セキュリティとプライバシー

RealmJoin の情報セキュリティ、データ処理、プライバシーに関する FAQ。データセンター、ストレージ、品質保証を扱います。

この章では、情報セキュリティ、プライバシー、品質保証に関するよくある質問の概要を紹介します。

データ処理と権限

1. RealmJoin はどのデータセンターで運用されていますか？

• Azure リージョン 西ヨーロッパ（プライマリ）
• Azure リージョン 北ヨーロッパ（バックアップ）

2. RealmJoin はどのデータを処理しますか？

• コンピューターの状態
• Entra ID のユーザー/デバイス/グループ データ（これには UPN / メールアドレス データ、名、姓、プロフィール画像が含まれます）
• Intune データ
• ATP データ
• ログファイル

3. RealmJoin によって／RealmJoin の代行で永続的に保存されるデータは何ですか、またどのように保存されますか？

• コンピューターの状態
• Entra ID のユーザー/デバイス参照（これには UPN / メールアドレス データが含まれます）
• アプリ管理用情報
• ログファイル

データは blob ストレージとデータベースの組み合わせで保存されます。

4. ログのアーカイブ機構はありますか？

コンピューターの状態は 90 日間アーカイブされ、その後保持ポリシーによってデータが削除されます。

5. RealmJoin Web ポータルにアクセスするユーザーは、どの Tenant 権限に同意する必要がありますか？

以下を参照してください 必要な権限.

6. 質問 5 の同意を付与すると、どのデータが利用可能になりますか？

以下を参照してください 必要な権限.

7. RealmJoin は外部からアクセス可能なエンドポイントをどのように公開していますか？

1. RealmJoin ポータル

   • サービスの管理を容易にする Web ポータル。
2. RealmJoin Client-API

   • クライアントアプリケーション向けの API（内部利用）。
3. RealmJoin Customer-API

   • 顧客向けの API。
4. RealmJoin Internal-API

   • 関連するバックエンド操作向けの API（内部利用）。
5. RealmJoin CDN

   • BranchCache 対応のバイナリデータ。
6. RealmJoin Package Server

   • カスタム NuGet パッケージ レジストリ。

8. 質問 7 のエンドポイントはどのように保護されていますか？

1. RealmJoin ポータル

   • Microsoft Entra ID (Azure AD) による OAuth 2.0 認証で保護されています。
2. RealmJoin Client-API

   • Microsoft Entra ID (Azure AD) による OAuth 2.0 認証で保護されています。
   • Entra-Device-Certificate を使用したカスタム認証。
3. RealmJoin Customer-API

   • 顧客ごとの事前共有キー。
4. RealmJoin Internal-API

   • 顧客ごとの事前共有キー。
5. RealmJoin CDN

   • 定義上、認証なし。暗号化ファイルを使用して保護できます。
6. RealmJoin Package Server

   • 顧客ごとの事前共有キー。

9. 質問 7 のエンドポイントでは、どのポートとプロトコルが使用されていますか？

1. すべてのエンドポイントは既定で TLS を使用します。

   • HTTPS（TCP / 443）。
2. RealmJoin CDN

   • トラブルシューティング目的で HTTP（TCP / 80）も許可します。
   • 構成済みの URL は HTTPS（TCP / 443）のみを使用します。

ID

1. RealmJoin へのアクセスに使用される認可方式は何ですか？

管理者アクセスは、プラットフォームに登録されたユーザーに対して Microsoft Entra ID (Azure AD) を用いた OAuth 2.0 認証によって実現されています。

2. RealmJoin を保護するための Conditional Access / ロールベースのアクセス制御はありますか？

はい。RealmJoin Admin ポータルには、 ロール を各ユーザーに割り当てる機能があります。

利用可能な既定ロール:

• 管理者
• 監査担当者
• サポーター
• Runbook 実行者
• ソフトウェア エージェント
• ソフトウェア要求者
• 通常のソフトウェア要求者
• 通知エージェント

