile のすべての要件を満たしていることを確認し
(p. 4)を参照してください。
テスト結果のレポートは、「 Report 」(レポート) をクリックして⽣成できます。
4. 「 Choose Install Location 」(インストール先の選択) ページで、Sophos Mobile サーバーのイ
ンストール先フォルダを選択します。
5. 「 Database Type Selection 」(データベースの種類の選択) ページで、使⽤するデータベース
の種類を次から選択します。
• Install and use Microsoft SQL Server Express (Secure Email から送信される EWS サ
ブスクリプションのリクエストの許可): Microsoft SQL Server Express がインストールさ
れ、Sophos Mobile との使⽤に必要な設定が⾏われます。
• Use existing Microsoft SQL Server installation (Secure Email から送信される EWS
サブスクリプションのリクエストの許可): 既にインストールされている Microsoft SQL
Server を使⽤して、Sophos Mobile ⽤の新しいデータベースが作成されます。
• Use existing MySQL installation (Secure Email から送信される EWS サブスクリプショ
ンのリクエストの許可): 既にインストールされている MySQL を使⽤して、Sophos Mobile
⽤の新しいデータベースが作成されます。
6. 「 Database Settings 」(データベースの設定) ページで、データベースのログイン情報を⼊⼒し
ます。
Copyright © 2019 Sophos Limited
Sophos Mobile
注
「 Use SQL Server Authentification 」(SQL Server 認証を使⽤する) オプションを選
択した場合は、SQL ログイン⾔語が英語に設定されていることを確認してください。詳細
は、
SQL ログイン⾔語の変更 (p. 9)を参照してください。
7. 「 Database Selection 」(データベースの選択) ページで、「 Create a new database named 」(名前付きの新しいデータベースを作成) をクリックして、作成するデータベースの名前
(例: SMCDB など) を⼊⼒します。
8. 「 Database Configuration 」(データベースの設定) ページで、データベース作成の進⾏に関す
るメッセージが表⽰されます。
正常にデータベースが作成され、データが追加されたら、「 Next 」(次へ) をクリックして続⾏し
ます。
9. データベースへの接続に Windows 認証を選択した場合は、「 Set service credentials 」
(サービス⽤アカウント情報の設定) が表⽰されるので、Sophos Mobile のサービスを実⾏する
Windows のアカウントを設定します。
Local System アカウントまたは任意のユーザーアカウントを指定できます。ユーザーアカウン
トを使⽤する場合は、<コンピュータ名>\<ユーザー名> または <ドメイン名>\<ユーザー名
> という形式で⼊⼒します。
インストーラによって、データベースに対するアクセス権がアカウントに付与されます。
注
セキュリティ上の理由から、制限付きでアクセスが許可されているユーザーとして Sophos
Mobile サービスを実⾏することを推奨します。このユーザーアカウントに必要な属性は次の
とおりです。
• ユーザーアカウントは、Sophos Mobile がインストールされているコンピュータ上の
ローカル Windows アカウントであること。
• ユーザーは、「ユーザー」グループを含む、いかなるグループにも所属していないこと。
• ユーザーは SQL データベースにアクセスでき、必要な変更権限を持っていること。MS-
SQL データベースの場合、このためには、db_datareader および db_datawriter ロー
ルのメンバーでなくてはなりません。
10.「 Configure super admin account 」(スーパー管理者アカウントの設定) ページで、スーパー
管理者アカウントの詳細を設定します。
スーバー管理者アカウントは、カスタマーの管理を実⾏するために使⽤し、⽇々のデバイス管理
には使⽤しないようにしてください。スーパー管理者は、スーパー管理者のカスタマーにログイ
ンして、新しいカスタマーの事前設定を⾏ったり、既存のカスタマーに対して設定を強制適⽤し
たりすることができます。詳細は、「 Sophos Mobile スーパー管理者向けガイド (英語) 」を参照
してください。
注
スーパー管理者のアカウント情報は、Sophos Mobile Admin に最初にログインする際に必要
です。インストール後、Sophos Mobile Admin に、スーパー管理者をさらに追加できます。
11.「 Configure external server name 」(外部サーバー名の設定) ページで、Sophos Mobile
サーバー名 (例: smc.mycompany.com) を⼊⼒します。
Copyright © 2019 Sophos Limited 7
Sophos Mobile
注
管理下にあるデバイスが名前解決できるサーバー名を⼊⼒する必要があります。
12.「 Configure server certificate 」(サーバー証明書の設定) ページで、Web サーバーへの安全
なアクセス (HTTPS) に必要な証明書をインポートします。
• 信頼できる証明書がある場合は、「 Import a certificate from a trusted issuer 」(信頼で
きる発⾏元からの証明書をインポート) をクリックして、ドロップダウンリストからオプショ
ンを選択します。
• 信頼できる証明書がない場合は、「 Create self-signed certificate 」(⾃⼰署名証明書の作
成) を選択します。
注
ソフォスの製品には、Sophos Mobile の SSL/TLS 証明書要求を作成する SSL Certificate
Wizard (SSL 証明書ウィザード) が含まれています。詳細は、
(p.
5)を参照してください。
13.次に表⽰されるページで、選択した証明書の種類に応じて該当する証明書情報を⼊⼒します。
注
⾃⼰署名証明書の場合は、管理下にあるデバイスからアクセス可能なサーバーを指定する必要
があります。
14.「 Server Information 」(サーバー情報) ページでサーバー情報を検証し、「 Next 」(次へ) を
クリックして、サーバーと設定の処理を続⾏します。
15.インストールが完了すると、「 Sophos Mobile Control - Installation finished 」(Sophos
Mobile - インストールが完了しました) のダイアログボックスが表⽰されます。「 Start Sophos
Mobile server now 」(Sophos Mobile サーバーを今すぐ起動) が選択されていることを確認
し、「 Finish 」(完了) をクリックすると Sophos Mobile のサービスがはじめて起動します。
注
サービスが開始した後、Sophos Mobile の Web インターフェースが使⽤可能になるまでに
数分間かかります。
インストール後は、次の初期設定を⾏う必要があります。
• 使⽤しているドメイン名に転送されたリクエストのみを許可するように、Sophos Mobile Web
サーバーを設定します。詳細は、 Sophos Mobile Web サーバーの設定
(p. 9)を参照してくだ
さい。
• Sophos Mobile Admin に初回ログインして、 開始⼿順 ウィザードを起動します。詳細は、
「 Sophos Mobile スタートアップガイド 」を参照してください。
• iPhone、iPad、および Mac の場合は、Apple Push Notification サービスの証明書を取得する必
要があります。詳細は、「 Sophos Mobile スタートアップガイド 」を参照してください。
• 必要に応じて、スタンドアロン型 EAS プロキシを設定してメールのフィルタリングを⾏うことも
