> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/ja/sono/faqs/security-and-privacy.md).

# セキュリティとプライバシー

この章では、情報セキュリティ、プライバシー、品質保証に関するよくある質問の概要を示します。

## データ処理と権限

### 1. RADIUSaaS はどのデータセンターから運用されていますか？

RADIUSaaS のコアサービスは現在、以下の地域に展開できます：

* オーストラリア
* ヨーロッパ
* イギリス
* アメリカ合衆国

RADIUS プロキシが必要な場合、以下の国/地域に展開できます：

| 大陸      | 地域                                                  |
| ------- | --------------------------------------------------- |
| アフリカ    | ヨハネスブルグ                                             |
| アジア     | <p>バンガロール<br>シンガポール<br>テルアビブ<br>東京<br>ソウル<br>大阪</p> |
| オーストラリア | <p>シドニー<br>メルボルン</p>                                |
| ヨーロッパ   | <p>フランクフルト<br>ロンドン<br>マドリード<br>ストックホルム</p>          |
| 北アメリカ   | <p>ダラス<br>ニューヨーク<br>シアトル<br>トロント</p>                |
| 南アメリカ   | <p>サンティアゴ<br>サンパウロ</p>                              |

### 2. RADIUSaaS はどのデータを処理しますか？

#### **証明書**

RADIUSaaS は、認証要求の真正性を検証するために X.509 のユーザー証明書またはデバイス証明書を処理します。証明書の一部として、すべての属性を処理でき、次のような情報が含まれる可能性があります：

* ユーザー名
* メールアドレス
* UPN

#### **RADIUS プロトコル**

RADIUSaaS は RADIUS プロトコルに依存しており、たとえば次のデータが RADIUSaaS から参照可能です：

* クライアントの MAC アドレス
* NAS（例：アクセスポイント、スイッチなど）の MAC アドレス
* WiFi SSID
* ベンダー固有のデータ（例：VLAN、トンネリンググループなど）
* NAS の IP アドレス
* ISP に割り当てられたパブリック IP アドレス
* RADIUS Shared Secret（RadSec がネイティブにサポートされていない場合にのみ関連）
* RADIUS サーバー証明書の秘密鍵

#### **その他**

RADIUSaaS は（オプションで）ネットワークアクセス用のユーザー名 + パスワードのペアを生成する機能を提供します。これらの資格情報もサービスによって保存・処理されます。

### 3. RADIUSaaS によって、または RADIUSaaS の代理で永続的に保存されるデータは何ですか？ また、その方法は？

1. 権限

   RADIUSaaS プラットフォームは、プラットフォームへのアクセスが許可されたユーザーの UPN/メールアドレス情報を保存します。 **RADIUSaaS ではパスワードは保存も処理もされません。**
2. ログ記録

   トラブルシューティングおよび分析のため、RADIUSaaS プラットフォームは処理するすべての関連データを記録します（ [質問 2](#2.-which-data-is-processed-by-radiusaas) RADIUS Shared Secret とサーバー証明書の秘密鍵を除きます）。

   ログは RADIUSaaS プラットフォーム上の *Elasticsearch* Elasticsearch データベースに保存され、専用スペースを介して各クライアントごとに分離されます。\
   \
   **ログ保持期間：75 日。**
3. 証明書

   RADIUSaaS の正常な動作を支えるために、複数のサーバー証明書およびルート証明書が必要です。これらの証明書はすべて安全に **Azure KeyVault に保存されます**.
4. で言及されているオプションのユーザー名 + パスワード資格情報は [質問 2](#2.-which-data-is-processed-by-radiusaas) 保存されます **Azure KeyVault に保存されます**.
5. その他のシークレットおよび構成データ

   その他の機密データ、たとえば RADIUS Shared Secret やサービスの構成は安全に **Azure KeyVault に保存されます**.