さらに、RealmJoin ではカスタム ロールを作成できます。

3. アクセス資格情報は復元できますか？ 可能なら、どのように？

RealmJoin は SSO を使用しており、顧客 Tenant 内の Microsoft Entra ID (Azure AD) ポリシーの対象となります。

データ保護

1. どのように 保存時データ が不正アクセスから保護されていますか？

• ベストプラクティスに従い、管理者アクセスを制限しています。
• Passkey MFA を使用しています。
• データベースへの外部アクセスは VPN の IP に制限されています。

2. どのように 転送中データ が不正アクセスから保護されていますか？

RealmJoin Service（Backend）と RealmJoin Agent（Client）間の通信は、Transport Layer Security（TLS）1.2 以上で保護されています。

さらに、一部のコンテンツ（例: ソフトウェア パッケージ）は RealmJoin Service によって署名されるため、RealmJoin Agent は転送中にデータが改ざんされていないことを確認できます。

3. 顧客 Tenant はどのように相互分離されていますか？

サービス制約と性能面の考慮に応じて、個別のグループ/コンテナー、またはテーブルのパーティション分割によって分離しています。

コードパスでは、環境ベースの顧客コンテキストを使用して分離しています。

設計段階からのセキュリティ

私たちは高いセキュリティ基準を重視しています

• 当社の開発チームと運用チームは ISO 27001 認証を取得しています。
• 最新のクラウド開発ツール（例: GitHub）を使用し、コードは保護されたリポジトリに保存されています。
• 当社は、最先端の開発、ビルド、運用手法（例: CI/CD）に取り組んでいます。
• 当社のチームメンバーは Entra ID の ID を使用し、多要素認証の使用が必須です。
• エンドポイント、ID、サービスは最新技術（例: Microsoft Sentinel や EDR を含む M365 Defender Suite）で保護され、Security Operations Center によって監視されています。
• すべてのシステムは継続的に更新されています。

1. RealmJoin の設計にはどのような技術、スタック、プラットフォームが使用されましたか？

• Azure

可用性

1. RealmJoin の可用性はどのように確保していますか？

RealmJoin の高可用性を維持するため、いくつかの重要な戦略が実施されています。いずれも、サービスへの堅牢で中断のないアクセスを提供することを目的としています。これらの対策には次のものがあります。

• 冗長インフラ：1 か所で障害が発生した場合でも継続的にサービスを提供できるよう、複数のデータセンターに展開しています。RealmJoin は複数の Azure データセンターで Azure IaaS を活用しています。
• 自動フェイルオーバー プロセス：障害発生時にトラフィックを自動的に稼働中のサーバーへ振り向ける仕組みを備えており、ダウンタイムを最小限に抑えます。
• スケーラブルなアーキテクチャ：需要に応じてリソースを迅速に増減できるため、ピーク時のパフォーマンス維持に役立ちます。
• 定期的な更新とパッチ適用：脆弱性の修正と性能向上のために定期的な保守と更新を適用し、プラットフォームの安全性と効率性を維持しています。
• 監視とアラート：システム健全性の継続的な監視と、サービス可用性に影響を与える可能性のある問題に対する自動アラートを行っています。
• 復旧計画：複数層の復旧対策を実装しています。データベースに時点復元機能があるため、メインシステムの状態は直近数週間分まで復旧できます。さらに、万が一システム全体が完全に停止した場合でも、IaC アプローチ（Terraform）を使用して主要な RealmJoin サービスを復旧できるため、復旧時間を大幅に短縮できます。

GDPR とデータレジデンシー

1. データはヨーロッパ外に出ますか？

いいえ。

2. RealmJoin が依存しているサードパーティのクラウドプロバイダーは何ですか。また、その理由は何ですか？

会社	サービス	連絡先	目的
Microsoft Corporation	クラウド サービス（Azure）	Building 3, Carmanhall Road Sandyford, Industrial Estate 18, Dublin, Ireland	クラウド サービス（Azure）
GitHub B.V.	git コードリポジトリ、統合、テスト、リリース自動化	Prins Bernhardplein 200, Amsterdam, 1097JB Netherlands	コードリポジトリ、CI/CD パイプライン。
GitLab, Inc.	git コードリポジトリ、統合、テスト、リリース自動化	268 Bush Street #350, San Francisco, CA 94104-3503, United States	パッケージング パイプライン