(p. 10)を参照してください。
8 Copyright © 2019 Sophos Limited
Sophos Mobile
4.5 Sophos Mobile Web サーバーの設定
Sophos Mobile には、Sophos Mobile Admin とセルフサービス ポータル Web アプリケーション
のコンテンツへのアクセスを提供する、Web サーバーコンポーネントが含まれています。Web サー
バーは、使⽤している環境に対して最適化するように設定できます。
Web サーバーへの HTTP リクエストのヘッダには、リクエストを処理する Web アプリケーショ
ンを指定する Host フィールドがあります。攻撃者は Host フィールドの値を変更して、意図しな
い処理を実⾏することが可能です。
インストール後、Sophos Mobile の Web サーバーコンポーネントは、Host フィールドの値を確
認しません。使⽤しているドメイン名に転送されたリクエストのみを許可するように、Web サー
バーを設定することを推奨します。
1. Sophos Mobile サーバーのインストール先コンピュータで、次のスクリプトを実⾏しま
す。%MDM_HOME%\tools\HostValidationUndertowFilter\addModule.bat
%MDM_HOME% は、Sophos Mobile のインストールフォルダで置き換えます。
2. %MDM_HOME%\wildfly\standalone\configuration\smc-config.xml ファイルをテキストエ
ディタで開き、次のセクションを検索します。
<filter name="hostheadervalidation" ...>
<param name="allowedHosts" value="localhost"/>
</filter>
3. localhost の後ろに、Sophos Mobile Admin とセルフサービス ポータル⽤のドメイン名を追加し
ます。
たとえば、ドメイン名が smc.example.com の場合は、該当する⾏を次のように変更します。
<param name="allowedHosts" value="localhost,smc.example.com"/>
複数のドメイン名で Sophos Mobile サーバーにアクセスできる場合は、カンマで区切ってすべ
てのドメイン名を⼊⼒してください。
4. smc-config.xml ファイルを保存します。
5. Sophos Mobile サービスを再起動します。
4.6 SQL ログイン⾔語の変更
Sophos Mobile サーバーで、SQL Server 認証を使⽤してデータベースに接続するよう設定し
た場合は、SQL ログイン⾔語を英語に設定する必要があります。それ以外の⾔語を設定する
と、Sophos Mobile サービスの起動時にエラーが発⽣します。
このトピックでは、SQL ログイン⾔語を英語に変更する⽅法について説明します。
1. Sophos Mobile サービスを停⽌します。
2. サーバー上の SQL Management Studio を開き、「 Security > Logins 」(セキュリティ - ログ
イン) を選択します。
3. 「 General 」(全般) ページの「 Login Properties 」(ログインのプロパティ) で、「 Default language 」(デフォルト⾔語) を英語に設定し、「 OK 」をクリックして変更内容を保存します。
4. Sophos Mobile サービスを再起動します。
Copyright © 2019 Sophos Limited 9
Sophos Mobile
5 スタンドアロン型 EAS プロキシ
EAS プロキシを設定して、管理対象デバイスのメールサーバーへのアクセスを制御できます。管理
対象デバイスのメールトラフィックは、そのプロキシ経由で送信されます。コンプライアンスルー
ルに違反しているデバイスなど、デバイスのメールアクセスをブロックできます。
デバイスは、送受信メールサーバーとして EAS プロキシを使⽤するように設定する必要がありま
す。EAS プロキシは、デバイスが Sophos Mobile の管理下にあり、必要なポリシーが適⽤されて
いる場合のみ、実際のメールサーバーにトラフィックを転送します。このため、メールサーバーを
インターネットからアクセスできるようにする必要がなく、許可したデバイス (パスコードの設定
など、適切に設定されているデバイス) のみがメールサーバーにアクセスできるため、より⾼いレ
ベルのセキュリティを実現できます。また、特定のデバイスからのアクセスをブロックするように
EAS プロキシを設定することもできます。
EAS プロキシは 2種類あります。
• Sophos Mobile と同時に⾃動インストールされる内部 EAS プロキシ。Microsoft Exchange、
および iOS デバイスや Samsung Knox デバイス⽤の IBM Notes Traveler で使⽤される
ActiveSync の受信トラフィックに対応しています。
• 個別にダウンロードして、インストールできるスタンドアロン型 EAS プロキシ。HTTPS Web
インターフェース経由で Sophos Mobile サーバーと通信します。
注
パフォーマンス上の理由から、500台以上のクライアントデバイスを管理する必要がある場合、
社内バージョンの代わりにスタンドアロンの EAS プロキシサーバーを使⽤することを推奨しま
す。
注 macOS は ActiveSync プロトコルに対応していないため、Mac からのメールトラフィックを、
内部 EAS プロキシまたはスタンドアロン型 EAS プロキシを使⽤してフィルタリングすることは
できません。
10
機能
スタンドアロン型 EAS プロキシは、内部 EAS プロキシと⽐較して、次のような追加機能がありま
す。
• iOS 以外 (Android など) のデバイス⽤の IBM Notes Traveler に対応。このようなデバイス⽤の
Lotus Traveler クライアントは、内部 EAS プロキシでは対応していない (ActiveSync ではない)
プロトコルを使⽤します。
• 複数の Microsoft Exchange メールサーバーや IBM Notes Traveler メールサーバーに対応。各
メールサーバーごとに 1つの EAS プロキシのインスタンスを設定できます。
• ロードバランサに対応。スタンドアロン型 EAS プロキシのインスタンスを複数のコンピュータ
に設定し、ロードバランサを使⽤して、クライアントからのリクエストを分配することができま
す。
• 証明書を使⽤したクライアント認証に対応。認証局 (CA) から証明書を選択できます。クライアン
ト証明書はこの証明書から⽣成されます。
• PowerShell 経由のメールアクセス制御に対応。この場合、EAS プロキシサービス
は、PowerShell 経由でメールサーバーと通信して、管理対象デバイスのメールアクセスを制御
Copyright © 2019 Sophos Limited
Sophos Mobile
します。メールトラフィックは、プロキシ経由ではなく、デバイスからメールサーバーに直接送
信されます。詳細は、 PowerShell 経由のメールアクセス制御の設定 (p. 15)を参照してくださ
い。
• EAS プロキシにはデバイスの状態が 24時間保存されます。アップデートを⾏っている最中な
ど、Sophos Mobile サーバーがオフライン状態の場合は、メールトラフィックは前回のデバイス
の状態に基づいてフィルタリングされます。24時間経過すると、すべてのメールトラフィックが
ブロックされます。
注 iOS 以外のデバイスの場合、IBM Notes Traveler 特有のプロトコルにより、スタンドアロン
EAS プロキシのフィルタリング機能が制限されます。iOS 以外のデバイス上の Traveler クラ
イアントは、リクエストごとにデバイス ID を送信しません。デバイス ID のないリクエスト
は、Traveler サーバーに送信されますが、EAS プロキシはデバイスが承認されているかどうかを
検証できません。
5.1 EAS プロキシを使⽤するシナリオ
注
このセクションに記載されている情報のほかに、スタンドアロン型 EAS プロキシサーバーを企業
