SASEのHTTPS検査では、通信をいったん復号して検査する場合があります。

古いクライアント、クライアント証明書、証明書固定、独自TLS実装では、復号によって通信できなくなる可能性があります。

そのため、次の順で導入します。

検知のみ
  ↓
対象アプリを分類
  ↓
互換性試験
  ↓
復号対象を限定
  ↓
問題のある通信は例外化

DNS

レガシー端末では、hostsファイル、古いDNSサフィックス、固定IPなどに依存している場合があります。

SASE移行時には、次を確認します。

• 内部DNSをSASE経由で利用できるか

• IBM iのホスト名を解決できるか

• DNS障害時の動作

• 固定IPからFQDNへの変更可否

• Split DNSの設計

• 名前解決先が拠点ごとに異ならないか

サービスアカウント

夜間バッチやシステム間連携に、人間用のMFAを要求してはいけません。

人間
→ SSO、MFA、端末状態確認

システム
→ mTLS、短期トークン、署名、
   サービスアカウント、秘密情報管理

人間とシステムでは、認証方式を分けます。

AWS・DjangoとRPG環境を同時に保有する企業の場合

両方の環境を保有していても、DjangoとRPGを直接結合する必要はありません。

SASEの管理対象として並列に扱います。