ITインフラにおいて、無線LANのセキュリティは常に大きな課題です。特に企業ネットワークでは、ユーザーごとに異なるキーを割り当てたいという要望が増えていますが、Windows Serverの標準機能だけではそのニーズをすべて満たすのが難しいケースがあります。そこで本記事では、Windows Server 2022のNetwork Policy Server (NPS)がマルチPre-Shared Key（MPSK）をサポートしているかどうかや、実際に運用するうえでの代替策について、具体例を交えながら分かりやすく解説していきます。
Windows Server 2022 NPSの基本概要とMPSKの位置づけ
Windows Server 2022では、従来と同様にNetwork Policy Server (NPS)を利用してRADIUS認証を行うことができます。NPSはいわゆるRADIUSサーバーとして機能し、無線LANアクセスポイントやVPN機器などのRADIUSクライアントから送られてくる認証要求を受け取り、Active Directoryなどと連携して認証可否を判断します。
一方、MPSK（マルチPre-Shared Key）は、複数の利用者グループや端末に対して異なる共有キー（PSK）を割り当てる仕組みの総称です。企業や組織で無線LANを導入する場合、以下のような課題を解決するためにMPSKが重宝されるケースがあります。
- 部署やプロジェクトチームごとに異なるPSKを付与し、ネットワークセキュリティを強化したい
- ゲスト用やBYODデバイス用といった特定用途向けに異なるキーを設定したい
- 1つのPSKが漏えいしても、他グループのネットワークに影響を及ぼさないようにしたい
こうしたMPSKのメリットを享受するためには、RADIUSサーバー側が複数キーに対応する認証ロジックを備えている必要があります。しかしながら、現行のWindows Server 2022標準のNPSでは、単一のPSKを共有する仕組みしかサポートしておらず、複数のPSKを柔軟に運用する機能は提供されていません。
NPSの役割とMPSKの不整合
Windows ServerのNPSは、主に以下のような役割を担っています。
- RADIUSクライアントの識別（アクセスポイント、VPNゲートウェイなど）
- ユーザー・デバイスから送られる認証情報の照合（Active Directory連携）
- 接続許可/拒否の判断とポリシー適用（ACLなど）
MPSKの機能を実現するためには、ユーザーあるいはデバイスに応じて適切なキーを判別し、そのキーが正しいかどうかをチェックする仕組みが必要です。しかし、Windows Server 2022のNPSでは、この「複数のPSKを個別に照合する」プロセスが実装されていません。そのため、標準機能だけではMPSKの運用ができないという課題が浮上します。
MPSKにおける代替策と運用上のポイント
NPSがMPSKを直接サポートしていないからといって、まったく方法がないわけではありません。以下では、実際の環境でよく検討される代替策をいくつか紹介します。各方法のメリット・デメリットを理解したうえで、自社や組織の要件に合ったアプローチを選択すると良いでしょう。
1. ベンダー独自の拡張機能を利用する
無線LANアクセスポイントやコントローラなど、ネットワーク機器ベンダー独自のソリューションを組み合わせることでMPSKを実現する方法があります。代表的な例としては、以下のような構成が考えられます。
- アクセスポイントメーカーが提供するコントローラ製品において、グループごとに異なるPSKを設定する機能がある
- コントローラ側と連携できる専用の管理ツールを導入し、キーの配布や更新を自動化する
この場合、Windows Server 2022のNPSは主としてユーザー認証（PEAPやEAP-TLSなど）を行い、MPSK部分はベンダーのプロプライエタリ機能でカバーします。ただし、ベンダー独自機能を利用するためには追加のライセンスやハードウェア投資が必要になる可能性がある点に留意が必要です。
2. サードパーティのRADIUSサーバーを導入する
MPSK機能を標準でサポートするRADIUSサーバー製品を利用するアプローチです。近年では、以下のようなサードパーティ製品が存在します。
- MPSKやDynamic VLAN、MAC認証バイパス（MAB）などを組み合わせて柔軟な認証ポリシーを実装可能
- クラウド型のRADIUSサービスを提供しており、オンプレミス環境に比べて導入のハードルが低い
- ゲストポータル機能など、より高度なアクセス制御を実現できる
これらのソリューションを導入すれば、Windows Server 2022上のNPSに頼ることなく、単一プラットフォームでMPSKを含む多彩な認証方式を扱えます。ただし、ライセンス費用や年間サポート契約などのコストが発生するため、導入前に総合的なコストシミュレーションが必須です。
3. 複数SSIDの利用によるネットワークセグメント化
歴史的に多くの組織が採用してきた方法として、SSIDを複数用意し、それぞれに異なるPSKを設定するというやり方があります。以下に例を示します。