### 4. ログのアーカイブ機構はありますか？

組み込みのログアーカイブ機構はありません。ただし、 [Log Exporter](/ja/ptaru/settings/log-exporter.md) 機能を使用して、RADIUS ログを独自のログ記録およびアーカイブサービスに取り込むことができます。

### 5. RADIUSaaS ウェブポータルにアクセスするユーザーは、どのテナント権限に同意する必要がありますか？

1. `基本ユーザープロファイル`:

   この権限により、RADIUSaaS は RADIUSaaS 管理ポータルへのログオンを試みるユーザーの UPN を取得します。
2. `アクセスを許可したデータへのアクセスを維持する`

   この権限により、RADIUSaaS は更新トークンを要求する権利を得て、ユーザーがログオンしたままにできます。

以下を参照してください： [こちら](/ja/ptaru/akusesutorru/permissions.md#permissions-consent) 詳細について。

### 6. 5. の同意を与えることで、どのデータが利用可能になりますか？

1. `基本ユーザープロファイル`:

   取得できるデータの詳細については、この記事を参照してください： <https://docs.microsoft.com/en-us/azure/active-directory/develop/v2-permissions-and-consent#profile>&#x20;
2. `アクセスを許可したデータへのアクセスを維持する`

   この権限への同意によって、特定のデータが利用可能になることはありません。

### &#x20;     7. RADIUSaaS はどの外部公開エンドポイントを公開していますか？

1. RADIUS Server バックエンド API
   * RadSec プロキシに構成情報を提供します。
2. RADIUS および RadSec サーバーポート
   * インターネット上のどこからでもネットワーク認証を可能にするため、これらの認証インターフェースは公開されている必要があります。
3. RADIUSaaS 管理ポータル
   * サービスの管理を容易にするウェブポータルです。
4. Kubernetes クラスター管理 API
   * サービスの運用に必要です。

### 8. 質問 7 のエンドポイントはどのように保護されていますか？

1. RADIUS Server バックエンド API
   * 顧客が管理（発行、削除、失効）できる JWT アクセストークンによって保護されます。
2. RADIUS プロキシおよび RadSec サーバーポート
   * RadSec サーバーポート：TLS で保護（>= バージョン 1.2）。
   * RADIUS プロキシサーバーポート：RADIUS Shared Secret によって保護されます。
3. RADIUSaaS 管理ポータル
   * 当社の [対応 IDP のいずれかに対する OAuth 2.0 認証によって保護されます](/ja/ptaru/akusesutorru/permissions.md#supported-idps).
4. Kubernetes クラスター管理 API
   * TLS で保護（>= バージョン 1.2）。

### 9. 質問 7 のエンドポイントではどのポートとプロトコルが使用されますか？

* RADIUS Server バックエンド API
  * HTTPS（TCP / 443）
* RADIUS プロキシおよび RadSec サーバーポート &#x20;
  * RadSec サーバーポート：RadSec（TCP / 2083）
  * RADIUS プロキシサーバーポート：RADIUS（UDP / 1812, 1813）
* RADIUSaaS 管理ポータル
  * HTTPS（TCP / 443）
* Kubernetes クラスター管理 API
  * HTTPS（TCP / 443）

## アイデンティティ

### 1. RADIUSaaS にアクセスするためにどの認可方式が使用されますか？

* 管理者アクセスは、以下に対する OAuth 2.0 認証によって実現されます [IDP](/ja/ptaru/akusesutorru/permissions.md#supported-idps) プラットフォームに登録された ID またはアカウントに対して。

### 2. RADIUSaaS を保護するために Conditional Access / ロールベースのアクセス制御は導入されていますか？

* はい。RADIUSaaS 管理ポータルには、各ユーザーにロールを割り当てる機能があります（利用可能なロール：administrator、viewer、guest）。
* サービスを適切に運用・保守するため、glueckkanja AG の限られた従業員向けに super-admin アカウントがあり、RADIUSaaS サービスのすべてのクライアントインスタンスにフルアクセスできます。

### 3. アクセス資格情報は復元できますか？ できる場合、どのように？

* ログイン資格情報：顧客テナントで構成された Microsoft Entra ID (Azure AD) ポリシーによって異なります。
* ユーザー名 + パスワード資格情報およびネットワークアクセス用のすべての証明書は、削除後 90 日の保持ポリシーで Azure KeyVault から復元できます。

### 4. RADIUSaaS インスタンスへのアクセスを失った場合、どうすれば復旧できますか？

* 前任の管理者が退任した、または UPN / ドメインが変更されたためにあなたの組織が RADIUSaaS インスタンスへのアクセスを失った場合、アクセスを復旧する最も簡単な方法は、RADIUSaaS > Permissions > Administrators で既存の UPN に一致するユーザーアカウントを再作成することです。これは当社側の対応を必要としないため、圧倒的に最も迅速な方法です。
* 上記が実行できない場合、ポータルへのアクセス復旧には厳格な本人確認プロセスが必要となり、時間がかかるだけでなく、双方に大きな労力を要します。このプロセスには 420.00 EUR（VAT 別）の一回限りの料金がかかります。手続きを開始するには、テクニカルサポートチケットを作成してください。
* RADIUSaaS テナントへのアクセス喪失を防ぐため、当社のベストプラクティスに従い、次の各手順を慎重に実施してください： [Getting Started ガイド](/ja/she-ding/get-started.md).

