テレワークの普及で、さまざまな技術の位置づけが変わってきたが、その一端と言えるのが「PC管理のあり方」だ。
リモート電源管理やセキュリティ向上を実現する「インテル vPro プラットフォーム」への注目が高まっているのもその1つであり、従来から普及が進んでいるIT資産管理ツールも、テレワークの普及で変わってきているという。そしてこの両者、IT資産管理ツールとvProの連携への関心も高まってきている。
そこで今回は、VMwareが提供する統合エンドポイント管理ソリューションの「VMware Workspace ONE」とvProの連携について、ヴイエムウェア株式会社の小薮賢氏（エンドユーザーコンピューティング技術部 シニアスペシャリスト SE）とインテル株式会社の佐近清志氏（セールス＆マーケティンググループ ビジネスクライアント・テクニカル・セールス・スペシャリスト）にお伺いした。
これらのツールは、ともに「生産性向上」「安全性向上」を理念とし、そのうえで現代のIT環境への対応を進めてきたという。両ツールがいかに昨今の環境に対応し、また今後何を目指すのか語ってもらった。
「デバイス管理」からスタッフを解放して生産性向上、しかもPCとスマホをまとめて管理できるWorkspace ONE
――まずVMware Workspace ONEについてご紹介ください。
小薮氏：VMware Workspace ONEを弊社では「デジタルワークスペースプラットフォーム」と呼んでいます。
そのベースはUEM（統合エンドポイント管理）です。ユーザーがPCやスマートフォンといったさまざまなデバイスを利用して、企業のアプリケーションなどの各種リソースをセキュアに利用できるように管理するソリューションです。
企業がWorkspace ONEを導入することで、エンドユーザーの生産性を向上し、維持することができます。また、企業のリソースをセキュアに保てます。そして、ゼロトラストセキュリティでそれらの企業リソースを保護できます。
――UEMは、企業のどのような課題に対するソリューションでしょうか。
小薮氏：これまでの企業のやり方は、出社してPC（多くの場合はActive Directory）にログインし、社内のオンプレミスのリソースを使う、という形態でした。こうしたリソースには、共有フォルダーや、基幹業務システム、受発注システム、CRM、営業支援システム、コミュニケーションツールなどがあります。
そこに、ワークライフバランスが言われるようになり、さらに新型コロナの影響も受けて、「出社して仕事をする」という考えが急速に変化しています。今では、さまざまな場所から働くことが増え、出社してオフィスで働くという前提もなくなりました。
一方、企業でもさまざまなSaaSアプリケーションの利用が増えました。スマホの業務利用も当たり前になりつつあります。そして、ランサムウェアなどのマルウェアから企業を守るために、ゼロトラストセキュリティが求められています。
こうした状況で、業務用のスマホの管理はMDMなどの管理ツールがありますし、PCは従来からある資産管理ツールを用いていることもあるでしょう。しかし、PCとスマホで管理の仕方が違っていると、いま挙げた課題を解決できないので、統合して管理するというのがUEMです。
――UEMとして見たときの、VMware Workspace ONEの特徴を教えてください。
小薮氏：まず、SaaSなのですぐ使い始められる点があります。オンプレミスのシステムを構築する必要がありません。
また、たとえばPCの管理では、OSの構成を管理したり、アプリケーションをクラウドからインストールしたり、デバイスがこういう状態になっているべきというポリシーを設定して、それに従ったデバイスからだけ企業リソースにアクセスできるようにしたりなどができます。
8月に開催されたVMware Explore 2022では、自律型ワークスペースの考えを発表しました。この自律型ワークスペースに向けて、さまざまな自動化機能も備えています。
たとえばデバイスの異常を早期に検知して問題化する前に修復したり、コンプライアンスに合わないデバイスに対してファイアウォールを自動でオンにしたり、PCの状態に応じてアプリや設定をインストールするようなワークフローの自動化をしたりできます。
さらに、DEX（Digital Employee Experience）の機能も備えています。Windows、Mac、Android、iOSといった端末のテレメトリを収集して、ユーザーの生産性が落ちていないかを調べて、生産性を保つものです。
