タイトル: エクストラネット
SEOタイトル: エクストラネット (Extranet) 完全ガイド
| この記事の要点 |
|
エクストラネットとは
エクストラネット (Extranet) は、企業内でのみ利用するイントラネット (Intranet) を、取引先・顧客・パートナーといった外部の特定の組織にも限定公開する仕組みです。インターネット (誰でも利用可) とイントラネット (社内のみ) の中間に位置します。
| 区分 | 利用者 | 用途 |
|---|---|---|
| インターネット | 世界中の不特定多数 | 公開 Web サイト、SNS |
| エクストラネット | 限定された外部組織 (取引先・顧客) | B2B EDI、顧客ポータル、共同開発 |
| イントラネット | 自社の従業員のみ | 社内 wiki、人事システム |
歴史的な変遷
1990 年代: 専用線・VPN ベース
初期のエクストラネットは 専用線や IP-VPN で物理的に接続して構築されました。大企業 (自動車メーカー、銀行、商社など) が取引先と専用接続し、EDI (受発注電子データ交換) を行うのが主流でした。コストも高く、新規取引先の追加に数週間かかりました。
2000 年代: Web ポータル化
HTTPS / TLS の普及で、専用線無しでも安全な Web ポータルを構築可能に。SharePoint、Lotus Notes、Oracle Portal などで「外部ユーザー」を作成し、ID/パスワード認証で限定公開する形が広まりました。
2010 年代: SaaS + SSO
Salesforce、Microsoft 365、Google Workspace、Box といった SaaS が普及。SAML 2.0 / OAuth 2.0 による Web SSO (シングル サインオン) で、外部組織のユーザーをその組織の IdP (Identity Provider) で認証する「フェデレーション認証」が標準化しました。
2020 年代: ゼロトラスト
VPN を廃して、すべてのアクセスを常時検証する Zero Trust モデルへ。Google の BeyondCorp、Cloudflare Access、Zscaler、Okta などが代表的なソリューションです。「社内/外部」の区別すら無くし、デバイス証明書 + 多要素認証 + コンテキスト評価で個別判定します。
典型的なユースケース
| 用途 | 例 | 採用技術 |
|---|---|---|
| B2B EDI (受発注) | 自動車サプライチェーン、流通の発注 | JX 手順、AS2、EDIINT、XML-EDI |
| サプライヤーポータル | 請求書アップロード、発注確認 | SAP Ariba、Coupa、自社開発 |
| 顧客ポータル | 契約状況確認、サポートチケット | Salesforce Experience Cloud、Zendesk |
| パートナーポータル | 代理店向け価格表、リード共有 | HubSpot Partner、Salesforce PRM |
| ファイル共有 | 図面・契約書を取引先と共同編集 | SharePoint、Box、Dropbox Business、Google Drive |
| 共同開発 | 外注先とソースコード共有 | GitHub Org、GitLab、Confluence External Users |
| API 公開 | 取引先システムから自社 API 呼び出し | OAuth 2.0、API キー、API Gateway |
認証アーキテクチャ
Web SSO: SAML 2.0 / OAuth 2.0 / OIDC
[取引先A 従業員]
|
| (1) ブラウザで自社エクストラネット URL アクセス
v
[エクストラネット (SP)] -- (2) 認証要求 --> [取引先A IdP (Azure AD/Okta)]
|
| (3) 取引先A の認証
v
[従業員ログイン]
|
| (4) SAML/OIDC アサーション
v
[エクストラネット] <-- (5) ユーザー属性 + 認可 --
|
| (6) ロール判定 (取引先A の管理者 / 一般)
v
[コンテンツ表示]
- SAML 2.0: エンタープライズ標準 (XML ベース)
- OAuth 2.0 + OIDC: モダン (JSON / JWT)
- アクセストークン有効期限: 1-24 時間
- リフレッシュトークン: 30-90 日VPN 経由アクセス
レガシー / 高セキュリティ用途で現役。代表的なソリューション:
- IPsec VPN: サイト間 (Cisco ASA、Fortinet、PaloAlto)
- SSL/TLS VPN: クライアント不要、ブラウザベース (Pulse Secure、F5 BIG-IP)
- WireGuard: 軽量・高速、現代的
- Tailscale / Twingate: ゼロトラスト VPN (WireGuard ベース)
セキュリティ対策
| 対策 | 内容 |
|---|---|
| 多要素認証 (MFA) | パスワード + TOTP/FIDO2/プッシュ通知 |
