このセクションでは、Unified Access Gateway 用に構成されたセキュリティ設定について説明します。

次の表に、標準（非 FIPS）の Unified Access Gateway のメイン Unified Access Gateway HTTP ポート 443 の TLS 構成を示します。FIPS バージョンの Unified Access Gateway では、より限定的な暗号と TLS バージョンが使用されます。TLS 設定は [システム設定] で構成され、Horizon Edge サービスおよび Web リバース プロキシ Edge サービスに適用されます。

注： VMware Tunnel、 Content Gateway、 Secure Email Gateway Edge サービスの TLS 設定は、 Workspace ONE UEM Console で個別に構成されます。
表 1. Unified Access Gateway HTTP ポート 443 の TLS 構成
TLS バージョン TLS 暗号 TLS 楕円曲線/名前付きグループ TLS サーバ証明書

Unified Access Gateway は、HTTPS 443 インターフェイスで次の TLS バージョンをサポートします。

  • TLS 1.3
  • TLS 1.2
  • TLS 1.1
  • TLS 1.0

デフォルトでは、TLS 1.3 と TLS 1.2 のみがサポートされます。VMware では、必要な場合にのみ他のバージョンを有効にすることをお勧めします。

Unified Access Gateway は、HTTPS 443 インターフェイスで次のデフォルトの TLS 暗号をサポートします。暗号リストは構成可能です。

[TLS 1.3]

  • TLS_AES_128_GCM_SHA256
  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256

[TLS 1.2]

  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
 P-256 (secp256r1)（256 ビット）

P-384 (secp384r1) （384 ビット）

P-521 (secp521r1) （521 ビット）

X25519 （253 ビット）		 デフォルトでは、Unified Access Gateway は自己署名 SSL サーバ証明書を生成します。VMware では、本番環境に適した信頼できる認証局 (CA) 署名付き証明書に置き換えることを強くお勧めします。信頼できる CA 署名付き証明書は、Unified Access Gateway のデプロイ時に指定できます。

SSH

デフォルトでは、SSH プロトコルを使用した Unified Access Gateway への root コンソール アクセスは無効になっています。パスワード アクセスまたは SSH キー（またはその両方）を使用して、SSH アクセスを有効にできます。必要に応じて、個々の NIC でのアクセスに制限できます。

SSH アクセスを特定の NIC に制限することで、ジャンプボックスを使用して、そのジャンプボックスへのアクセスを制限することもできます。

コンプライアンス

[セキュリティ技術実装ガイド (STIG) ]

Unified Access Gateway は、Unified Access Gateway が Photon 3 DISA STIG に準拠できるようにする設定をサポートしています。このコンプライアンスを遵守するには、FIPS バージョンの Unified Access Gateway を使用し、デプロイ時に特定の構成設定を適用する必要があります。

[Horizon と併用する場合の Unified Access Gateway の NIAP CSfC ガイドライン]

米国家安全保障局 (NSA) は、機能パッケージ (CP) と呼ばれるソリューションレベルの仕様を開発、承認、公開しました。CP に加えて、米国家安全保障局 (NSA) および米国家情報保証パートナーシップ (NIAP) は、業界、政府、および学界の技術コミュニティと連携して、保護プロファイル (PP) と呼ばれる製品レベルのセキュリティ要件を開発、維持、公開します。

NSA/CSS（中央保安部）の CSfC (Commercial Solutions for Classified) プログラムは、分類された NSS (National Security Systems) データを保護するレイヤード ソリューションにおいて、商用製品を使用できるようにするために策定されました。

Horizon と Unified Access Gateway の併用は NIAP/CSfC に準拠しており、トランスポート レイヤー セキュリティ (TLS) で保護されたサーバに CSfC の選択を使用します。この検証には、NIAP/CSfC の運用のために必要となる Unified Access Gateway アプライアンスにおいて、特殊な構成が要求されます。

[FedRAMP コンプライアンス]

FedRAMP (Federal Risk and Management Program) は、米国連邦政府機関が使用するクラウド製品とサービスを使用するためのサイバー セキュリティ リスク管理プログラムです。FedRAMP は、NIST (National Institute of Standards and Technology) のガイドラインと手順を使用して、クラウド サービスの標準化されたセキュリティ要件を提供します。特に、FedRAMP は、NIST の Special Publication [SP] 800-53 - 連邦政府情報システムおよび連邦組織のためのセキュリティ管理策とプライバシー管理策シリーズ、ベースライン、およびテスト ケースを利用しています。