のインフラに統合するアーキテクチャの例が、「 Sophos Mobile サーバー導⼊ガイド (英語) 」に
掲載されています。スタンドアロン ESA プロキシのインストールと導⼊を⾏う前に、同ガイドを
参照することをお勧めします。
iOS 以外のデバイス向けの IBM Notes Traveler (旧称 IBM Lotus
Notes Traveler) を使⽤している場合
内部 EAS プロキシは、Microsoft Exchange や iOS デバイス向け Lotus Traveler で使⽤する
ActiveSync プロトコルのみに対応しているため、このシナリオでは不適切です。Android な
ど、iOS 以外のデバイス向けの IBM Notes Traveler では、スタンドアロン型 EAS プロキシで対応
している別のプロトコルが使⽤されます。 iOS 以外のデバイスでは、専⽤の Lotus Traveler クライアントソフトウェアが必要になります。こ
のソフトウェアは、<Traveler サーバー>/servlet/traveler または Lotus Traveler のファイルシス
テムから取得できます。Lotus Traveler クライアントソフトウェアは、Sophos Mobile の「アプリ
のインストール」や「アプリのアンインストール」機能を使⽤して、インストールしたり、アンイ
ンストールしたりすることができます。設定は⼿動で実⾏する必要があります。
複数のバックエンドサーバーに対応する場合
スタンドアロン型 EAS プロキシを使⽤すると、バックエンド メールシステムの複数のインスタン
スを設定できます。各インスタンスには、受信⽅向の TCP ポートが必要です。各ポートは異なる
バックエンドに接続できます。各 EAS プロキシインスタンスごとに URL が 1つ必要です。
EAS に対して負荷分散を設定する場合
スタンドアロン型 EAS プロキシのインスタンスを複数のコンピュータに設定し、ロードバランサ
を使⽤して、クライアントからのリクエストを分配することができます。
このシナリオでは、HTTP に対する既存のロードバランサが必要になります。
Copyright © 2019 Sophos Limited 11
Sophos Mobile
クライアント証明書を使⽤した認証を使⽤する場合
このような環境では既存の PKI が必要で、CA 証明書の公開部分は EAS プロキシで設定する必要
があります。
500台以上のデバイスを管理する必要がある場合
パフォーマンス上の理由から、500台以上のクライアントデバイスを管理する必要がある場合、社
内バージョンの代わりにスタンドアロンの EAS プロキシサーバーを使⽤することを推奨します。
5.2 EAS プロキシのインストーラのダウンロード
1. スーパー管理者権限で Sophos Mobile Admin にサインインします。
2. サイドバーのメニューの「 設定 」の下の「 セットアップ > Sophos セットアップ 」をクリック
し、「 EAS プロキシ 」タブをクリックします。
3. 「 外部サーバー 」で、EAS プロキシのインストーラをダウンロードするリンクをクリックしま
す。
インストーラファイルは、ローカルコンピュータに保存されます。
5.3 スタンドアロン型 EAS プロキシのインストー
ル
前提条件:
• Sophos Mobile がインストール・設定されていること。
• 必要なすべてのメールサーバーにアクセスできること。EAS プロキシのインストーラでは、ア
クセスできないサーバーへの接続は設定されません。
• EAS プロキシをインストールするコンピュータで管理者権限があること。
注
「 Sophos Mobile サーバー導⼊ガイド (英語) 」には、スタンドアロン型 EAS プロキシを企業の
インフラに統合するアーキテクチャの例が掲載されています。スタンドアロン ESA プロキシのイ
ンストールと導⼊を⾏う前に、同ガイドを参照することをお勧めします。
1. Sophos Mobile EAS Proxy Setup.exe を実⾏して、「 Sophos Mobile EAS Proxy - Setup
Wizard 」(Sophos Mobile EAS プロキシ - セットアップウィザード) を起動します。
2. 「 Choose Install Location 」(インストール先の選択) ページでインストール先フォルダを選択
して、「 Install 」(インストール) をクリックしてインストールを開始します。
インストールが完了すると、「 Sophos Mobile EAS Proxy - Configuration Wizard 」
(Sophos Mobile EAS プロキシ - 設定ウィザード) が⾃動的に起動されるので、指⽰に従って設定
を⾏います。
3. 「 Sophos Mobile server configuration 」(Sophos Mobile サーバーの設定) ダイアログ
で、EAS プロキシが接続する Sophos Mobile サーバーの URL を⼊⼒します。
12 Copyright © 2019 Sophos Limited
Sophos Mobile
また、「 Use SSL for incoming connections (Clients to EAS Proxy) 」(クライアントか
ら EAS プロキシへの受信接続に SSL を使⽤) を選択して、クライアントと EAS プロキシ間の
通信をセキュリティで保護してください。
また、任意で、「 Use client certificates for authentication 」(認証にクライアント証明書
を使⽤) を選択して、クライアントが、EAS プロキシのアカウント情報のほかに証明書を使⽤
して認証するように設定することもできます。これによって、接続のセキュリティが強化され
ます。
Sophos Mobile サーバーが複数の証明書を EAS プロキシに提⽰する場合は、「 Allow all certificates 」(すべての証明書を許可する) を選択します。これは、たとえば、ロードバラン
サの後ろに複数のインスタンスがあり、各インスタンスで異なる証明書が使⽤されている場合
などです。このオプションを選択すると、EAS プロキシは、Sophos Mobile サーバーからの証
明書すべてを受け⼊れます。
重要
「 Allow all certificates 」(すべての証明書を許可する) オプションを選択すると、サーバー
通信のセキュリティレベルが低下するため、ネットワーク環境で必要となる場合のみに選択す
ることを強く推奨します。
4. 「 Use SSL for incoming connections (Clients to EAS Proxy) 」(クライアントから
EAS プロキシへの受信接続に SSL を使⽤) を選択している場合は、「 Configure server certificate 」(サーバー証明書の設定) ページが表⽰されます。このページでは、EAS プロキシへ
の安全なアクセス (HTTPS) に必要な証明書を作成またはインポートします。
注
ソフォスの製品には、Sophos Mobile の EAS プロキシの SSL/TLS 証明書要求を作成する
SSL Certificate Wizard (SSL 証明書ウィザード) が含まれています。詳細は、 SSL/TLS 証明
• 信頼できる証明書がない場合は、「 Create self-signed certificate 」(⾃⼰署名証明書の作
成) を選択します。
• 信頼できる証明書がある場合は、「 Import a certificate from a trusted issuer 」(信頼で
きる発⾏元からの証明書をインポート) をクリックして、リストから次のいずれかのオプショ
ンを選択します。
̶ PKCS12 with certificate, private key and certificate chain (intermediate and
CA)
̶ Separate files for certificate, private key, intermediate and CA certificate
5. 次に表⽰されるページで、選択した証明書の種類に応じて該当する証明書情報を⼊⼒します。
注
⾃⼰署名証明書の場合は、クライアントデバイスからアクセス可能なサーバーを指定する必要
があります。
