HPE IceWall FAQ - よくあるご質問

Q1: IceWallはどのような製品ですか？端末ログイン時の認証強化を目的とした製品ですか？

端末自体の認証ではなく、業務システムやクラウドサービスなどネットワーク経由で提供されるサービスを認証強化することを目的とした製品です。業務システムやクラウドサービスなどをアプリケーションの修正なしで多要素認証化することが可能です。

Q2: IceWall MFAの「MFA」は何の略ですか？どのような機能を表しますか？

Multi Factor Authentication（多要素認証）の略称です。
複数の認証方式の組み合わせや、個々のシステムごとに異なる認証方式の組み合わせを導入可能です。FIDO認証機能、ブラウザートークン機能を持つほか、「プラグインアーキテクチャ」によりさまざまな認証方式との連携が可能で、要件に合致した認証方式を柔軟に選択いただくことができます。

Q3: IceWall MFA で利用できる認証方式には何がありますか？

ID/パスワード、FIDO2、統合Windows認証、ワンタイムパスワードがあります。 また「プラグインアーキテクチャ」により、他社が提供する様々な認証方式（生体認証等）を追加可能です。今後も新たな認証方式への拡張を予定しています。最新情報は以下をご覧ください。

IceWall MFA 機能

技術レポート　IceWall MFA 認証プラグインによる各種認証方式との連携

Q4: "アプリ改修不要"とは具体的にはどのように実現されますか？

リバースプロキシ方式のシングルサインオンで実現しています。Webアプリのログイン画面にリバースプロキシサーバーが自動でIDとパスワードを入力します（自動フォーム認証機能）

Q5: IceWall MFA はアプライアンス製品ですか？

アプライアンス製品ではなく、ソフトウェア製品です。別途サーバーやクラウドサービスでOS環境をご用意いただく必要があります。

Q6: IceWall MFA はIceWall SSO とは異なる製品でしょうか？IceWall MFA はIceWall SSO のバージョンアップではないのでしょうか？

別製品です。IceWall MFAとIceWall SSOのバージョンは別々にリリースされます。

Q7: IceWall SSO にはあり、IceWall MFAには無い機能は存在しますか？

基本的にはすべての機能が使えます。

Q8: IceWall MFA とIceWall SSO は何が違うのでしょうか？

IceWall MFA は、IceWall SSO のWebシングルサインオンの技術をベースとして、特にそのログイン認証機能を多要素認証プラットフォームに進化させた製品です。
それにより、適用範囲がWebシングルサインオンからあらゆるシステムに対する認証強化にまで大幅に広がります。

Q9: 認証基盤の提案依頼があった場合にIceWall SSO 、IceWall MFA のどちらを提案するのがよいか、考え方はありますか？

新規のお客様へのご提案としては、基本的に機能が豊富かつ柔軟で適用範囲の広いIceWall MFA をおすすめいたします。 お客様の関連システム環境やご導入時期等によってはIceWall SSOの方が適している場合もありますので、ご相談ください。

Q1: IceWall MFAでシングルサインオン(SSO)はできますか？

可能です。

Q11: IceWallではユーザーをグループで管理できますが、IceWallにおけるグループの考え方とメリットとはどのようなものですか？

IceWallでは各ユーザーごとにデータベースに保存されている付加情報(例えば、役職カラム)などを利用して、ユーザーをグループにまとめて管理します。(各ユーザーごとに1つのグループを割り当てることも可能です。)また、実際のアクセス制御設定では、これらグループ情報を利用した論理式により、きめ細やかなアクセス制御を行うことが可能です。
これらグループを利用したアクセス制御により、要求されるほとんど全てのアクセス制御要件に対応が可能です。

Q12: ユーザーIDに使う文字に制限がありますか？

ユーザーID として英数字以外に使用可能な特殊文字は以下の通りです。

! % $ & @ _ - .

空白文字はサポートされません。また、「.」（ピリオド）はユーザーID の末尾には使用できません。
これら以外の特殊文字を使用した場合の動作については保証されません。

Q13: IceWallでは強制的にパスワード変更させるなどの機能はありますか？
またパスワード変更に関する設定にはどのようなものがありますか？

パスワード変更に関して、以下の設定が可能です。
・パスワード有効期限を設定することにより強制的にパスワード変更を行う
・パスワード有効期限長を設定
・過去に使用したパスワード使用可否の設定
・過去に使用したパスワード履歴の保存数設定
・パスワードに使用禁止にできる文字列の設定
・ユーザーIDと一致するパスワードの使用可否の設定
・パスワード長の設定
・パスワード使用可能な文字組み合わせの設定