| SSID | PSK | 用途 |
|---|---|---|
| Corp-Staff | password123 | 社員用 |
| Corp-Guest | guest2022 | ゲスト用 |
| Corp-Device | deviceXYZ | 社内デバイス管理用 |
1つのSSIDでMPSKを実現するわけではなく、SSIDごとにPSKを割り振ることで「実質的」に複数キーを用意するイメージです。NPS側では、RADIUSクライアント（アクセスポイント）をSSID単位で登録し、ユーザーグループに応じたポリシーを適用する形で運用します。ただし、SSIDが増えるほど無線LANの管理や設定が複雑化し、電波干渉も増えやすいというデメリットがあります。
運用コストとセキュリティのトレードオフ
複数SSIDを利用する場合、管理者はそれぞれのSSIDとPSKを定期的に変更しなければならず、結果として運用の手間が増加します。また、SSIDの切り替えをする際のユーザーサポートも大きくなる傾向があります。そのため、社内規模や運用ポリシーを十分に考慮した上で検討することが大切です。
4. VPNソリューションの検討
リモートアクセス環境などにおいて、ユーザーやデバイスごとに異なる認証方式や暗号キーを割り当てたい場合には、VPNソリューションの導入も選択肢に挙げられます。
- IPsecやSSL-VPNを利用し、ユーザーごとに異なる証明書やPSKを配布可能
- ネットワークセグメントごとにアクセス制御を細かく実装できる
- ゲスト利用やBYOD利用の場合、専用クライアントを介して接続させることが多い
VPNソリューションは導入コストや運用負荷が大きいイメージがありますが、すでに社内でVPNを利用している場合は追加的な設定でユーザーグループ別の認証を細かく制御できるため、MPSK代替として有効な場面もあります。
NPS環境での具体的な代替構成例
ここからは、Windows Server 2022上のNPSを活用しながら、MPSKのような柔軟なグループ分けを実現する一例を紹介します。
1. PEAP+複数SSID構成
- Windows Server 2022のNPSでPEAP（Protected EAP）を構成し、Active Directory認証を行う
- アクセスポイント側で複数のSSIDを作成し、利用者グループ別にPSKやVLANを設定
- NPSのポリシーで条件を絞り込み、グループメンバーシップに応じてVLANの割り当てを行う
実運用上は、ユーザーやデバイスが接続する際に自動的に所属グループを判別し、対応するVLANへ振り分けます。PSKそのものはアクセスポイント側に設定するものの、実際の認証プロセスでNPSを介したユーザー認証（PEAPやEAP-TLSなど）と組み合わせることで、セキュリティレベルを高めることが可能です。
簡易的なNPS構成例
1. NPS管理コンソールで、新しいネットワークポリシーを作成
2. 条件として「Windows グループ」を設定し、例えば"CorpStaff"などのグループに割り当て
3. PEAPを有効にし、認証方法としてEAP-MSCHAP v2を選択
4. VLAN属性の追加を行い、グループ別にVLANを割り当て
5. アクセスポイント側では、SSIDごとにPSKとVLAN IDを設定このようにすることで、複数のSSIDを利用しながら、ユーザーグループ単位でセキュリティポリシーを分けることができます。ただし、真の意味でのMPSK（1つのSSIDに複数のPSKを紐づける）とは異なるため、導入前に要件を整理しておきましょう。
2. サードパーティRADIUSとNPSの併用
どうしてもMPSKを1つのSSIDで実現したい場合、Windows Server 2022のNPSだけでは完結しないため、サードパーティRADIUSサーバーの導入を検討します。以下のような構成例が考えられます。
- サードパーティRADIUSサーバーを立ち上げ、MPSKに対応した設定を行う
- Windows Server 2022のNPSはActive Directory連携や他のネットワークポリシーで使用し、特定のSSIDに対してはサードパーティ側が認証を担当
- アクセスポイント側で、該当SSIDのRADIUS先をサードパーティRADIUSサーバーに指定
このアプローチでは、既存のNPS運用を大きく変えずに、MPSKが必要な部分だけサードパーティ製品で補う形になります。ネットワーク機器メーカーやソフトウェアベンダーが提供しているソリューションを組み合わせることで、多様な認証方式を柔軟に扱える点が大きなメリットです。
NPSとMPSKのセキュリティ面での考慮事項
MPSKを導入するにあたっては、以下のようなセキュリティ上のポイントにも注意が必要です。
1. キーの漏えいリスクとキーローテーション
たとえ複数のキーを設定できたとしても、キーを運用する人間によって漏えいのリスクは常に存在します。MPSKを導入した場合でも、定期的にキーを更新（キーローテーション）する運用を徹底しましょう。キーの変更頻度や告知方法は運用コストとユーザーの利便性のバランスが重要です。
