DX推進化サポート

■規模：3500名超
■拠点数：60か所超（全国）

■老朽化したベンダー依存型のネットワーク構成及び設備

■専用線を使った高コストな拠点間ネットワーク

■全国の拠点がデータセンターを経由しての通信を行う設計のため、障害が発生すると全拠点に影響

■通信量増大のためインターネットへの出口が常に低速

■オンプレのVM上でSSOサーバ、AD等を構築し、データセンターに設置し認証基盤を運用

ネットワーク基盤
KDDIのWVS2を導入、ルーティングはクラウドからDLされるので機材側での個別設定が不要。
拠点間通信は直接WVS2網を通して行われる。

認証基盤
クラウドSSOを導入、認証情報元にはAWS　EC2上にADを構築。
ユーザは社内ネットワーク外であっても、SSOでログインを行えばGoogleApps等利用可能に。
また社内でメインで使うDNSサーバはADではなくVPS上に構築したDNSを利用（情報はADと同期）

基本IT設備
メールサーバは廃止し、GoogleAppsへ移行。あわせてGドライブの利用により、
認証系は完全にクラウド上で完結しているため、一切社内ネットワークを経由せず日常業務が可能に。
AntiVirus管理サーバも独立したネットワークVPS上に作成、GIPでの運用にすることでユーザは社内に入らずとも管理状態にすることが可能になった。クラウドタイプのAntiVirusと ほぼ同じ動作を低コストで実現。

インターネット出口制御
一番通信量の多いブラウジングについては各主要拠点にプロキシサーバを設置し、
UTMを通した１か所集中のインターネット接続から出口を分散する方向で利用。

業務系サーバ
AWS　EC2上に移設、CRMなどはASP型のサービス（セールスフォース）に切り替えを行う。

社内インフラについては、すべて社内依存を離脱。どのような状況においても、ほぼ同じ環境で利用可能になった。

■規模：100名超
■拠点数：5か所（九州地方）

▼具体的に移行が必要なシステムのヒアリング
↓
▼移行システムと移行方法の提案、各期日の設定
↓
▼実行フェーズ

①ネットワーク：オンプレルータで非常に安価、かつ外部からの攻撃にも強い構成
しかしインターネットの出口制御が弱く、外部へのアクセス制限も自動化が難しい状態

②特殊な専用回線：金融機関・法務・行政等を対象とした多数の特定業務専用回線がある

③セキュリティ：対外的に十分説明できるセキュリティ構成が必要。またクラウドサービスは基本NG

④ファイルサーバ：安価で安全なバックアップ体制が必要。また監査対応等への対応を考えた構成が必要

⑤停止が許されないシステム：業務時間内はリアルタイムの売買システムを確実に動かし続ける構成が必須。BCP対策が必要に

①ネットワーク
外部へのアクセス制限用の設備を各拠点に入れるのはコスト的にも管理的にも無駄が多い。
それでもセキュリティ制御が必要だったため各拠点にKDDIのWVS2サービスのノードを増設、
現行ネットワークと拠点間IPSECのみの動作とし、同一セグメント内に設置したWVS2ノードから、
インターネット側へ通信が出ていく仕様に変更。
UTMを契約し高度な出口制御をおこなえる状態にした。

また安価で現行ネットワークは存続させ、ルータの制御のみで新回線（WVS2）側でIPSECを繋ぎ変えることも可能な状態とした。
日常はトラフィックを分散させつつ、障害時は片側に寄せて運用することが冗長系ともなる無駄のない構成とした。

②特殊な専用回線
準備中

③セキュリティ
データセンターを新設し、専用業務用回線は集約、リモート利用が可能な状態にした。
業務系システムだけではなく、ファイルサーバや
グループウェアサーバなどもデータセンターにメインを置くことで、
拠点に配置する設備を極力シンプル化し、PCへのデータレス化を実施。
ユーザが使うPCの権限を最小限にし、アプリインストールなどを抑止。
クライアント側も高いセキュリティ状態を維持させ、
インターネット出口制御としてはWVS2のUTMにより、コンテンツ・パケットの両面からアクセス制御。
また特定IPへの制御などもUTMで実施し、出口へのアクセスは強力な制御状態確保。

④ファイルサーバ
クラウドでの運用がルールでNGのため、
ファイルサーバ自体は安価な筐体を採用し、バックアップ系を複数用意する体制に。
物理破損時はバックアップ系に切り替えられるバッチを準備し、素早く対応できるようにした。
ネットワーク障害時も別拠点に配置したバックアップを参照可能な状況にし、
どんな障害時でも「データへアクセスできない状況」が起きないよう、
障害が発生する前提で複数台・複数個所にて運用できる体制を構築。

⑤絶対に止められないシステム
既存のフレッツとオンプレルータを使ったネットワークとWVS2のクラウドネットワークを両方同時に運用し、
日常は前者は拠点間通信専用、WVS2はインターネット側への通信専用にし、どちらかの障害時は拠点毎に片方に寄せることが可能。
また拠点自体がダウンした場合でもモバイル用VPN装置を配置（日常ではOFFにした状態）し、
インターネットにつながる状態を確保すればどこにいても業務継続可能に。
WVS2についてはLTEオプションを採用し、回線ダウン時はLTE網からも接続する仕様とした。

またデータセンターに特定業務専用回線などを集約するが、データセンター自体のダウンも想定し、
別拠点のデータセンターに配置された各サーバのバックアップ系と継続が必須な業務用回線を用意し、
こちらは常時使える状態でのアクティブ運用することで「いざというとき使えない」という状況にならないよう構成した。
この構成に加え、物理的に距離の離れた弊社にてファイルサーバ等のデータバックアップも取得することも含めて、
BCP対策用のITシステムとした。

既存システムやネットワークを利用しつつ、冗長化やBCP対策を実装したシステム構成。
クラウドサーバ利用できない条件と複雑運用条件を達成するため安価なハードを数多く使う運用方法を構築。

またDXに向けた過程のシステム構成でもあり、「クラウドサーバが利用できない」ルールが変わり次第、
敷設済みのクラウドネットワーク（WVS2）とAWS等をVPC接続することで、一気にITインフラDXへ進めることが可能な下地を作った。