## データ保護

### 1. どのように *保存時データ* が不正アクセスから保護されていますか？

#### **構成データとシークレット**

* 構成データは Azure KeyVault に保存され、アクセス資格情報によって保護されます。これらの資格情報はさらに *Kubernetes Secrets*.

#### **Kubernetes Service**

* 当社サービスのホストに使用されるボリュームとディスクは [暗号化されています](https://learn.microsoft.com/en-us/azure/aks/enable-host-encryption).

#### **ログ**

* Elasticsearch データベースは、暗号化された Kubernetes Service ディスク上でホストされています。
* ログは Elasticsearch データベースに保存され、専用スペースで分離されます。
* それらのスペースへのアクセスは、ユーザー名 + パスワード資格情報によって付与され、それらはさらに *Kubernetes Secrets*.
* Elasticsearch データベース自体は暗号化されていません。

### 2. どのように *転送中データ* が不正アクセスから保護されていますか？

* ネットワークにアクセスしようとするデバイスの認証フローは、TLS トンネル（>= TLS 1.2）に包まれます。
* NAS と RADIUS サーバーの関連付けは、RADIUS Shared Secret（MD5 ハッシュアルゴリズム）によって秘匿されます。

### 3. 顧客テナントはどのように相互に分離されていますか？

#### バックエンド

RADIUSaaS のバックエンドサービスは、世界中に分散した複数の Kubernetes クラスター上で実行されています。各顧客の RADIUSaaS インスタンスには、専用の K8s 名前空間、ログ保存領域、および専用のパブリック IP があります。クラスターごとにログ記録および読み取り用の顧客専用アカウントを備えた Elasticsearch インスタンスがあります。

#### RADIUS プロキシ

各 RADIUSaaS プロキシは、専用のパブリック IP を持つ独自の VM 上で実行されます。

## 設計によるセキュリティ

### 1. RADIUSaaS は多層防御戦略を採用していますか？

RADIUSaaS は、ネットワーク認証フローを処理するために確立されたプロトコル（RADIUS、RadSec、EAP-TLS、EAP-TTLS-X）に依存しています。証明書ベース認証に強く重点を置いているため、信頼された証明書へのアクセス権が盗聴者にない限り、通信のキャプチャには意味がありません。

### 2. UDP ベースの RADIUS プロトコルは安全ですか？

当社は最新の [RadSec](/ja/overview.md#what-is-radsec) プロトコルを用いて RADIUSaaS に対する認証を行うことを推奨しています。ただし、RadSec をサポートしていないネットワークインフラ機器は今も数多く存在します。

次の図は RADIUS 認証フローを示しています：

![](https://content.gitbook.com/content/SWU1DQ4UGkqER7uGNUOm/blobs/byiGM49uzq0vRK6ny2KM/radius-authentication-sequence.png)

認証シーケンスの最初の部分では、通信は MD5 ベースのハッシュアルゴリズムによって保護されます（共有シークレットで部分的に暗号化）。 **シークレットはありません** この段階では送信されません。

認証シーケンスの第 2 部分では、TLS ベースの EAP（例：EAP-TLS）が通信を暗号化します。その後、EAP-TLS の通信は UDP 経由で RADIUS プロキシに転送されます。これは、証明書やパスワードなどの資格情報が RADIUSaaS と交換される段階です。証明書ベース認証を使用する場合は、公開鍵のみが交換されるため、この段階でシークレットは送信されません。秘密鍵は常にクライアントデバイス上に残ります。

転送セキュリティの観点から RADIUS と RadSec を包括的に比較したものが [こちら](/ja/sono/faqs/security-and-privacy/radius-to-radsec-niokerutoransuptosekyuriti.md).