6. 「 Use client certificates for authentication 」(クライアントから EAS プロキシへの受信
接続に SSL を使⽤) を選択している場合は、「 SMC client authentication configuration 」
(サーバー証明書の設定) ページが表⽰されます。このページでは、認証局 (CA) からの証明書を
選択します。クライアント証明書はこの証明書から⽣成されます。
クライアントが接続を試⾏すると、クライアントの証明書が、ここで指定した CA から⽣成され
た証明書かどうかが、EAS プロキシによってチェックされます。
Copyright © 2019 Sophos Limited 13
Sophos Mobile
7. 「 EAS Proxy instance setup 」(EAS プロキシ インスタンスのセットアップ) ページで、1つま
たは複数の EAS プロキシのインスタンスを設定します。
• Instance type (Secure Email から送信される EWS サブスクリプションのリクエストの許
可): 「 EAS proxy 」を選択します。
• Instance name : インスタンスの識別に使⽤される名前。
• Server port (Secure Email から送信される EWS サブスクリプションのリクエストの許可):
受信メールトラフィック⽤の EAS プロキシのポート。複数のプロキシのインスタンスを設定
する場合は、各インスタンスに対して異なるポートを指定する必要があります。
• Require client certificate authentication (Secure Email から送信される EWS サブス
クリプションのリクエストの許可): メールクライアントは、EAS プロキシに接続する際に認
証が必要です。
• ActiveSync server (Secure Email から送信される EWS サブスクリプションのリクエスト
の許可): プロキシのインスタンスが接続する Exchange ActiveSync サーバーのインスタンス
の名前や IP アドレス。
• SSL (Secure Email から送信される EWS サブスクリプションのリクエストの許可): プロキ
シのインスタンスと Exchange ActiveSync サーバー間の通信は、SSL または TLS (サーバー
の対応状況に依存) で保護されます。
• Allow EWS subscription requests from Secure Email (Secure Email から送信される
EWS サブスクリプションのリクエストの許可): このオプションを選択して、iOS デバイス上
の Sophos Secure Email アプリが、EWS (Exchange Web Service) 経由のプッシュ通知に
登録できるようにします。プッシュ通知は、Sophos Secure Email に関するメッセージを受
け取るとデバイスに通知を表⽰します。
注
̶ セキュリティ上の理由から、EAS プロキシは、Exchange サーバーの EWS インター
フェースへのリクエストすべてをデフォルトでブロックします。このチェックボック
スを選択すると、サブスクリプションのリクエストが許可されます。それ以外のリク
エストのブロックは解除されません。
̶ Exchange サーバーの EWS を設定する⽅法について詳細は、 ソフォスのサポート
データベースの⽂章 127137 を参照してください。
• Enable Traveler client access (Secure Email から送信される EWS サブスクリプショ
ンのリクエストの許可): このチェックボックスは、iOS 以外のデバイス上の IBM Notes
Traveler クライアントにアクセスを許可する必要がある場合のみに選択します。
8. インスタンス情報を⼊⼒して、「 Add 」(追加) をクリックしてインスタンスを「 Instances 」(イ
ンスタンス) リストに追加します。
各プロキシのインスタンスに対して、Sophos Mobile サーバーにアップロードが必要な証明書が
インストーラによって作成されます。「 Add 」(追加) をクリックすると、証明書のアップロード
⽅法を説明するメッセージウィンドウが表⽰されます。
9. メッセージウィンドウで、「 OK 」をクリックします。
これによって、証明書の作成先フォルダがダイアログに表⽰されます。
注
このダイアログは、該当するインスタンスを選択して、「 EAS Proxy instance setup 」
(EAS プロキシ インスタンスのセットアップ) ページの「 Export config and upload to
Sophos Mobile server 」(設定をエクスポートして SMC にアップロード) リンクをクリッ
クしても表⽰できます。
14 Copyright © 2019 Sophos Limited
Sophos Mobile
10.証明書フォルダの詳細をメモします。この情報は、証明書を Sophos Mobile へアップロードする
際に必要になります。
11.任意: 「 Add 」(追加) を再クリックして、EAS プロキシの追加インスタンスを設定します。
12.必要な EAS プロキシのインスタンスすべてを設定したら、「 Next 」(次へ) をクリックします。
⼊⼒したサーバーポートがテストされ、Windows ファイアウォールの受信の規則が設定されま
す。
13.「 Allowed mail user agents 」(許可するメール ユーザー エージェント) ページで、EAS プロ
キシへの接続が許可されているメール ユーザー エージェント (つまり、メール クライアント ア
プリケーション) を指定します。クライアントが、ここで指定されていないメールアプリケーショ
ンを使⽤して EAS プロキシにが接続しようとすると、要求は拒否されます。
• すべてを許可する場合は、「 Allow all mail user agents 」(すべてのメール ユーザー エー
ジェントを許可する) を選択します。
• 「 Only allow the specified mail user agents 」(指定したメール ユーザー エージェ
ントのみを許可する) を選択して、⼀覧からメール ユーザー エージェントを選択します。
「 Add 」(追加) をクリックして、許可するエージェントの⼀覧に追加します。EAS プロキシ
への接続を許可するメール ユーザー エージェントすべてに対して、この⼿順を繰り返しま
す。
14.「 Sophos Mobile EAS Proxy - Configuration Wizard finished 」(Sophos Mobile EAS
Proxy - 設定ウィザードが完了しました) ページで、「 Finish 」(完了) をクリックして設定ウィ
ザードを閉じて、セットアップウィザードに戻ります。
15.セットアップウィザードで、「 Start Sophos Mobile EAS Proxy server now 」(Sophos
Mobile EAS プロキシサーバーを今すぐ起動) が選択されていることを確認した後、「 Finish 」
(完了) をクリックして設定を完了し、EAS プロキシを初回起動してください。
EAS プロキシの設定を完了するには、各プロキシのインスタンスに対して作成された証明書を
Sophos Mobile にアップロードします。
16.スーパー管理者権限で Sophos Mobile Admin にサインインします。
17.サイドバーのメニューの「 設定 」の下の「 セットアップ > Sophos セットアップ 」をクリック
し、「 EAS プロキシ 」タブをクリックします。
18.「 外部サーバー 」で、「 ファイルのアップロード 」をクリックします。セットアップウィザード
を使⽤して作成した証明書をアップロードします。
インスタンスを複数設定した場合は、各インスタンスの証明書についてもこの⼿順を繰り返しま
す。
19.「 保存 」をクリックします。
20.Windows で「 サービス 」ダイアログを開いて、「 EASProxy 」サービスを起動します。
これで、スタンドアロン型 EAS プロキシの初期セットアップが完了しました。
注
EAS プロキシのログのエントリは、毎⽇ EASProxy.log.yyyy-mm-dd という命名規則で作成さ
