ESRS ポリシーマネージャのポリシーについて

SRSのPolicy Managerに設定するポリシーは、デバイスに対するリモート接続（Start Remote Application）のポリシー（Always Allow、Ask for Approval、Never Allow）のみです。SCG移行に際して移行が必要なポリシーはそれだけですので、それ以外は無視しても問題ありません。

ご回答いただきありがとうございます。

Policy Manager for SCGについてのドキュメントを探したところトラブルシューティングガイド以外を探すことができませんでした。そのため追加で確認したいことがございます。

ESRSのポリシーマネージャを確認したところ、

Start Remote Application は Never Allow となっており、1件のフィルターが適用されておりました。

フィルターは名前が 〇〇USER で Always Allow となっております。

上記の設定をPM for SCGで作成する場合のポリシーおよびフィルターについて下記3点お伺いしたいです。

①SCGのポリシーはすべてDenyで問題ないでしょうか。

②フィルターはタイプがUserになると想定しております。添付写真のFilter欄にあるParameterとRule Typeのパラメータがわからないのでご教示いただけないでしょうか。

③Devices Under Policy はポリシーを適用させるデバイスを選択できると思っております。ESRSではデバイスを指定する項目が見つからなかったのですが、すべてのデバイスをアサインさせる必要があるのでしょうか。

前述の通り、Policy Manager for SRSにおいて、移行すべきポリシーはStart Remote Applicationの部分のみです。

他の設定は基本的にデフォルトで利用します。フィルターの機能はPM for SRSにもPM for SCGにもありますが、少なくともPM for SRS ではユーザがいじることはありません。〇〇 UserがSYR Userのことでデフォルトで設定されているものですので移行をする必要はありません。

私の画面ではUser Guideが確認できます。日本語ドキュメントのみを表示する設定になっているとUser Guideが出てこないようなのでそれが原因かもしれません。日本語でフィルターがかかっている場合はEnglishにしてみてください。もしくは以下のURLでアクセスをしてみてください。

Policy Manager 5.x for Secure Connect Gateway User's Guide | Dell US

PM for SRSでもデバイス単位での設定もできたような記憶がありますが、ほとんどの環境において、Global 設定を利用するのが一般的でした。
PM for SCGではデバイス単位でポリシーを割り当てるような使い方になっています。

@DELL-Naoyuki K さん

下記について、ご教示いただけないでしょうか？

最後に私の理解に誤りがないか確認させてください。

PM for SCGの新規構築にあたってデフォルト状態のPM for SRSと同様の設定をするためには

①PM for SCGでStart Remote Applicationポリシーを作成してRemote Session の項目をdeny、それ以外をAllowに設定する。(PM for SRSの設定がNever Allowだったため)

②上記ポリシーに対してフィルターは作成する必要がない。

③デバイスはすべてアサインする。(global指定はできるのでしょうか？もしできない場合、運用にあたって新規監視対象デバイスが追加する際に、手動で登録する必要があるのでしょうか？)

PM for SRSのParametersについてですが、添付写真のRemote Application Name:*の意味を具体的に教えていただきたいです。

また、Add Parameterをクリックした場合、どのような設定ができるのでしょうか。

お手数をおかけしますが、よろしくお願いいたします。

@JapaneseKS​ 

@DELL-Naoyuki K 

早速のご回答ありがとうございます。

上記承知いたしました。

ご丁寧に対応いただきまして、ありがとうございました。

非常に勉強になりました。

@DELL-Naoyuki K 

何度も申し訳ありません。

追加で1点確認したいことがあります。

Start Remote Application ではポリシーの設定でリモートアクセスを拒否し SYR User フィルターを設けることで

user id="syr"であるDell側とのアクセスのみ有効(他の外部からのESRSへのアクセスを遮断)しているという

意図で理解しました。

PM for SCGでは設定に現れていないだけでDell以外の外部からのSCGへのアクセスを遮断しており、

Dell側からのアクセスの可否をRemote Acsessの項目で設定しているという解釈で問題ないでしょうか？

ご回答いただけますと幸いです。よろしくお願いいたします。

SCG経由でのリモートアクセスはDell社内のインフラサーバを経由し、かつ多重認証をパスした一部の権限ユーザのみしか利用できません。

したがって、ポリシーの設定に限らずDell以外からの外部アクセスはできません。（そもそもSCGVEはインターネットに公開されていません）

Remote Access をDenyにするとDell側からリモートアクセスがあった際にSCG VEがそれを拒否する動作になります。

ご回答いただきありがとうございます。

外部からのアクセスはできないため、設定するポリシーはすべてDell側に対して適応されるものということですね。

そのため、フィルターでユーザを指定する必要がない。ということで理解致しました。

@JapaneseKS​ 

現在もSYR Userが利用されているかは不明ですが、必要であればPM for SRSのようにデフォルトで設定されているはずですので気にしなくてよいはずです。