その他

1. RealmJoin はバグバウンティプログラムの対象ですか？

いいえ。

2. どのような QA 対策が講じられていますか？

• 署名済みバイナリを実行しています。
• 当社のアプリパッケージは、一貫した方法でビルドされ、最先端のコードリポジトリと CI/CD 手法を活用して、最大限の整合性を確保しています。
• アプリパッケージはビルド過程で署名され、クライアントへのインストール前に RJ エージェントによって検証されます。

3. 定期的にペネトレーションテストを実施していますか？

いいえ。

Secure Development Practices の一環として、コードベースをスキャンして CVE やその他の一般的な攻撃手法（サードパーティライブラリなどの依存関係を含む）を検出するツールを使用し、RealmJoin が公開しているエンドポイントのセキュリティに影響を与える可能性のある脆弱性を確認しています。リリース前には、関連する検出事項をすべて評価して修正し、RealmJoin が既知の脆弱性を含まない状態を維持しています。当社では、独自にペネトレーションテストを実施しておらず、サードパーティの「Penetration Test-as-a-Service」ツールも使用していません。前者については、本質的な利益相反があると考えています。後者については、一般的なペネトレーションテストサービスは公開されているエンドポイントを CVE やその他の既知の攻撃手法と照合するだけであることが多く、静的コード分析ですでに行っているチェック以上の価値はないと考えています。ご自身でペネトレーションテストを実施したい場合は、 お問い合わせください そしてご要件をお知らせください。

4. パッチ適用プロセスはありますか？

はい、脆弱性の修正と性能向上のために定期的な保守と更新を適用し、プラットフォームの安全性と効率性を維持しています。

5. パッチの SLA はどのようになっていますか？

• CVE / セキュリティ脆弱性向けのパッチ：脆弱性が公知になった時点、または自社コード内で脆弱性を特定した時点のいずれか早い方から起算して、その脆弱性を認識してから 24 時間以内にホットフィックスを提供します。
• その他のパッチ：SLA なし。

6. RealmJoin はバックアップを実行しますか？

RealmJoin はすべての重要データに対して時点復元技術を使用しています。GitLab（PACKaaS パイプラインとリポジトリをホスト）は定期的にバックアップされています。

7. バックアップ復元テストはありますか？

いいえ。以下を参照してください 可用性 詳細について。

8. なぜ RealmJoin パッケージはコミュニティソリューションより安全なのですか？

コミュニティソリューションとは異なり、当社はすべてのパッケージとすべてのバイナリを常に完全に管理しています。実装済みの複数のチェックにより、破損したデータがデバイス上で実行されないことを保証しています。

• 公開リポジトリなし当社は GitLab、nuget、cdn インスタンスをホストしています。現在 RealmJoin エージェントは Chocolatey エンジンの改変版を利用していますが、パッケージソースは glueckkanja AG のパッケージサーバーに限定されています。
• 分離されたリポジトリ顧客固有のパッケージは当社サーバー上の顧客専用領域に配置されており、他の顧客はアクセスできません。
• 完全なバージョン管理すべてのツールおよび RealmJoin パッケージストアは、コミット情報と監査情報を提供します。どの時点でも、どのパッケージで誰が何を変更したかが常に明確です。
• 特定データを避けるパッケージコードとバイナリを分離することで、通常はバイナリから機密情報を取り除くことができるため、傍受されたバイナリであっても悪用されません。
• 暗号化とハッシュパッケージスクリプトは、アクセスが厳しく制限された暗号化サーバーに保存されています。RealmJoin エージェントは暗号化された接続を介してスクリプトをダウンロードします。追加のセキュリティとして、すべてのバイナリは、いかなる処理の前にもハードコードされたハッシュと照合されます。
• ペネストここ数年、RealmJoin エージェントは複数の顧客ペネトレーションテストで成功を収めています。
• テストWindows 上で Defender が稼働するデバイスにおいて、PACKaaS QA 中にすべての RealmJoin パッケージを複数回インストールしています。マルウェアスキャンは、自動化されたビルドおよびデプロイプロセスの一部です。保守対象のパッケージは、ベンダー公式のソースを使用しています。