れるファイルに移動されます。毎⽇作成されるこのログは⾃動削除されないため、将来、空き
ディスク容量が不⾜する可能性があります。ログファイルをバックアップフォルダに移動する⼿
順を設定することを推奨します。
5.4 PowerShell 経由のメールアクセス制御の設定
PowerShell を使⽤した、Exchange サーバーや Office 365 サーバーへの接続を設定できます。こ
の場合、EAS プロキシサービスは、PowerShell 経由でメールサーバーと通信して、管理対象デバ
イスのメールアクセスを制御します。メールトラフィックは、デバイスからメールサーバーに直接
送信されます。プロキシ経由では送信されません。
Copyright © 2019 Sophos Limited 15
Sophos Mobile
16
注
PowerShell を使⽤した通信に関する図は、「 Sophos Mobile サーバー導⼊ガイド (英語) 」を参
照してください。
注 macOS は ActiveSync プロトコルに対応していないため、Mac によるメールアクセス
を、PowerShell を使⽤して制御することはできません。
PowerShell 接続を使⽤したシナリオのメリットは次のとおりです。
• デバイスは、Exchange サーバーと直接通信します。
• サーバーで、管理対象デバイスからの受信メールトラフィック⽤のポートを開放する必要があ
りません。
対応しているメールサーバーは次のとおりです。
• Exchange Server 2013
• Exchange Server 2016
• Office 365 (Exchange Online プランを含む)
PowerShell をセットアップする⽅法は次のとおりです。
1. PowerShell を設定します。
2. Exchange サーバーまたは Office 365 にサービスアカウントを作成します。Sophos Mobile
は、このアカウントを使⽤して PowerShell コマンドを実⾏します。
3. Exchange または Office 365 への 1つまたは複数の PowerShell の接続インスタンスをセット
アップします。
4. インスタンスの証明書を Sophos Mobile にアップロードします。
PowerShell の設定
1. EAS プロキシのインストール先コンピュータで、管理者権限で Windows PowerShell を開き、
次のように⼊⼒します。
PS C:\Windows\system32> Set-ExecutionPolicy RemoteSigned
注
PowerShell がない場合は、マイクロソフトの⽂章、 Windows PowerShell のインストール
(外部リンク) にある説明に従ってインストールします。
2. ローカル Exchange サーバーを接続する場合は、そのコンピュータで、管理者権限で Windows
PowerShell を開いて、先ほどと同じコマンドを⼊⼒します。
PS C:\Windows\system32> Set-ExecutionPolicy RemoteSigned
注
この⼿順は、Office 365 では不要です。
サービスアカウントの作成
3. 該当する管理コンソールにログインします。
Copyright © 2019 Sophos Limited
Sophos Mobile
• Exchange Server 2013/2016 の場合: Exchange 管理者センター
• Office 365 の場合: Office 365 管理者センター
4. ユーザーアカウントを作成します。Sophos Mobile は、このアカウントをサービスアカウントと
して使⽤して、PowerShell コマンドを実⾏します。
• smc_powershell など、アカウントの⽤途を明確にするユーザー名を使⽤します。
• ユーザーが次回ログオンした際にパスワードの変更を要求する設定をオフにします。
• 新しいアカウントに、⾃動的に割り当てられた Office 365 のライセンスを削除します。サー
ビスアカウントにライセンスは必要ありません。
5. 新しいロールグループを作成して、必要なパーミッションを許可します。
• smc_powershell などのようなロールグループ名を使⽤します。
• 「 Mail Recipients 」(メール受信者) ロールおよび「 Organization Client Access 」(組織
クライアントアクセス) ロールを追加します。
• サービスアカウントをメンバーとして追加します。
PowerShell 接続のセットアップ
6. スタンドアロンの EAS プロキシをセットアップするのと同様に、セットアップウィザードを使⽤
します。ウィザードの「 EAS Proxy instance setup 」(EAS プロキシのインスタンスのセット
アップ) ページで、次のオプションを設定します。
• Instance type : 「 PowerShell Exchange/Office 365 」を選択します。
• Instance name : インスタンスの識別に使⽤される名前。
• Exchange server : Exchange サーバーの名前や IP アドレス (Exchange サーバーのローカ
ルインストールの場合)、または outlook.office365.com (Office 365 の場合)。プレフィック
ス https:// やサフィックス /powershell は指定しないでください。⾃動的に追加されます。
• Allow all certificates : Exchange サーバーが提⽰する証明書は確認されません。これは、
たとえば、⾃⼰署名証明書が Exchange サーバーにインストールされている場合などに使⽤
できます。「 Allow all certificates 」(すべての証明書を許可する) オプションを選択する
と、サーバー通信のセキュリティレベルが低下するため、ネットワーク環境で必要となる場合
のみに選択することを強く推奨します。
• Allow EWS subscription requests from Secure Email (Secure Email から送信される
EWS サブスクリプションのリクエストの許可): このオプションを選択して、iOS デバイス上
の Sophos Secure Email アプリが、EWS (Exchange Web Service) 経由のプッシュ通知に
登録できるようにします。プッシュ通知は、Sophos Secure Email に関するメッセージを受
け取るとデバイスに通知を表⽰します。
注
̶ セキュリティ上の理由から、EAS プロキシは、Exchange サーバーの EWS インター
フェースへのリクエストすべてをデフォルトでブロックします。このチェックボック
スを選択すると、サブスクリプションのリクエストが許可されます。それ以外のリク
エストのブロックは解除されません。
̶ Exchange サーバーの EWS を設定する⽅法について詳細は、 ソフォスのサポート
データベースの⽂章 127137 を参照してください。
• Service account : Exchange 管理コンソールや Office 365 管理者センターで作成したユー
ザーアカウントの名前。
• Password : ユーザーアカウントのパスワード。
7. 「 Add 」(追加) をクリックして、「 Instances 」(インスタンス) リストにインスタンスを追加し
ます。
Copyright © 2019 Sophos Limited 17
Sophos Mobile
8. PowerShell を使⽤して他の Exchange サーバーや Office 365 サーバーに接続するには、上記の
⼿順を繰り返します。
9.
(p. 12)の説明に従ってセットアップウィザー
ドを完了します。
証明書のアップロード
10.スーパー管理者権限で Sophos Mobile Admin にサインインします。
11.サイドバーのメニューの「 設定 」の下の「 セットアップ > Sophos セットアップ 」をクリック
し、「 EAS プロキシ 」タブをクリックします。
12.任意: 「 全般 」で、「 Sophos Secure Email に制限 」を選択して Android および iOS 向けの
Sophos Secure Email アプリへのメールアクセスを制限します。
