この記事の要点

エクストラネット (Extranet) = 企業のイントラネットを取引先・顧客などに限定公開した拡張形態 従来は VPN + 専用ポータル が中心、現代は SaaS + SSO + ゼロトラスト へ 認証は OAuth 2.0 / SAML 2.0 / OpenID Connect による Web SSO が主流 代表ユースケース: B2B EDI、Salesforce/HubSpot 連携、SharePoint/Box/Confluence の外部ユーザー共有、サプライヤーポータル 現代の進化形: BeyondCorp (Google) 型ゼロトラスト、IP 制限 + デバイス証明書 + 多要素認証

エクストラネットとは

エクストラネット (Extranet) は、企業内でのみ利用するイントラネット (Intranet) を、取引先・顧客・パートナーといった外部の特定の組織にも限定公開する仕組みです。インターネット (誰でも利用可) とイントラネット (社内のみ) の中間に位置します。

区分	利用者	用途
インターネット	世界中の不特定多数	公開 Web サイト、SNS
エクストラネット	限定された外部組織 (取引先・顧客)	B2B EDI、顧客ポータル、共同開発
イントラネット	自社の従業員のみ	社内 wiki、人事システム

歴史的な変遷

1990 年代: 専用線・VPN ベース

初期のエクストラネットは 専用線や IP-VPN で物理的に接続して構築されました。大企業 (自動車メーカー、銀行、商社など) が取引先と専用接続し、EDI (受発注電子データ交換) を行うのが主流でした。コストも高く、新規取引先の追加に数週間かかりました。

2000 年代: Web ポータル化

HTTPS / TLS の普及で、専用線無しでも安全な Web ポータルを構築可能に。SharePoint、Lotus Notes、Oracle Portal などで「外部ユーザー」を作成し、ID/パスワード認証で限定公開する形が広まりました。

2010 年代: SaaS + SSO

Salesforce、Microsoft 365、Google Workspace、Box といった SaaS が普及。SAML 2.0 / OAuth 2.0 による Web SSO (シングル サインオン) で、外部組織のユーザーをその組織の IdP (Identity Provider) で認証する「フェデレーション認証」が標準化しました。

2020 年代: ゼロトラスト

VPN を廃して、すべてのアクセスを常時検証する Zero Trust モデルへ。Google の BeyondCorp、Cloudflare Access、Zscaler、Okta などが代表的なソリューションです。「社内/外部」の区別すら無くし、デバイス証明書 + 多要素認証 + コンテキスト評価で個別判定します。

典型的なユースケース

用途	例	採用技術
B2B EDI (受発注)	自動車サプライチェーン、流通の発注	JX 手順、AS2、EDIINT、XML-EDI
サプライヤーポータル	請求書アップロード、発注確認	SAP Ariba、Coupa、自社開発
顧客ポータル	契約状況確認、サポートチケット	Salesforce Experience Cloud、Zendesk
パートナーポータル	代理店向け価格表、リード共有	HubSpot Partner、Salesforce PRM
ファイル共有	図面・契約書を取引先と共同編集	SharePoint、Box、Dropbox Business、Google Drive
共同開発	外注先とソースコード共有	GitHub Org、GitLab、Confluence External Users
API 公開	取引先システムから自社 API 呼び出し	OAuth 2.0、API キー、API Gateway

認証アーキテクチャ

Web SSO: SAML 2.0 / OAuth 2.0 / OIDC

[取引先A 従業員]
    |
    | (1) ブラウザで自社エクストラネット URL アクセス
    v
[エクストラネット (SP)] -- (2) 認証要求 --> [取引先A IdP (Azure AD/Okta)]
                                              |
                                              | (3) 取引先A の認証
                                              v
                                          [従業員ログイン]
                                              |
                                              | (4) SAML/OIDC アサーション
                                              v
[エクストラネット] <-- (5) ユーザー属性 + 認可 --
    |
    | (6) ロール判定 (取引先A の管理者 / 一般)
    v
[コンテンツ表示]

- SAML 2.0: エンタープライズ標準 (XML ベース)
- OAuth 2.0 + OIDC: モダン (JSON / JWT)
- アクセストークン有効期限: 1-24 時間
- リフレッシュトークン: 30-90 日

VPN 経由アクセス

レガシー / 高セキュリティ用途で現役。代表的なソリューション:

• IPsec VPN: サイト間 (Cisco ASA、Fortinet、PaloAlto)
• SSL/TLS VPN: クライアント不要、ブラウザベース (Pulse Secure、F5 BIG-IP)
• WireGuard: 軽量・高速、現代的
• Tailscale / Twingate: ゼロトラスト VPN (WireGuard ベース)

