仮想デスクトップインフラストラクチャ（VDI）は古く、コストが高く、扱いにくい仕組みです。ユーザー体験が悪い、初期投資が大きい、運用コストが続く、など理由はいくつもあります。詳細は こちら ↗ で読めます。多くの組織がこの方式に依存し続ける事情は理解できます。このリファレンスアーキテクチャでは、Cloudflare の Zero Trust ソリューションで仮想デスクトップインフラストラクチャ（VDI）を保護し、多くの場合は完全に置き換える方法を説明します。多くの組織は、高価で性能の悪い VDI を、リモートユーザーに安全な Web ブラウザーを提供するためだけに使っています。この場合、Cloudflare は Web ベースのアプリケーションや SaaS アプリ向けに、VDI そのものを不要にできます。
レガシーアプリではフルの仮想デスクトップが必要な場合もあります。その場合でも、VDI へのリモートアクセスを保護したり、ユーザーが操作する仮想デスクトップ自体を保護したりする必要があります。この文書は、Cloudflare の Zero Trust サービスのリファレンスと指針です。大きく次の 2 つの節に分かれます。
- Web ベースのアプリケーションへ安全にリモートアクセスするために、VDI を置き換える。ブラウザーを使うためだけにフルのデスクトップ環境へ入るのは、ユーザー体験としてよくありません。Cloudflare は、Web アプリケーションへのリモートアクセスを大きく改善し、より高いセキュリティで提供できます。
- VDI デスクトップを保護する
- 不正アクセスから
- リスクのある公開インターネットの宛先から
このリファレンスアーキテクチャは、Cloudflare で仮想デスクトップインフラストラクチャを置き換える、または保護したい IT / セキュリティ担当者向けです。Cloudflare の基礎を固めるには、次の資料を推奨します。
いまの IT では、企業が使うアプリケーションとサービスの大半は Web ブラウザーから使え、SaaS プロバイダーが提供することも多いです。この場合、VDI は過剰で、リモートユーザーに安全なブラウザーを届けるには非常に高価で負担の大きい方法です。代わりに、多くの組織は Remote Browser Isolation ↗（RBI）などの代替へ移っています。コストと運用負荷を下げ、ユーザー体験を改善し、何より堅牢なセキュリティとログ機能を提供します。
上の図は、ユーザートラフィックがローカルブラウザーから Cloudflare のリモートブラウザーへ向かい、セキュアトンネル経由で自社インフラ上のアプリケーションへ届く流れです。下の図 2 は、Remote Browser Isolation でアプリケーションへアクセスする 2 つの方法です。ブラウザーから直接使う方法と、より高いプライバシーとセキュリティが必要な場合にデバイスエージェントでデバイスから Cloudflare へトンネルを作る方法です。どちらも、内部リソースと外部リソースへの安全なアクセスを提供します。
オプション 1: クライアントレス RBI
- デバイスエージェントは不要
- RBI の URL は、認証付きの Access ポリシー で保護できます
- VDI から移行しながら Cloudflare Zero Trust を展開し始める、より簡単な方法です
- デバイスにソフトウェアを入れられない第三者委託先のアクセスに向きます
オプション 2: デバイスエージェント経由の RBI
- デバイスポスチャチェック、スプリットトンネリング、Secure Web Gateway によるインターネット向けトラフィックのフィルタなど、セキュリティ機能をフルに使えます
- ユーザーと社内チームでワークフローと信頼ができてから移行する、より堅牢な最終形です
- ユーザー体験、信頼性、パフォーマンスの指標を集められます
VDI を置き換えられず、レガシーアプリケーション向けにフルの仮想デスクトップが必要な場合でも、Cloudflare の SASE プラットフォーム ↗ でこれらの環境を保護できます。ID ベースの Zero Trust ポリシーでアクセスを認可し、デバイスからインターネットへ向かうトラフィックも保護します。
上の図は、リモートユーザーを VDI インフラへ認証する、一般的な Zero Trust の導入です。
- ユーザーデバイスは、デバイスエージェントによるセキュアトンネルで Cloudflare のネットワークへトラフィックを送ります。
- VDI リソース向けのトラフィックは ZTNA ポリシーに到達し、デバイスポスチャ、ID、トラフィックのコンテキストや種類など、条件付きアクセスの組み合わせで評価されます。
- ZTNA ポリシーを通過したトラフィックだけが VDI リソースへ到達し、ユーザーは通常どおり VDI を操作できます。
このモデルは、次の節で示すように、VDI ホストから出るトラフィックのフィルタとも組み合わせられます。
Cloudflare の SASE プラットフォームは、VPN の置き換えや内部サービス向けポリシーの強化だけではありません。ユーザーがインターネット上の高リスクサイトへアクセスしないよう守ることも同じくらい重要です。Cloudflare の Secure Web Gateway のポリシーは、DNS リクエストのフィルタから、ネットワークと HTTP トラフィックを検査する本格的なフォワードプロキシまで調整できます。
-
非永続的な仮想デスクトップインフラストラクチャ（VDI）環境 向けの DNS 設定（リゾルバー IP、DoH、DoT）または PAC ファイル は、インフラ内、または VDI ホスト上で設定できます
a. DNS 設定では DNS ポリシーを適用できます。PAC ファイルでは、すべてのゲートウェイポリシー種類（DNS、Network、HTTP）を使えます。
-
トラフィックは VDI から Secure Web Gateway へ送られ、DNS、ネットワーク、または HTTP ポリシーでフィルタされます。
-
Gateway ポリシーを通過したトラフィックはインターネットへ送られます。
ここまで、既存の VDI に Cloudflare の Zero Trust サービスを組み込む方法をいくつか示しました。Remote Browser Isolation で完全に置き換える方法と、Access または Gateway でさらに保護する方法です。
移行をスムーズに進めるための背景、説明、手順は、次の資料を参照してください。
- VDI の廃止に関するブログ ↗
- PAC ファイルで Cloudflare の Secure Web Gateway を VDI に使う
- Browser Isolation でプライベートネットワークサービスへ接続する ↗
- クライアントレス Web Isolation
- PAC ファイルを使うタイミング
- エージェントレスの DNS 設定
- エージェントレス HTTP フィルタ向けの PAC ファイル
質問がある場合は、担当の Cloudflare チームへ連絡するか、専門家に相談 ↗ してください。