Q14: IceWallにはユーザーのパスワード忘れに対応する機能はありますか？

IceWallパスワードリセットオプション（有償オプション）を提供しています。

ユーザーがパスワードを忘れた場合に、秘密の質問などを使用して安全にユーザー自身がパスワードをリセットすることが可能です。

Q15: パスワードを暗号化して認証DBに保持できますか？

IceWallの標準機能ではパスワードが非可逆のハッシュ化(MD5、SHA、SHA256)形式もしくはプレーンテキストによりDBに保存されます。またお客様が独自に開発した暗号化アルゴリズムを組み込むこともできます。

Q16: IceWallを導入する場合、バックエンドWebサーバーに特別な設定をする必要がありますか？

リバースプロキシ型とエージェント型で設定が異なります。
<リバースプロキシ型>
　通常バックエンドWebサーバー自体には特に設定の必要はありません。
　認証サーバーには、バックエンドWebサーバーへのアクセス権限などの情報を登録する必要があります。
　またバックエンドWebサーバー側でも認証を行っている場合は、IceWallサーバーに自動代行ログインのための設定を行います。
<エージェント型>
　アプリケーションを提供しているWebサーバへIceWall エージェントをインストールする必要があります。
　さらにWebサーバーソフトにIceWall エージェントを組み込むための設定と、IceWall エージェント自体の設定を行います。
　認証サーバーに、リバースプロキシ型と同様にアクセス権限の設定を行います。

Q17: 複数のバックエンドWebサーバーが各々個別に認証機能をもっており、ユーザーIDやパスワードが異なる場合、IceWallはそれらをどのように統合しますか？

IceWallサーバーがバックエンドWebサーバーの認証方式にあわせて自動代行ログインを行います。
例1：バックエンドWebサーバーの認証ID/パスワードを認証DBに登録し、IceWallサーバーでその情報をHTTPヘッダに埋め込みバックエンドWebサーバーへ送信します。
例2：CGIやServletなどで作成された認証については、HTMLフォームを使用して、これに認証DBに登録されているバックエンドWebサーバーの認証ID/パスワードをセットして、IceWallサーバーがバックエンドWebサーバーへ送信します。

Q18: 各バックエンドWebサーバーへのアクセス権限はどこでどのように設定しますか？

ユーザーから各バックエンドWebサーバーへのアクセス権の設定は認証サーバーの設定ファイルで行います。認証DB内の様々な情報を基にアクセスを制御するような設定が可能です。
例：あるバックエンドWebサーバーには「役職」カラムの内容が「部長」であるユーザがアクセス可能であるように、認証サーバーの設定を記述する。

Q19: IceWallをリバースプロキシタイプで使用した場合でも、バックエンドへのアクセスURLをIceWall経由のURLにせず、直接バックエンドWebサーバーのURLを使用することは可能ですか？

オリジナルURL機能を使用すれば可能です。詳細は以下の技術レポートをご覧ください。

技術レポート：オリジナルURL対応機能特集1:基本編

Q20: HTMLファイルでなくてもキーワード変換は実行されますか？

IceWallサーバーの設定ファイル内でキーワード変換を行うコンテンツのMIMEタイプを指定することで、HTML以外のコンテンツに対してもキーワード変換を行うことができます。

Q21: 日本語のURLでもURL変換が可能ですか？

日本語がURLの一部に含まれる場合でもURL変換は行われます。日本語に対するキーワード変換を行う場合は、コンテンツの文字コードに合わせて設定ファイルを記述してください。

Q22: バックエンドWebサーバーからのCookie情報についてはIceWallはどのように対応しますか？

そのまま中継します。バックエンドWebサーバーのCookieは、Set-Cookieのpath属性及びdomain属性を使用している場合でもIceWall経由での設定となるように変更されるため、動作的に問題はありません。

Q23: IceWallの機能で、バックエンドWebサーバーの負荷分散を行うことができますか？

IceWall自体に負荷分散の機能はありませんが、ロードバランサと併用してご使用していただくことが可能です。

Q24: ファイルサイズの大きいデータにはどのように対応しますか？

特別な設定は必要なく、フォワーダーはサイズの小さなコンテンツも大きなコンテンツも特に区別なく処理します。ただしトラフィック上大きいサイズのデータが多い場合は、ネットワークの回線やIceWallサーバーのサイジングに影響します。また、以下の値を調整することによりパフォーマンスの改善が可能です。
・フォワーダーのバッファサイズの調整
・大きいサイズのファイルに対してバッファリングを実施しない

