vTenant — ハードウェアサポート付きマルチテナンシー
単一の物理TR7アプライアンス上で、リソースが分離され、管理が独立した複数のテナント。
サービスプロバイダー、ホールディング構造、マルチリージョン組織は、しばしば同じニーズを経験します:単一の強力なハードウェア投資を効率的に使用しつつ、各顧客、部署、または環境のために別個のセキュリティ境界を作成すること。
従来のマルチテナンシーは、しばしば共有リソース上でソフトウェアベースの分離を提供します。このモデルは小規模環境では十分に見えますが、顧客分離、コンプライアンス範囲、リソース保証、運用セキュリティが必要な場合、より強力な分離が必要になります。
TR7 vTenantは、物理TR7アプライアンス上でハードウェアサポートのテナント分離を提供します。各テナントは独自のCPU、RAM、ディスク、ネットワーク、管理エリアを持ちます。こうして、単一のデバイス上で複数の独立したTR7環境を実行できます;テナントは互いのリソースを消費せず、ポリシーを見ることができず、運用エリアに干渉できません。
単一の物理TR7。複数の独立したテナント。
vTenantはCPU、RAM、ディスク、ネットワーク、管理エリアをテナント単位で分離します。MSP顧客、子会社、PCI範囲、テストおよび本番環境は、同じ物理アプライアンス上で制御され独立して実行できます。
リソース、ネットワーク、管理、ライセンス範囲での4層分離
vTenantはインターフェースにテナントラベルを作成するだけではありません。各テナントについて、リソース使用量、ネットワークエリア、管理権限、製品範囲が別々に定義されます。これにより、同じ物理デバイス上で複数の独立した運用エリアを構築できます。
ハードウェアサポートのリソース分離
各vTenantに対してCPU、RAM、ディスク、ログエリアが個別に計画されます。あるテナントの強度や誤った構成が他のテナントの動作に影響することはありません。
- テナント単位で割り当てられたCPUリソースエリア
- テナントベースのRAMクォータとリソース制限
- テナント境界でのディスクとログエリアの分離
- 集中的なトラフィックや誤った設定が他のテナントに波及しないこと
- リソース使用量がテナント単位で追跡可能で報告可能であること
ネットワーク分離とセグメンテーション
テナントのトラフィックは共通のネットワークエリアで混ざりません。各テナントに対して個別のネットワークコンテキスト、ルートテーブル、ファイアウォール境界を作成できます。
- テナントごとに個別の仮想ネットワークインターフェースを割り当てることができる
- MACプレフィックスによりアドレス指定の競合が防止される
- ルートテーブルとファイアウォールポリシーがテナントベースで分離される
- テナント間のトラフィック通過はデフォルトでブロックされる
- コンプライアンスと顧客分離のために証明可能なネットワーク境界が作成される
テナントごとの独立した管理
各テナントは独自の管理者グループ、ロールモデル、ポリシーエリア、監査トレイルで動作します。あるテナントの管理者は他のテナントの構成を見ることができません。
- テナントごとに個別の管理者アカウントとロールマトリックス
- 各テナントに独立したポリシーと構成エリア
- あるテナントの管理者が他のテナントを見ないこと
- MSPまたはサービスプロバイダーのために、すべてのテナントが上位管理層から監視できる
- テナントベースの監査、レポート、コンプライアンス出力
製品とライセンス範囲のテナントへの反映
TR7プラットフォームでライセンスされている製品は、テナント範囲で使用できます。こうして、ADC、WAAP、AAM、GTM、追加のセキュリティ機能が制御された方法でテナントに提供されます。
- プラットフォームライセンスにある製品はテナント範囲で使用できる
- WAAPライセンスがなければ、WAAP機能はテナントに開放されない
- 帯域幅、vService、リソース制限はテナントベースで共有できる
- L4/L7 DDoS、L7 Reportingなどのアドオンはテナント範囲に含めることができる
- MSPシナリオでは顧客ベースの容量とサービス分離が可能
単一の物理TR7アプライアンス上の独立したテナント
vTenantは物理TR7アプライアンスを複数の独立したテナントエリアに分割します。目的は、同じハードウェア投資を共有しながら、リソース、ネットワーク、管理境界を明確に分離することです。
- 物理TR7アプライアンス上でのみ提供されます
- テナントごとにCPU、RAM、ディスク、ネットワークリソースを割り当てることができます
- MACプレフィックスとネットワークインターフェースの分離により、テナントトラフィックは混ざらずに管理されます
- テナント間のトラフィック通過は制御下に保たれます
- 各テナントは独自の管理エリアと監査トレイルで動作します
- Central Managementにより、マルチリージョンテナント構造を単一のコンソールから監視できます
- SIEMストリームはテナントベースで別個のチャネルまたはタグで転送できます