もう1つ、PC管理ツールというと一般にはIT管理者が使うものと思われがちですが、Workspace ONEで管理されるデバイスにはWorkspace ONE Intelligent Hubというアプリがインストールされます。これは、一般の従業員に使っていただくアプリで、SaaSへのシングルサインオンや、アプリカタログからのアプリのインストール、従業員への通知、ワークフロー処理などの機能を持っています。これらを、デバイスが変わっても同一の操作性で使えるのが特徴です。
「何日もアップデートされないPC」でも、夜中に起動してアップデート適用
――そのWorkspace ONEではvProによるリモート管理にも対応しています。対応した意味を教えてください。
小薮氏：背景としては、会社の外で働く機会が増えているということがあります。それまで会社の中にあった業務用PCがリモートになることで、トラブルが発生したときにどういう手当てができるかが重要になってきます。従業員が解決できないまま放置されていると生産性が下がるため、かなり重要な要素です。
そのため、Workspace ONEにはWorkspace ONE Assistというリモートサポートソリューションがあります。これによって、リモートの画面共有や、リモート操作、シェル実行など、リモートサポートの大半のことはWorkspace ONE Assistでできます
しかしこれらは、OSより上のレイヤーでの操作になるので、デバイスがスリープや電源オフのときは対応できませんでした。
インテルのvProは、PCがインターネット接続できるところにあれば、電源が入っていない状態やスリープ状態のPCを電源操作できますし、UEFIの設定画面も操作できます。リモートでSSDのワイプもできます。vProは、そうした付加機能をWorkspace ONEに提供してくれます。
具体的な仕組みとしては、vProでPCをリモート管理するインテルのEMAサーバーと、Workspace ONEを連携させます。Workspace ONEのコンソールからEMAサーバーのURLやAPIキーを設定するのですが、これで、Workspace ONEの画面から、電源関連の操作を指示できるようになります。
――Workspace ONEとvProの連携によって企業ででできるようになることを教えてください。
小薮氏：デバイスがスリープや電源オフでもリモート管理できるようになります。これにより管理が確実になるため「セキュリティの弱い部分」をなくすことができ、会社全体でのセキュリティを高められます。
いまはマルウェアが高度化してるので、OSやアプリケーションに最新のパッチを適用して最新の状態にするのが大切です。そして、社内のPCであれば、パッチを夜間に適用したりできますが、テレワークで使われているリモートのPCではそのままではできません。
ですが、Workspace ONEとvProが連携することで、何日もアップデートが当たっていないリモートPCをWorkspace ONEで見つけて、vProで電源を入れて適用するといったことができるようになります。
vProは「リモート運用ができてセキュリティ運用がすごいPC」
――ここで改めて、インテルからvProについて紹介をお願いします。
佐近氏：vProは2006年から販売しているビジネスPCのプラットフォームで、毎年多くのOEM社よりノートPC・デスクトップPCモデルが販売されています。見分け方としましては、Corei5/7などと記載さているCPUラベルに「vPro」と記載がありましたら、それはvProプラットフォーム搭載PCです。
vProと一般的なPCとの違いですが、「インテル ハードウェア・シールド」という、OS下層から上層まで包括的に防御するセキュリティ機能と「インテル AMT」という強力なリモート管理機能の2つの機能がvProのみに搭載されていますので、「セキュリティとリモート機能がすごいPC」と思っていただければと思います。
少し補足させて頂くと、「インテル ハードウェア・シールド」はOS下層領域の防御機能や、ランサムウェア・暗号マイニングの検知、システムメモリー攻撃からの防御などをハードウェアレベルで行う機能が搭載されています。
「インテル AMT」は無線・有線LAN経由での電源管理、BIOSやBitlocker入力画面といったOSが起動する前のPC画面にもリモートからアクセスして操作することが可能ですので、多くの企業様で、週末・夜間でのパッチ配信やヘルプデスク業務で活用いただいています。
――Workspace ONEと連携するEMAサーバーについても教えてください。
佐近氏：2019年11月にリリースされ、弊社のウェブサイトからダウンロードできるIT管理者向けの無償のPC管理ツールで、サーバーOSにインストールして利用します。