これにより、他のメールアプリがメールサーバーに接続することを防ぎます。
13.「 外部サーバー 」で、「 ファイルのアップロード 」をクリックします。セットアップウィザード
を使⽤して作成した証明書をアップロードします。
インスタンスを複数設定した場合は、各インスタンスの証明書についてもこの⼿順を繰り返しま
す。
14.「 保存 」をクリックします。
15.Windows で「 サービス 」ダイアログを開いて、「 EASProxy 」サービスを起動します。
これで、PowerShell 接続の初期セットアップが完了しました。デバイスがコンプライアンスルールに
違反している場合、管理対象デバイスと Exchange サーバーや Office 365 サーバー間のメールトラ
フィックはブロックされます。個別のデバイスは、デバイスへのメールアクセスモードを「 拒否 」に
指定してブロックできます。
注
メールアクセスがブロックされると、Exchange サーバーの設定によっては、デバイスは通知を
受信します。
18 Copyright © 2019 Sophos Limited
Sophos Mobile
6 負荷分散と HA (⾼可⽤性)
Sophos Mobile では、HA 環境を設定できます。1つの Sophos Mobile ノードで障害が発⽣して
も、引き続き外部から SMC サービスにアクセスできるので、タスクの処理が継続されます。こ
の設定には、該当するノードに DNS ラウンドロビンを使⽤して、クライアントとブラウザのセッ
ションを分散する負荷分散が必要です。
以下のセクションは、Sophos Mobile のクラスタ化を設定し、Sophos UTM で負荷分散を設定す
る⽅法について説明しています。
6.1 要件
• 各 Sophos Mobile サーバーノードに対して、1台の Windows サーバーが必要です。
• すべてのノードが同じネットワーク上にある必要があります。
• 1台の Microsoft SQL/MySQL データベースサーバーやクラスタが必要です。
• 負荷分散のために、Sophos UTM や Apache リバースプロキシ (mod_proxy) が必要です。
ロード バランサは、永続的なセッションクッキーと正式な SSL/TLS Web サーバー証明書に対
応する必要があります。
注
インストール要件の詳細は、「 Sophos Mobile 9 リリースノート (英語) 」を参照してください。
アーキテクチャ
3 ノードの Sophos Mobile クラスタの例は、「 Sophos Mobile サーバー導⼊ガイド (英語) 」を参
照してください。
各 Sophos Mobile サーバーノード間のマルチキャスト通信には、任意で異なるネットワークを
使⽤することもできます。使⽤するネットワークインターフェースは、
20)で説明されているように、クラスタの設定時に選択できます。VLAN を使⽤することもでき
ます。
注
テスト⽬的で別の Sophos Mobile クラスタを稼働する場合は、異なるネットワークが必要に
なります。
ポートとプロトコル
以下の表は、Sophos Mobile サーバーの各ノード間の通信に必要なポートとプロトコルの⼀覧で
す。
プロトコル
TCP
ポート
7600、8181、57600
転送先
<受信>
Copyright © 2019 Sophos Limited 19
Sophos Mobile
プロトコル
TCP
UDP
ポート
7600、8181、57600
45700
転送先
<送信>
<受信>
サーバー証明書
Sophos Mobile をセットアップする際、Sophos Mobile Control アプリが Sophos Mobile サー
バーへのセキュアな接続を確⽴できるように、SSL/TLS Web サーバーの証明書を設定します。グ
ローバルに信頼されている認証局 (CA) によって発⾏されている証明書の使⽤を推奨します。ただ
し、ロードバランサの背後に複数の Sophos Mobile サーバーノードがあるクラスタ環境では、その
ような証明書の使⽤が難しいこともあります。その場合は、代わりに⾃⼰署名証明書を使⽤してく
ださい。
注
⾃⼰署名証明書や、⾃⼰認証局 (CA) で発⾏した証明書を使⽤している場合は、次の制限がありま
す。
• デバイスを Sophos Mobile に登録する前に、⾃⼰署名証明書または⾃⼰認証局による証明
書をデバイスに⼿動インストールする必要があります。この操作を実⾏しないと、Sophos
Mobile Control アプリによってサーバーが信頼されず、接続が拒否されます。グローバルに
信頼されている CA 発⾏の証明書の場合、この⼿動インストールは必要ありません。
• Sophos Mobile サーバー上の APK ファイルから Android アプリをインストールすることは
できません。
• Android ゼロタッチ登録、または Samsung Knox Mobile Enrollment を使⽤することはで
きません。
6.2 クラスタノードの設定
クラスタ環境を設定するには、 Sophos Mobile サーバーのインストールと設定
(p. 6)の説明に従っ
て、1つ⽬のノードをインストールします。クラスタは、その後、 設定ウィザード を使⽤して有効化
します。
それ以外のノードについては、1つ⽬のノードの作成時に作成したデータベースを選択後、クラス
タを有効化する必要があります。
注
また、既存の SMC サーバーをクラスタ⽤に設定して、ノードを追加して環境を拡張すること
もできます。
6.2.1 1つ⽬のノードの設定
1.
(p. 6)の説明に従って、Sophos Mobile をイン
ストールして、作成したデータベースの名前をメモします。追加のノードをインストールする際
は、このデータベースを指定します。
20 Copyright © 2019 Sophos Limited
Sophos Mobile
2. インストールの最後に、「 Sophos Mobile - Installation finished 」(Sophos Mobile - イ
ンストールが完了しました) ダイアログで、「 Start Sophos Mobile server now 」(Sophos
Mobile サーバーを今すぐ起動する) オプションを選択解除します。
注
Sophos Mobile サービスが既に起動されている場合は、この後に説明する設定の過程で、⾃
動的に停⽌され、再起動されます。または、Sophos Mobile のシステムトレイ アイコンのメ
ニューから、⼿動でサービスを停⽌することができます。
3. サーバーで「 スタート 」をクリックして、「 Sophos Mobile 」を開き、「 SMC Configuration
Wizard 」(SMC 設定ウィザード) をクリックします。
4. 「Sophos Mobile Configuration Wizard」(設定ウィザード) の「 Welcome 」(ようこそ) ページ
が表⽰されます。「 Next 」(次へ) をクリックします。
5. 「 Database Selection 」(設定の選択) ページで、「 Skip database configuration 」(クラス
タサポートの設定) を選択し、「 Next 」(次へ) をクリックします。
6. 「 Choose configuration steps 」(設定の選択) ページで、「 Configure cluster support 」
(クラスタサポートの設定) を選択し、「 Next 」(次へ) をクリックします。
7. 「 Cluster Configuration 」(クラスタの設定) ページで、使⽤可能なネットワークインター
フェースのドロップダウンリストを使⽤して、設定する サーバーのノードと他のノード間のマル
チキャスト通信に使⽤するインターフェースを選択します。
8. 設定ウィザードの残りをクリックして進めます。SMC サービスの起動を確認するメッセージが表
⽰されたら「 Yes 」(はい) をクリックします。
これで、SMC サーバーの 1つ⽬のノードの設定が完了しました。「 Sophos Mobile -
Configuration Wizard finished 」(Sophos Mobile - 設定ウィザードが完了しました) ダイア
ログで、「 Finish 」(完了) をクリックします。
6.2.2 追加のノードの設定
1.