{% hint style="success" %}
結論：RADIUSaaS を用いた UDP ベースの RADIUS 認証は安全です。なぜなら&#x20;

* 関連する通信は暗号化され、\
  and
* さらに、証明書ベース認証を使用する場合はシークレットが送信されないからです。
  {% endhint %}

### 3. RADIUSaaS の設計にはどの技術、スタック、プラットフォームが使用されましたか？

* `Kubernetes`
* `EFK スタック（Elasticsearch、Filebeats、Kibana）`
* `Python`
* `Azure（KeyVault）`
* `TerraForm`
* `Git CI`

## コンプライアンス <a href="#compliance" id="compliance"></a>

### 1. glueckkanja は ISO 27001 認証を取得していますか？

はい。glueckkanja AG の情報セキュリティマネジメントシステム（ISMS）は、以下に従って認証されています： **ISO/IEC 27001:2022**。認証の適用範囲は以下を含みます：

* 製品開発
* マネージドサービス

現在の証明書を表示できます [こちら](https://www.glueckkanja.com/documents/general/gk-ISO27001Certificate-en.pdf).

### 2. glueckkanja のセキュリティは外部の専門家によってテストされていますか？

はい。2026 年、glueckkanja AG は独立した専門のオフェンシブセキュリティ企業に委託し、当社全体を対象としたレッドチーム評価を実施しました。

私たちは、従来の侵入テストよりもこの包括的なアプローチを意図的に選択しました。既知の脆弱性に対して個々のシステムやエンドポイントを確認する代わりに、レッドチームは当社の IT インフラに対する内部攻撃者による現実的で高度なサイバー攻撃をシミュレーションし、実際の攻撃者のように手法を連鎖させました。

評価の焦点は以下のとおりでした：

* 影響の大きい脆弱性の特定、
* 当社環境を通じた完全な攻撃経路のマッピング、
* 顧客環境への不正アクセス取得につながる可能性のある経路の評価、
* サプライチェーン攻撃を実行する可能性のある経路の評価。

すべての指摘事項は、緩和策の推奨とともに文書化されており、ISO 27001 認証済みの情報セキュリティマネジメントシステムの一環として対応されています。

このレッドチーム評価は毎年繰り返します。

## GDPR とデータ所在 <a href="#user-content-gdpr-and-data-residency" id="user-content-gdpr-and-data-residency"></a>

### 1. データはヨーロッパ外に出ますか？

* コアサービス：構成による
  * RADIUSaaS のコアサービスは、以下で説明されているデータセンターでホストできます： [質問 1](#1.-from-what-data-center-is-radiusaas-operating).
  * サービスがヨーロッパのデータセンターでホストされている場合、データは欧州連合の外に出ません。
* RadSec プロキシ：構成による
  * ネットワーク機器のネイティブな RadSec サポートに制限があるために RadSec プロキシが必要な場合、ヨーロッパを含むさまざまな地域からプロキシを選択できます。その場合、データは欧州連合の境界内に留まります。

### 2. RADIUSaaS はどのサードパーティのクラウドプロバイダーに依存しており、その理由は何ですか？

| 会社                                   | サービス                           | 連絡先                                                                                      | 目的                                              |
| ------------------------------------ | ------------------------------ | ---------------------------------------------------------------------------------------- | ----------------------------------------------- |
| Microsoft Corporation                | クラウドサービス（Azure）                | <p>Building 3, Carmanhall Road Sandyford,<br>Industrial Estate 18, Dublin,<br>アイルランド</p> | Kubernetes Service、ネットワーク、ストレージ                 |
| Digital Ocean, Inc.                  | クラウドサービス                       | <p>Y101 6th Ave,<br>New York City,<br>NY 10013,<br>アメリカ合衆国</p>                           | Kubernetes Service、ネットワーク、ストレージ、RADIUS プロキシ用 VM |
| Vultr（The Constant Company, LLC の商標） | クラウドサービス                       | <p>319 Clematis Street - Suite 900<br>West Palm Beach, FL 33401,<br>アメリカ合衆国</p>          | RADIUS プロキシ用 VM                                 |
| GitLab, Inc.                         | git コードリポジトリ、統合、テスト、およびリリース自動化 | <p>268 Bush Street #350, </p><p>San Francisco, </p><p>CA 94104-3503, アメリカ合衆国 </p>        | コードリポジトリ、CI/CD パイプライン。                          |