2. ログ管理と監査
NPSやサードパーティRADIUSサーバーを使う場合、認証ログをしっかりと収集・管理しておく必要があります。
- どのユーザーがいつ接続したか
- どのSSIDやVLANに接続したか
- 接続失敗の理由
これらの情報を把握しておくことで、セキュリティインシデント発生時にトラブルシューティングが行いやすくなります。ログ管理ツールやSIEM（Security Information and Event Management）と連携することで、より高度な監査体制を構築できます。
3. ネットワーク機器のファームウェア更新
MPSKなどの新しい機能は、アクセスポイントやコントローラなどのファームウェア/ソフトウェアバージョンによってサポート状況が異なります。ベンダーによっては新しいバージョンで対応していたり、古いバージョンで不具合が修正されていたりするため、常に最新の情報を把握してアップデートを計画的に行うことが重要です。
Windows Server 2022 NPS環境の拡張策まとめ
ここまで、Windows Server 2022 NPS単体ではMPSKをサポートしていないこと、そしてその代替策として主に以下の方法があることを解説しました。
- ベンダー独自の拡張機能を利用する
- サードパーティRADIUSサーバーを導入する
- 複数SSIDを利用してセグメント化する
- VPNソリューションを導入する
どの方法を選ぶかは、組織の規模や要件、既存のネットワークインフラ、セキュリティポリシー、そして予算など多くの要因によって左右されます。
自社に最適なソリューションの選定
- コスト重視であれば、まずは複数SSIDでの運用や既存のNPS構成の拡張を検討
- セキュリティ要件が高い場合や、大規模ネットワークではサードパーティ製品を導入して統合管理する方法が有力
- 柔軟な拡張性を求めるなら、ベンダー独自機能とクラウド型の認証基盤を組み合わせることも検討
こうした検討ポイントをもとに、将来の拡張性や運用コスト、ユーザーの使いやすさをバランスよく取り入れて判断していく必要があります。
具体的な運用シナリオ
最後に、いくつかの運用シナリオを取り上げながら、どのようなアプローチが適しているかを確認してみましょう。
シナリオ1：中小規模オフィスでの導入
- 社員数が50～100名程度
- ゲスト接続は来客があった時のみ
- NPSやActive DirectoryはWindows Server 2022で運用中
このような比較的小規模な環境では、複数SSIDの利用がシンプルで効果的な場合があります。SSIDを「社内用」「ゲスト用」「デバイス管理用」のように分け、パスワードを定期的にローテーションするだけで、当面のセキュリティ要件を満たせるでしょう。また、コストを抑えたいという観点でも、大がかりなサードパーティ製品を導入するよりは運用上メリットが大きいことがあります。
シナリオ2：大規模企業や複数拠点での導入
- 社員数が数千人規模
- 拠点が国内外に多数存在
- 既に無線LANコントローラを導入している
このような環境では、ベンダー独自の拡張機能やサードパーティRADIUSサーバーを利用してMPSKを実現するアプローチが考えられます。拠点ごとにキーの使い分けやユーザーグループ別のキー割り当てを行えるため、セキュリティを高めつつ運用も集約できます。ただし、ベンダー毎のライセンス契約やハードウェア要件を精査する必要があります。
シナリオ3：BYODやゲスト接続が頻繁に発生する環境
- 従業員が個人端末を持ち込む（BYOD）運用
- 1日のうちに複数のゲストが訪問する
- 社内LANへのアクセス制御を厳密に行いたい
このケースでは、MPSKだけではなく、接続端末ごとに証明書を発行するEAP-TLSや、認証ポータルを設置する方法も含めて検討するのが望ましいです。頻繁にキーを切り替える運用が難しい場合、ゲストネットワークにはCaptive Portalを利用し、時間限定のアカウントを発行する仕組みを導入するなど、総合的にアクセス制御を考える必要があります。
まとめ：Windows Server 2022 NPSでのMPSK実現と代替策の重要性
Windows Server 2022標準のNPSではMPSKをネイティブにサポートしていないため、下記いずれかの手段を活用する必要があります。
- ネットワーク機器ベンダーの独自機能（MPSKをサポートしたソリューション）
- サードパーティのRADIUSサーバー（MPSK機能を組み込んだ製品）
- 複数SSIDを利用してグループごとに異なるPSKを割り当てる
- VPNソリューションなどの導入でデバイスやユーザーごとのキー割り当てを実現する
最終的な判断は、組織の規模やセキュリティレベルの要求度、運用コスト、既存のシステム連携など、多角的な要素を総合的に評価したうえで行うのがベストです。本記事の情報が、Windows Server 2022のNPSを活用するうえでのMPSK導入検討や、代替策の選択の一助となれば幸いです。より安全かつ効率的な無線LAN環境を構築し、ビジネスを円滑に進めるために、ぜひ参考にしてください。
コメント