(p. 6)の説明に従って、Sophos Mobile のインス
トールを開始します。
2. 「 Database selection 」(データベースの選択) ダイアログで、1つ⽬のノードにインストールし
た際に作成したデータベースを選択して、「 Next 」(次へ) をクリックします。
「 Database configuration 」(データベースの設定) ダイアログボックスが表⽰されます。設定
処理の進⾏状況が表⽰されます。
3. 「 Database configuration 」(データベースの設定) ページで、設定が完了するまで待ちます。
その後、「 Next 」(次へ) をクリックします。
4. 「 Choose configuration steps 」(設定の選択) ページで、「 Configure cluster support 」
(クラスタサポートの設定) を選択し、「 Next 」(次へ) をクリックします。
5. 「 Configure server certificate
」(サーバー証明書の設定) ページで、 Sophos Mobile サー
(p. 6)の説明に従って⾃⼰署名証明書を作成し、「 Next 」(次へ) をク
リックします。
6. 「 Cluster Configuration 」(クラスタの設定) ページで、使⽤可能なネットワークインター
フェースのドロップダウンリストを使⽤して、設定する Sophos Mobile サーバーのノードのイン
ターフェースを選択します。次に、「 Next 」(次へ) をクリックします。
7. 設定ウィザードの残りをクリックして進めます。「 Sophos Mobile - Installation finished 」
(Sophos Mobile - インストールが完了しました) ページで、「 Start Sophos Mobile server now 」(Sophos Mobile サーバーを今すぐ起動する) を選択して、設定したクラスタノードを起動
します。
Copyright © 2019 Sophos Limited 21
Sophos Mobile
8. 1つ⽬のノードで、使⽤しているドメイン名に転送されたリクエストのみを、Sophos Mobile の
Web サーバーコンポーネントで許可するように設定した場合は、他のノードすべてに対しても同
様の設定を⾏います。詳細は、 Sophos Mobile Web サーバーの設定
(p. 9)を参照してください。
さらにノードを設定するには、この⼿順を繰り返します。
6.3 Sophos UTM を使⽤した負荷分散の設定
このトピックでは、クラスタ化した複数の Sophos Mobile サーバーノードに対して、Sophos
UTM をロードバランサとして設定する⽅法について説明します。Sophos UTM の設定⽅法の詳細
は、Sophos UTM のドキュメントを参照してください。
注
• Sophos UTM を使⽤してクラスタを設定するには、 Sophos Webserver Protection サブ
スクリプションを含む Sophos UTM ライセンスが必要です。
• この後に説明する⼿順では、管理下にあるデバイスと、Sophos UTM で設定する仮想 Web
サーバー間の通信を保護する証明書を指定します。操作を簡単にするため、Sophos Mobile
サーバーで使⽤した証明書と同じ証明書を使⽤することを推奨します ( SSL/TLS 証明書の要
求 (p. 5)を参照)。⾃⼰署名証明書を使⽤した場合は、必ずその証明書を使⽤する必要があり
ます。
1. Sophos UTM WebAdmin にログインします。
2. WebAdmin のメニューの「 Webserver Protection 」で、「 Web アプリケーションファイア
ウォール > リアル Web サーバー 」タブを選択します。
3. 「 新規リアル Web サーバー 」をクリックして、SMC ノードを作成します。
4. 「 新規リアル Web サーバー 」ダイアログで、次の設定を⼊⼒します。 a) 名前 : Web サーバーの説明的な名前を⼊⼒します (例: SMC ノード)。 b) ホスト : ホストを選択または追加します。ホストを選択するには、「 ホスト 」フィールドの横
にあるフォルダアイコンをクリックします。使⽤可能なホストの⼀覧からホストを「 ホスト 」
フィールドにドラッグします。
オブジェクトの追加⽅法の詳細は、「 UTM 管理ガイド 」の「Network Definitions」(ネット
ワークオブジェクト) を参照してください。 c) タイプ : 「 暗号化 (HTTPS) 」を選択します。
「 保存 」をクリックして設定を保存します。
各 Sophos Mobile サーバーのノードに対して、上記の⼿順を繰り返してください。
5. WebAdmin のメニューの「 Webserver Protection 」で、「 証明書管理 > 証明書 」タブを選択
します。
6. 「 新規証明書 」をクリックして、SSL/TLS Web サーバー証明書をアップロードします。
7. 「 証明書を追加 」ダイアログで、次の設定を⼊⼒します。 a) 名前 : 証明書の説明的な名前を⼊⼒します。 b) メソッド : 「 アップロード 」を選択します。 c) ファイルタイプ : 「 PKCS#12 (証明書+CA) 」を選択します。 d) パスワード : 証明書ファイルのパスワードを⼊⼒します。 e) ファイル : 「 ファイル 」ボックスの横にあるフォルダアイコンをクリックし、アップロードす
る証明書を選択して、「 アップロード開始 」をクリックします。
「 保存 」をクリックして設定を保存します。証明書は、「 証明書 」の⼀覧に追加されます。
22 Copyright © 2019 Sophos Limited
Sophos Mobile
8. WebAdmin のメニューの「 Webserver Protection 」で、「 Web アプリケーションファイア
ウォール > 仮想 Web サーバー 」タブを選択します。
9. 「 新規仮想 Web サーバー 」をクリックして、クラスタ⽤の仮想 Web サーバーを追加します。
10.「 新規仮想 Web サーバー 」ダイアログボックスで、次の設定を⼊⼒します。 a) 名前 : 仮想 Web サーバーの説明的な名前を⼊⼒します (例: SMC クラスタ)。 b) 「 インターフェース 」リストから、外部からこのクラスタにアクセスするための WAN イン
ターフェースを選択します。 c) タイプ : 「 暗号化 (HTTPS) とリダイレクト 」を選択します。 d) 「 証明書 」リストから、先ほどアップロードした Web サーバーの証明書を選択します。 e) ドメイン (ワイルドカード証明書 (複数のサブドメインで使⽤可能な公開鍵証明書) を使⽤す
る場合のみ): shop.example.com など、Web サーバーが管理するドメインを⼊⼒するか、 ア
クション アイコンを使⽤して、ドメイン名の⼀覧をインポートします。
ドメイン名は、必ず FQDN で⼊⼒してください。
*.mydomain.com など、ドメインのプレフィックスとしてアスタリスク (*) を使⽤でき
ます。ワイルドカード⽂字を含むドメインは、フォールバック設定として扱われます。ドメ
イン名にワイルドカード⽂字を含む仮想 Web サーバーは、より具体的なドメイン名の仮想
Web サーバーがない場合のみに使⽤されます。
例: a.b.c に送信されたクライアントリクエストは、a.b.c に⼀致します。それがない場合
は、*.b.c、そして *.c の順に⼀致します。 f) リアル Web サーバー : 先ほど作成した SMC ノードを選択します。
重要
ファイアウォールのプロファイルは選択しないようにしてください。
「 保存 」をクリックして設定を保存します。サーバーは、「 仮想 Web サーバー 」の⼀覧に追加さ
れます。
11.仮想 Web サーバーを有効化します。
新規仮想 Web サーバーはデフォルトで無効になっています。トグルスイッチをクリックして、仮
想 Web サーバーを有効化します。トグルスイッチの⾊は、グレー (無効) から緑⾊ (有効) に切り
替わります。
12.「 サイトパスルーティング 」タブを選択します。
13.「 仮想 Web サーバー 」の⼀覧で、追加した仮想 Web サーバーを参照して、「 編集 」をクリック
します。
14.「 サイトパスルートの編集 」ダイアログボックスで、「 詳細 」をクリックして、「 スティッキー
セッション cookie を有効化する 」を選択します。
「 保存 」をクリックして設定を保存します。
Copyright © 2019 Sophos Limited 23
Sophos Mobile
24
7 Sophos Mobile のアップデート
Sophos Mobile サーバーは、バージョン 8.1、8.5 および 8.6 から直接バージョン 9 にアップ
デートすることができます。
これより古いバージョンは、まず Sophos Mobile 8.1 にアップデートする必要があります。詳細
は、Sophos Mobile 8.1 の製品ドキュメントを参照してください。
7.1 Sophos Mobile サーバーのアップデート
Sophos Mobile サーバーのインストールをバージョン 9 にアップデートするには、Sophos
Mobile 9 のインストーラを起動して⼿順に従ってください。アップデートが必要な既存のインス
トール環境は⾃動的に検出されます。
アップデートが開始される前に、システムプロパティの確認が実⾏されます。すべての確認が成功
すると、アップデートを続⾏できます。データベースとファイルは、ユーザーの操作なしで⾃動的
にアップデートされます。アップデートが完了すると、Sophos Mobile サービスが再開します。
注
Sophos Mobile サーバーをはじめてインストールしたときに Windows 認証を使⽤した場合は、
「 Start Sophos Mobile server now 」(Sophos Mobile サーバーを今すぐ起動) のチェック
ボックスはグレーアウト表⽰されます。サービスは⼿動で開始する必要があります。
7.2 アップデート後のタスク
7.2.1 Sophos Mobile Web サーバーの再設定
使⽤しているドメイン名に転送されたリクエストのみを、Sophos Mobile の Web サーバーコン
ポーネントで許可するように設定した場合は、Sophos Mobile をアップデート後、その操作を繰り
返す必要があります。詳細は、
Sophos Mobile Web サーバーの設定 (p. 9)を参照してください。
7.3 サーバークラスタのアップデート
Sophos Mobile サーバーのノードのクラスタをアップデートする際は、すべてのノードが常に同じ
バージョンで稼働しているとともに、サーバーのバージョンとデータベースのバージョンが⼀致して
いなければなりません。次の⼿順を実⾏します。
1. 該当するコンピュータ上の Sophos Mobile サービスを停⽌して、すべてのサーバーのノードを
シャットダウンします。
2.