vTenantが動作する4つの重要な領域
vTenantは、同じ物理TR7プラットフォームが複数の顧客、ビジネスユニット、コンプライアンス範囲、または環境のために安全に分割される必要があるシナリオで最も高い価値を生み出します。
MSP — 単一デバイスでのマルチ顧客サービス
Managed Service Providerは、異なる顧客にADC、WAAP、またはAAMサービスを提供したいと考えています。各顧客に対して個別のアプライアンス投資はコストがかかりますが、顧客のリソース、管理、監査エリアを互いに分離する必要があります。
vTenantで各顧客が個別のテナントとして定義されます。顧客リソース、ネットワークポリシー、管理者アカウント、監査記録が分離されます。MSPは単一の物理TR7アプライアンス上でマルチ顧客サービスをより制御され、スケーラブルな方法で提供します。
ホールディングと子会社の分離
ホールディング構造で、異なる企業またはビジネスユニットが同じTR7インフラストラクチャを使用したいと考えています。ただし、各ユニットには独自のアプリケーション、ポリシー、管理者、監査範囲があります。
各ビジネスユニットが個別のvTenantとして配置されます。共有ハードウェア投資が保持されます;しかし、管理権限、構成、監査トレイルがユニットベースで分離されます。
PCI/HIPAAのような範囲分離が必要な環境
組織は同じTR7アプライアンス上で機密データ範囲に入るアプリケーションと一般アプリケーションの両方を実行したいと考えています。監査ではこれらのエリアを明確に分離する必要があります。
機密データ範囲のために個別のvTenantが作成されます。このテナントのリソース、ネットワークコンテキスト、管理、監査トレイルが一般アプリケーションエリアから分離されます。範囲分離が監査チームにより明確に示せます。
本番環境とテスト環境を単一デバイスで分離
組織はテストおよび開発環境のために個別のTR7容量を求めますが、本番環境は同じデバイス上で影響を受けずに動作する必要があります。テスト負荷や誤った構成が本番に波及しないことが極めて重要です。
本番とテストは個別のvTenantとして実行されます。テスト環境の負荷、ルール変更、または構成エラーが本番テナントに影響しません。同じ物理デバイスがより効率的に使用されます。
テナント数によるライセンス
vTenantアドオンは物理TR7アプライアンス上に作成されるテナント数によってライセンスされます。小規模構造では数テナント、大規模組織やサービスプロバイダーシナリオではより広いテナント容量が好まれる場合があります。
vTenantは物理TR7アプライアンス上でのみ提供されます。Service Provider Platform Licenseでは、テナント範囲がMSPおよびマルチ顧客運用の自然な範囲で評価できます。
範囲分離とマルチテナント分離のための強力なレイヤー
vTenantは、顧客、ビジネスユニット、規制範囲、または環境ベースでの分離が必要な構造で、リソース、ネットワーク、管理、監査境界をより明確にします。
PCI DSS 4.0.1 Req 1 — ネットワークセグメンテーション
カード保有者データ環境と一般アプリケーションエリアの分離をサポートします。テナントベースのネットワークと管理境界が範囲分離のための強力な技術的制御を提供します。
GDPR第32条
個人データを処理するシステムでリソース、アクセス、ネットワーク分離により技術的措置の強化に貢献します。
EBA Guidelines on ICT Risk / DORA
金融システムにおいて、異なるサービス、顧客、または運用範囲の分離と監査可能な管理モデルのためのサポートを提供します。
HIPAAおよび医療データ規制
患者データを処理するシステムについて、クリニック、サービス、組織、またはアプリケーションベースで分離されたテナントモデルを作成できます。
プレミアムアドオン — 物理アプライアンス上のテナントベース
vTenantはTR7のBase、Geo、Secure、Enterpriseパッケージにプレミアムアドオンとして追加できます。物理TR7アプライアンス上でのみ提供されます;テナント数はライセンス範囲によって決定されます。
- Base、Geo、Secure、Enterpriseパッケージすべてに追加できます
- 物理TR7アプライアンス上でのみ動作します
- Service Provider Platform Licenseではテナント範囲が自然に提供できます
- Central Managementによりマルチリージョンテナント構造を単一のコンソールから監視できます
- 各テナントはプラットフォームライセンスの製品ファミリーと追加機能の範囲内で動作します
- テナントごとの監査トレイルとSIEM転送がサポートされます
単一のTR7アプライアンス上に独立したテナントを構築する
vTenantデモであなた自身のシナリオを一緒にモデル化しましょう:いくつのテナントが必要か、どのリソースが分離されるか、どのテナントがどの製品を使用するか、ネットワークと管理境界がどのように定義されるか。