Q25: IceWallのタイムアウトよりも、バックエンドWebサーバーのタイムアウトが先に発生する場合はIceWallはどのような動作をしますか？

IceWallのセッション中にバックエンドWebサーバーでタイムアウトが発生する場合があります。タイムアウトが起こった場合、HTTPヘッダでの情報継承機能やフォーム認証機能を利用して再度ログインすることが可能です。

Q26: IceWallでは、どのような暗号化通信を行うことが可能ですか？

IceWallではリバースプロキシとバックエンドWebサーバー間のSSL通信を行うことが可能です。（IceWall MFAは標準機能、IceWall SSOはオプション機能）
またクライアントとリバースプロキシ間のSSL通信は標準で対応しています。

Q27: バックエンドWebサーバーとHTTP 1.1での通信は可能ですか？

リバースプロキシとバックエンドWebサーバー間の通信については、使用するIceWall製品によって異なります。
・IceWall MFAとIceWall MCRPでは、HTTP 1.1での通信が可能です。
・IceWall SSOでは、バックエンドWebサーバー側がHTTP 1.1対応であってもHTTP 1.0で通信を行います。
なお、どちらの製品でもWebブラウザとリバースプロキシの間ではHTTP 1.1での通信が可能です。

Q28: IPv6 に対応していますか？また、制限事項はありますか？

IceWall MFA、IceWall SSOのLinux版はIPv6に対応しています。一部の関連モジュールは未対応です。詳細についてはお問い合わせください。

Q29: IceWallサーバーとバックエンドWebサーバーとのネットワークに問題があり、接続不可能な場合やタイムアウトが生じた場合、IceWallはどのように動作しますか？

バックエンドWebサーバーとの通信が途中で途切れてしまった場合、以下のエラーをブラウザに返します。
・バックエンドWebサーバーダウンエラー
・インターナルエラー(HTTP-500)

Q1: 複数の認証DBの使用をサポートできますか？

可能です。ID探索機能(C2C分散)を使用することにより実現します。

Q2: ADとの連携は可能ですか？

可能です。

Q3: 統合されていない複数のADがある環境にIceWallを導入可能ですか？

IceWallでは複数のレポジトリへの対応が可能です。またADログオン情報を引き継いでシングルサインオンを実現することも可能です。
以下の関連技術レポートもあわせてご覧ください。

発売から20年を迎えた国内シェアNo.1 IceWall
技術レポート：Active Directory環境でのIceWallへのアクセス（信頼関係を結んでいない複数ドメイン編）
技術レポート：Active Directory環境でのIceWallへのアクセス（信頼関係を結んでいる複数ドメイン編）

Q4: IceWallの基本システム構成（アーキテクチャ）はどのようになっていますか？

「システム構成」をご覧ください。

Q5: IceWallはどのような冗長化が可能ですか？

・IceWallサーバーの冗長化
　IceWallサーバーを複数台設置しロードバランサーを使用することで冗長化、負荷分散を実現します。
・認証サーバーの冗長化
　認証サーバーは主系と待機系を置くことができます。この機能を使用するには別途FailOverオプションをご購入頂く必要があります。
・バックエンドWebサーバーの冗長化
　FailOverオプションにより可能です。またロードバランサーを使用することも可能です。
・認証DBの冗長化
　データベース自身の持つレプリケーション機能やDBサーバーのクラスタ化により実現します。

Q1: 仮想化環境への導入は可能ですか？

可能です。

Q2: クラウド環境への導入は可能ですか？

可能です。アマゾン ウェブ サービス（AWS）などをご利用いただくことが可能です。

Q3: サーバー台数やメモリのサイジングはどのように行うのでしょうか？

お問い合わせください。

Q4: IceWallはスマートフォンをサポートしていますか？

サポートしています。IceWall 動作確認済スマートフォン一覧をご覧ください。

Q5: IceWallの動作環境としてサポートされているデータベースにはどのようなものがありますか？

最新の推奨動作環境はIceWall 動作環境をご覧ください。

Q6: 対応ブラウザの種類にはどのようなものがありますか？

最新の推奨動作環境はIceWall 動作環境をご覧ください。

Q7: IceWallが接続するバックエンドのWebサーバーに制限はありますか？

バックエンドWebアプリケーション接続条件をご覧ください。

Q8: IceWallとその他のシステムとの連携実績はどのようなものがありますか？

技術レポートに連携検証に関するレポートを多数掲載しておりますのでご覧ください。