(p. 24)の説明に従って、最初のノードをアップデー
トします。
これと同時にデータベースもアップデートされます。
3. アップデートしたサーバーのノードを起動し、問題なくアップデートされていることを確認しま
す。
4. 残りのサーバーのノードをアップデートします。
Copyright © 2019 Sophos Limited
Sophos Mobile
ヒント
スタンドアロン型 EAS プロキシを使⽤している場合は、すべての Sophos Mobile サーバー
のノードが停⽌していても、管理下のデバイスはメールサーバーにアクセスできます。こ
れは、Sophos Mobile サーバーに接続されていない際、デバイスのステータスが最⻑ 60分
間、EAS プロキシに⼀時保存されるためです。
7.4 スタンドアロン型 EAS プロキシのアップデー
ト
スタンドアロン型 EAS プロキシをアップデートするには、EAS プロキシのインストーラを起動し
て画⾯の案内に従ってください。アップデートが必要な既存のインストール環境は⾃動的に検出さ
れます。
ロードバランサの背後で構成されている EAS プロキシサーバーのノードのクラスタを使⽤してい
る場合は、各ノードを任意の順序で個別にアップデートします。
ヒント
同時にすべての EAS プロキシサーバーのノードを停⽌しないでください。アップデートの際にす
べて同時に停⽌すると、管理下のデバイスのメール通信が中断されます。
Copyright © 2019 Sophos Limited 25
Sophos Mobile
8 技術情報
8.1 Sophos Mobile サーバーの機能
Sophos Mobile サーバーは、Sophos Mobile 製品のコアコンポーネントです。主な機能は次のと
おりです。
• サーバーはインターネットに接続します。
• サーバーでは、⾼い可⽤性の環境を設定できます。
• 管理者は、Web インターフェースを使⽤してサーバーを制御します。
• エンドユーザーは、セルフサービス ポータルを使⽤して⾃⾝のデバイスを登録できます。また
は、⾃動登録の準備が完了したデバイスを管理者から取得することもできます。
• 管理下にあるデバイスは、HTTPS 経由でサーバーと同期します。
• 既存の Microsoft SQL Server や MySQL データベースを使⽤して、デバイスやアプリケーショ
ン情報を保存できます。または、Sophos Mobile のインストーラで、Microsoft SQL Server
Express を使⽤して新しいデータベースを作成できます。
• データベースは、同じコンピュータまたは別のコンピュータに保存でき、データベースクラスタ
を使⽤できます。
• サーバーは、複数のテナントのセットアップに対応しており、同じサーバーで複数のカスタマー
を設定できます。
• メールアクセスは、内部 EAS プロキシ、またはスタンドアロン型 EAS プロキシを使⽤して実⾏
できます。スタンドアロン型 EAS プロキシの場合は、HTTPS 経由で SMC サーバーにアクセス
する必要があります。
Sophos Mobile サーバーは、Java EE (Enterprise Edition) 環境に対応するように開発されていま
す。⼗分にテストされている、業界標準の WildFly アプリケーションサーバー環境にインストール
し、実⾏できます。
サーバーは、仮想環境にインストールすることもできます。
8.2 Sophos Mobile Web インターフェース
8.2.1 Sophos Mobile の管理インターフェース
Sophos Mobile は、ログインとセッション管理で安全に接続できる Web インターフェースを使⽤
して管理します。パスワードポリシーを適⽤できます。アクセス制御では、複数のユーザーロール
を使⽤できます。各ロールには異なるアクセス権限が付与されています。ユーザー 1名につき 1つ
のロールのみを割り当てることができます。
詳細は、「 Sophos Mobile 管理者ヘルプ 」を参照してください。
26 Copyright © 2019 Sophos Limited
Sophos Mobile
8.2.2 スーパー管理者インターフェース
スーバー管理者は、カスタマーを設定・管理して、デバイス管理を⾏うために使⽤されます。
最初のスーパー管理者アカウントは、Sophos Mobile のセットアップ時に作成されます。詳細
は、
Sophos Mobile サーバーのインストールと設定 (p. 6)を参照してください。
スーパー管理者は、同様に Sophos Mobile のセットアップ時に作成される「スーパー管理者カ
スタマー」としてログオンします。スーパー管理者カスタマーとしてログオンすると、Sophos
Mobile Adminにスーパー管理者タスクを実⾏するための専⽤画⾯が表⽰されます。
8.2.3 セルフサービス ポータル
セルフサービス ポータルは、ログインとセッション、およびパスワードポリシーで保護されていま
す。アカウントは、Sophos Mobile の管理者が設定する必要があり、任意のテナントに関連付ける
ことができます。セルフサービス ポータルを使⽤して、エンドユーザーは Sophos Mobile に⾃分
でデバイスを登録することができます。エンドユーザーは、遠隔操作でのリモートやワイプなど、
⾃分のデバイスに対してタスクを実⾏することもできます。実⾏できるタスクの種類は、デバイス
のプラットフォームと設定に依存します。管理者は、エンドユーザーがセルフサービス ポータルで
実⾏できる機能を設定できます。
セルフサービス ポータルをエンドユーザー⽤に設定する⽅法の詳細は、「 Sophos Mobile 管理者
ヘルプ 」を参照してください。
Copyright © 2019 Sophos Limited 27
Sophos Mobile
9 テクニカルサポート
ソフォス製品のテクニカルサポートは、次のような形でご提供しております。
• ユーザー コミュニティ サイト「Sophos Community」(英語) ( community.sophos.com/ ) のご
利⽤。さまざまな問題に関する情報を検索できます。
• ソフォス サポートデータベースのご利⽤。 www.sophos.com/ja-jp/support.aspx
• 製品ドキュメントのダウンロード。 www.sophos.com/ja-jp/support/documentation.aspx
• オンラインでのお問い合わせ。 https://secure2.sophos.com/ja-jp/support/contact-support/ support-query.aspx
28 Copyright © 2019 Sophos Limited
Sophos Mobile
10 利⽤条件
Copyright © 2019 Sophos Limited. All rights reserved. この出版物の⼀部または全部を、電⼦
的、機械的な⽅法、写真複写、録⾳、その他いかなる形や⽅法においても、使⽤許諾契約の条項に
準じてドキュメントを複製することを許可されている、もしくは著作権所有者からの事前の書⾯に
よる許可がある場合以外、無断に複製、復元できるシステムに保存、または送信することを禁じま
す。
Sophos、Sophos Anti-Virus、および SafeGuard は、Sophos Limited、Sophos Group、および
Utimaco Safeware AG の登録商標です。その他記載されている会社名、製品名は、各社の登録商
標または商標です。
Copyright © 2019 Sophos Limited 29
Download
Public link updated
The public link to your chat has been updated. You may view and manage your chat links after registration here.
Document public link
Advertisement