| IP 制限 | 取引先の IP レンジに限定 (CIDR 指定) |
| デバイス証明書 | 会社支給端末のみアクセス許可 |
| RBAC / ABAC | 役割ベース / 属性ベース アクセス制御 |
| 監査ログ | 誰がいつ何にアクセスしたか追跡 |
| DLP (Data Loss Prevention) | 機密データのダウンロード/コピーを制御 |
| セッションタイムアウト | 非活動 15-30 分で再認証 |
| WAF (Web Application Firewall) | SQLi/XSS を遮断 |
代表的なツール / SaaS
| カテゴリ | 製品 |
|---|---|
| CRM / 顧客ポータル | Salesforce Experience Cloud、HubSpot、Microsoft Dynamics 365 Customer Portal |
| ファイル共有 (外部ユーザー対応) | SharePoint Online、Box、Dropbox Business、Google Drive 共有 |
| 共同編集 | Confluence External Users、Notion Guest、Microsoft Teams ゲストアクセス |
| 調達 / EDI | SAP Ariba、Coupa、TradeShift |
| ID 管理 / SSO | Okta、Auth0、Microsoft Entra ID、Ping Identity、Keycloak |
| ゼロトラスト アクセス | Cloudflare Access、Google BeyondCorp、Zscaler ZPA、Tailscale |
BeyondCorp 型ゼロトラストの考え方
Google が 2014 年に発表した BeyondCorp モデルが現代のエクストラネット設計に大きな影響を与えました。「社内ネットワークだから安全」という前提を捨て、すべてのリクエストを個別に検証します。
従来モデル (Perimeter Security):
Internet → [Firewall] → Internal Network (= 信頼)
→ 内部に入れたら何でもアクセス可
BeyondCorp / Zero Trust:
すべてのリクエスト → [Access Proxy]
+ ユーザー認証 (SSO/MFA)
+ デバイス検証 (証明書、OS 状態)
+ コンテキスト評価 (時刻、IP 地理、行動)
+ リソース毎のポリシー判定
→ 通過したものだけバックエンドへ転送
# Cloudflare Access の例
- 取引先ユーザーは へアクセス
- Cloudflare がトークン無し検出 → ログイン画面へ
- 取引先の IdP (Azure AD) で認証
- Cloudflare がアクセス可否判定 (ポリシー)
- OK ならアプリへプロキシ、ログ記録 導入の流れ (現代の典型構成)
- 要件整理: 誰に何を見せるか、機密度のレベル分け
- IdP 選定: Microsoft Entra ID / Okta / Auth0 など
- SaaS 選定: Salesforce / SharePoint / Confluence など
- SSO 設定: 取引先 IdP との SAML フェデレーション (B2B 招待)
- RBAC 設計: 取引先ロール (管理者/閲覧者) と社内ロールの権限マトリクス
- セキュリティ層: MFA 強制、IP 制限、監査ログ、DLP
- 運用: 取引先側担当者の入退社処理、定期的なアクセス棚卸
失敗パターンと対策
| 失敗 | 対策 |
|---|---|
| 取引先従業員の退職を把握できず ID が放置 | 取引先 IdP との SCIM 連携で自動プロビジョニング/デプロビジョニング |
| パスワード使い回しで取引先経由侵入 | MFA 必須、可能ならパスワードレス (FIDO2/Passkey) |
| 「とりあえず全権限」付与で情報漏洩 | 最小権限の原則、4 半期毎のアクセスレビュー |
| VPN クライアントが古く脆弱性放置 | クライアントレスへ移行 (SSL VPN → ゼロトラスト) |
| 監査ログ未取得で事故時に追跡不能 | SIEM (Splunk, Sentinel, Datadog) へ集約 |
FAQ
Q: イントラネットとエクストラネットの一番の違いは？
A: 利用者の範囲です。イントラネットは自社従業員のみ、エクストラネットは取引先など限定された外部組織も含みます。技術的な実装は同じ仕組みでも、認可ポリシーと監査体制が異なります。
Q: VPN は廃れるのか？
A: サイト間接続 (拠点間) は当面残ります。ユーザー向けのリモートアクセス VPN は徐々にゼロトラスト ZTNA (Zero Trust Network Access) に置き換わっています。Gartner も「VPN は ZTNA へ移行する」と予測しています。
Q: クラウド (SaaS) 中心の現代でもエクストラネットという言葉は使うか？
A: 用語としてはやや古い (2000 年代の言葉) ですが、概念は健在。「外部パートナー向け SaaS 利用」「B2B フェデレーション」と呼び替えられることが増えています。