山市良の「企業ユーザーはここに注目しよう！Windows 8.1の新機能」 第2回

Windows 8.1やiOS、Androidデバイスから社内リソースへのアクセスを容易に

Win 8.1のBYOD機能「社内参加（Workplace Join）」を使う

^{※ この記事はWindows 8.1 Preview、Windows Server 2012 R2 Preview、System Center 2012 R2 Previewの機能に基づいて記述しています。正式リリースでは変更になる場合があります。}

Windows 8.1だけでなくiOS／Androidのデバイスも管理対象に

　Windows 8.1とWindows RT 8.1、および同時にリリースされるWindows Server 2012 R2では、企業リソースへのアクセスやデバイス管理といった面で、BYOD（個人デバイスの業務使用）導入を支援する新機能が提供される。

　これまでWindows Serverは企業ネットワークにおいて、Active Directoryドメイン（ADドメイン）を中心としたID管理／アクセス制御機能を提供してきた。しかし、新しいBYOD対応機能は、ADドメインに参加しない（参加できない）個人のPCやデバイスを対象としたものである。具体的には「社内参加（Workplace Join）」「作業フォルダー（Work Folders）」「Webアプリケーションプロキシ（Web Application Proxy）」「自動VPN接続（Auto-Triggerd VPN）」という機能がこれにあたる。自動VPN接続以外は、Windows 8.1/RT 8.1だけでなく、iOSやAndroidのデバイスでも利用できるようになる予定である。

　今回同時にリリースされる「Windows Intune」の新バージョン（Wave E）や「System Center 2012 R2 Configuration Manager」でも、Windows 8.1/RT 8.1だけでなくiOS/Androidデバイスに対する管理機能が強化される予定だ。これらのモバイルデバイス管理ツールでは、Windows 8.1を実行する個人のPCも、Windowsとしてではなく完全にモバイルデバイスとして管理できるようになり、PC上の企業情報を選択的にリモートワイプ（遠隔消去）できるようになるという。

　今回は、Windows 8.1 PreviewとWindows Server 2012 R2 Previewを用いて、BYOD対応機能の1つ「社内参加（Workplace Join）」を詳しく見てみたい。なお、「社内参加」という日本語名称はPreview版段階のものであり、製品版では変更になる可能性がある。

企業内リソースへの個人デバイスのSSOを可能にする「社内参加」機能

　Windowsベースの企業ネットワークでは、個人のPCやモバイルデバイスに対して企業内リソースへのアクセスを許可するには、ADドメインのユーザーアカウントとパスワードによる認証を用いることが多いはずだ。だがこの方法を用いる場合、社内規則上許可されていないデバイスからでも利用できてしまうという問題がある。BYODで私物デバイスの持ち込みを認める場合、アクセス元をドメインメンバーだけに限定するような厳しいアクセス許可設定は困難だった。

　Windows Server 2012 R2では、「Active Directoryドメインサービス（AD DS）」および「Active Directoryフェデレーションサービス（AD FS）」の拡張により、従来のドメイン参加とは異なる新しい方法が提供される。これが「社内参加（Workplace Join）」である。具体的には、デバイス認証による二次要素認証（Second Factor Authentication。二要素認証＝Tow-Factor Authenticationとは異なる）によって企業のWebサイトやアプリケーションへのアクセスを認証し、シングルサインオン（SSO）による利用を可能にする機能である。