オンプレミス環境だけでなく、クラウドに対応しておりますので、簡単にvProの遠隔機能を有効にし、社内のみならず社外に持ち出されたPCに対しても、インターネット経由で一括電源管理、リモートアクセス、ファイル転送などが可能です。Workspace ONEとも連携していますので、電源をオンにした後にパッチの配信やトラブルシューティングを行うなど、セキュリティの強化、遠隔管理に更なる効果を発揮します。
小薮氏：連携のもう1つのメリットを思い出しました。vPro搭載PCをEMAで管理するには、各PCにエージェントをインストールし、通信するEMAサーバーなどを設定するのですが、Workspace ONEにはリモートからアプリケーションをインストールする機能があり、これを使ってEMAのエージェントをリモート、かつサイレントでインストールすることが可能です。EMAによってWorkspace ONEの使い勝手が良くなるだけでなく、Workspace ONEによってEMAの初期設定の手間が省ける、という側面もあるわけです。
佐近氏：EMAを利用するメリットの1つに、vPro搭載PCを簡単に遠隔管理できるように設定できるということがあります。以前のように、マニュアル作業やUSBキーを使用して設定しなくても、EMAエージェントをインストールするだけで完了します。EMAエージェントを各PCに配布してインストールすることをWorkspace ONEにお任せすることで、IT管理者はPCに触れることなく、遠隔管理可能な環境を構築できます。
WorkspaceONEはSaaSなのですぐ開始、EMAサーバーもAzureテンプレートで30分で利用可能に
――これから中小企業がWorkspace ONEとEMAを導入するには、どうするのが簡単でしょうか。
小薮氏：Workspace ONEはSaaSなのですぐに始められます。25ライセンスから契約できますし、フリートライアルも提供しています。
佐近氏：EMAは無償で使えるツールです。EMAはオンプレミスでも使用できますが、機能をフルで活用するのでしたら、クラウド環境がいいと思います。クラウドの利用料がかかりますが、1000台ぐらいまでの管理でしたらAzureでは月額80ドル程度と費用も抑えられます。
また、EMA環境構築用のAzureテンプレートが弊社のウェブサイトに用意されてまして、その中に必要なアプリケーションやネットワーク設定情報などが収まっています。そのため、Azureであれば、サブスクリプション契約だけあれば、30分ぐらいでEMAを利用できるようになります。
小薮氏：EMAテンプレートをクリックすれば、もう使えるんですね。
佐近氏：テンプレート上で、公開用のDNS情報やログインIDとPWを設定することで、AzureのVM上にEMAの環境が構築されますので、あとは、IT管理者がEMAのWebインターフェイスにアクセスして、すぐに利用開始いただけます。
管理ツールとは「生産性」と「安全性」を向上させるものWorkspace ONEとvProの連携で、共通の理念をより高いレベルで実現させていく
――今後のWorkspace ONEやvPro、あるいは両者の連携についてお聞かせください。
小薮氏：Workspace ONEは、もともとはVMware AirWatchというMDMツールから始まったので、いまでもモバイルデバイス管理をイメージしているお客さんもいらっしゃいます。その誤解を払拭したいと考えています。
PCもUEMで管理することで従業員の利便性とロイヤリティを向上させ、企業の利益向上につながるものだということをもっと訴求したいと思います。
こうしたツールは会社が従業員を監視するものだと思われがちですが、Workspace ONEはそういうことを指向していない、生産性と安全性を上げるツールだと認知してもらえればと思います。
佐近氏：vProはCore 5以上のCPUで構成され、高速ネットワークカード、内蔵グラフィックスも最上位モデルを搭載することで、ビデオ会議をしながらオフィス製品を複数同時使用できる十分なパフォーマンスがありますし、ビジネスに必要なハードウェアベースのセキュリティ機能を実装していますので、リモートワークなどさまざまな環境で働く社員の生産性を落とすことなく、IT管理者の負担を軽減させながら、安全性の向上も実現できます。
また、Workspace ONEは、SaaSですぐに利用を開始できますから、Workspace ONEとEMAの連携した環境を導入するハードルはとても低くなっていると思っています。ですので是非お試し頂ければと思います。
――ありがとうございました。