セキュリティ対策

対策	内容
多要素認証 (MFA)	パスワード + TOTP/FIDO2/プッシュ通知
IP 制限	取引先の IP レンジに限定 (CIDR 指定)
デバイス証明書	会社支給端末のみアクセス許可
RBAC / ABAC	役割ベース / 属性ベース アクセス制御
監査ログ	誰がいつ何にアクセスしたか追跡
DLP (Data Loss Prevention)	機密データのダウンロード/コピーを制御
セッションタイムアウト	非活動 15-30 分で再認証
WAF (Web Application Firewall)	SQLi/XSS を遮断

代表的なツール / SaaS

カテゴリ	製品
CRM / 顧客ポータル	Salesforce Experience Cloud、HubSpot、Microsoft Dynamics 365 Customer Portal
ファイル共有 (外部ユーザー対応)	SharePoint Online、Box、Dropbox Business、Google Drive 共有
共同編集	Confluence External Users、Notion Guest、Microsoft Teams ゲストアクセス
調達 / EDI	SAP Ariba、Coupa、TradeShift
ID 管理 / SSO	Okta、Auth0、Microsoft Entra ID、Ping Identity、Keycloak
ゼロトラスト アクセス	Cloudflare Access、Google BeyondCorp、Zscaler ZPA、Tailscale

BeyondCorp 型ゼロトラストの考え方

Google が 2014 年に発表した BeyondCorp モデルが現代のエクストラネット設計に大きな影響を与えました。「社内ネットワークだから安全」という前提を捨て、すべてのリクエストを個別に検証します。

従来モデル (Perimeter Security):
  Internet → [Firewall] → Internal Network (= 信頼)
  → 内部に入れたら何でもアクセス可

BeyondCorp / Zero Trust:
  すべてのリクエスト → [Access Proxy]
    + ユーザー認証 (SSO/MFA)
    + デバイス検証 (証明書、OS 状態)
    + コンテキスト評価 (時刻、IP 地理、行動)
    + リソース毎のポリシー判定
  → 通過したものだけバックエンドへ転送

# Cloudflare Access の例
- 取引先ユーザーは <https://app.example.com> へアクセス
- Cloudflare がトークン無し検出 → ログイン画面へ
- 取引先の IdP (Azure AD) で認証
- Cloudflare がアクセス可否判定 (ポリシー)
- OK ならアプリへプロキシ、ログ記録

導入の流れ (現代の典型構成)

1. 要件整理: 誰に何を見せるか、機密度のレベル分け
2. IdP 選定: Microsoft Entra ID / Okta / Auth0 など
3. SaaS 選定: Salesforce / SharePoint / Confluence など
4. SSO 設定: 取引先 IdP との SAML フェデレーション (B2B 招待)
5. RBAC 設計: 取引先ロール (管理者/閲覧者) と社内ロールの権限マトリクス
6. セキュリティ層: MFA 強制、IP 制限、監査ログ、DLP
7. 運用: 取引先側担当者の入退社処理、定期的なアクセス棚卸

失敗パターンと対策

失敗	対策
取引先従業員の退職を把握できず ID が放置	取引先 IdP との SCIM 連携で自動プロビジョニング/デプロビジョニング
パスワード使い回しで取引先経由侵入	MFA 必須、可能ならパスワードレス (FIDO2/Passkey)
「とりあえず全権限」付与で情報漏洩	最小権限の原則、4 半期毎のアクセスレビュー
VPN クライアントが古く脆弱性放置	クライアントレスへ移行 (SSL VPN → ゼロトラスト)
監査ログ未取得で事故時に追跡不能	SIEM (Splunk, Sentinel, Datadog) へ集約

FAQ

Q: イントラネットとエクストラネットの一番の違いは？
A: 利用者の範囲です。イントラネットは自社従業員のみ、エクストラネットは取引先など限定された外部組織も含みます。技術的な実装は同じ仕組みでも、認可ポリシーと監査体制が異なります。

Q: VPN は廃れるのか？
A: サイト間接続 (拠点間) は当面残ります。ユーザー向けのリモートアクセス VPN は徐々にゼロトラスト ZTNA (Zero Trust Network Access) に置き換わっています。Gartner も「VPN は ZTNA へ移行する」と予測しています。

Q: クラウド (SaaS) 中心の現代でもエクストラネットという言葉は使うか？
A: 用語としてはやや古い (2000 年代の言葉) ですが、概念は健在。「外部パートナー向け SaaS 利用」「B2B フェデレーション」と呼び替えられることが増えています。