## その他 <a href="#user-content-miscellaneous" id="user-content-miscellaneous"></a>

### 1. RADIUSaaS はバグバウンティプログラムの対象ですか？

いいえ

### 2. どのような QA 対策が実施されていますか？

* 開発目的の専用 RADIUSaaS ラボがあります
* サービスの展開とインストールは TerraForm を通じて実施され、各インスタンス展開の一貫性と冪等性が確保されます
* Kibana APM は、サービスの健全性測定とアラート管理に使用されます
* Digital Ocean の監視が RadSec プロキシを監督しています
* 各本番リリースはまず内部チャネルを通過し、CI プロセスの一環として関連する QA のハードルをクリアしなければなりません
  * 単体テスト
  * ピアレビュー（6 眼原則）
  * 統合テスト
  * 負荷テスト
  * 経験に基づくテスト

### 3. 定期的に侵入テストを実施していますか？

SCEPman の従来型侵入テストという形では実施していません。その代わり、glueckkanja AG は毎年、独立した外部専門家によるレッドチーム評価を受けており、従来の侵入テストを超えるものです（ [glueckkanja のセキュリティは外部の専門家によってテストされていますか？](#id-2.-does-glueckkanja-have-its-security-tested-by-external-experts)).

Secure Development Practices の一環として、コードベースを CVE やその他の一般的な悪用手法（サードパーティライブラリなどの依存関係を含む）に対してスキャンするツール（例：静的コード解析）を使用し、RADIUSaaS が公開するエンドポイントのセキュリティに影響を与えうるものを検出しています。リリース前には、関連する検出事項を評価し修正して、RADIUSaaS が既知の脆弱性を含まないようにしています。&#x20;

当社では侵入テストを自ら実施することも、サードパーティの「Penetration Test-as-a-Service」ツールを使用することもありません。前者については、本質的な利益相反があると考えています。後者については、典型的な侵入テストサービスは公開されたエンドポイントを CVE やその他の既知の悪用手法と照合するだけであることが多く、静的コード解析で既に行っているチェックに追加価値はないと考えています。&#x20;

代わりに、私たちは包括的なアプローチに依拠しています。2026 年、独立したレッドチームが glueckkanja AG に対する現実的で高度な攻撃をシミュレーションし、顧客環境への攻撃経路やサプライチェーン攻撃を明示的に含めました。個別のエンドポイントをテストするのではなく、この評価では当社組織全体にわたる完全な攻撃経路を評価しており、これは顧客のセキュリティにとってはるかに有意義だと考えています。この評価は毎年繰り返します。

独自の侵入テストを実施したい場合は、 [ご連絡ください](https://support.radiusaas.com/support/tickets/new?ticket_form=technical_support_request_%28radiusaas%29) そして要件をお知らせください。

### 4. パッチ適用プロセスはありますか？

はい。&#x20;

パッチ、ホットフィックス、バグ修正、機能更新は、さまざまなテストパイプラインを活用する当社の CI/CD プロセスを用いて導入され、QA のハードルを満たしたコードのみがリリースされることを保証します。新たにリリースされたコードは、すべてのお客様に自動的に利用可能になります。Infrastructure as Code（Terraform）を使用することで、一貫性があり、再現可能で高品質な更新をお客様に提供できます。

当社サービスの Kubernetes ベースアーキテクチャにより、コード更新はお客様にとってシームレスであり、サービス停止につながることはありません。&#x20;

### 5. パッチの SLA はどのようになっていますか？

* CVE / セキュリティ脆弱性向けのパッチ：脆弱性が公になった時点、または当社コード内で脆弱性を特定した時点のいずれか早い方から 24 時間以内に、ホットフィックスを提供します。&#x20;
* その他のパッチ：SLA なし。

### 6. RADIUSaaS はバックアップを実行しますか？

#### シークレットと構成データ

Azure KeyVault を活用して、シークレット（例：証明書）およびサービスのその他すべての構成データを安全に保存しています。Azure KeyVault は高可用な [地理的冗長サービス](https://learn.microsoft.com/en-us/azure/key-vault/general/disaster-recovery-guidance) であり、そのすべてのコンテンツを第 2 のデータセンターに複製するため、暗黙的にバックアップサービスを提供します。&#x20;

#### RADIUS および RadSec サーバー

ステートレスです。バックアップは不要です。

#### ログ

現在、バックアップは取得されていません。

### 7. バックアップ復元テストはありますか？

はい。&#x20;

バックアップからの復元は、サービスの更新／リリースごとにテストされています。年間のおおよそのリリース数は 4 ～ 8 回です。


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.radiusaas.com/ja/sono/faqs/security-and-privacy.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.