構築事例：Nextcloudでセキュリティ要件を解決したファイル共有システム構築

お客様はそれまで、社内・社外用のファイル共有にAmazon WorkDocsを利用していました。しかし、Amazon WorkDocsは2025年4月をもってサービスが終了してしまったため、一時的な乗り換え先として、OSSのファイル共有システム「Nextcloud」を利用していました。

Nextcloudのファイル共有画面

お客様は、Nextcloudの通常のアカウント認証や2要素認証に加えて、アカウントロックを実装したいと考えていました。Nextcloudには、送信元IPアドレス毎に一定期間ログインを停止する機能はありますが、ユーザアカウントのログイン試行回数を条件としてログインを防ぐ仕組みがありません。そのため、単純にNextcloudだけを使ったシステムではアカウントロックを実装することは困難でした。

そこで弊社からは、以下2つの方法をご提案して、アカウントロックを実現しました。

1. NextcloudとLDAPサーバを連携させて認証処理を行う
2. Nextcloudへのログイン失敗のログを監視し、一定条件を満たした場合にLDAP情報を無効化

1つ目の方法では、NextcloudとLDAPサーバのOSS「389 Directory Server」を連携するようにしました。また2つ目のLDAP情報の無効化を行う方法としては、Linuxシステムの不正アクセスを検知して防御を行うためのOSS「fail2ban」の、ログ監視をトリガーとして任意のプログラムを実行できるという特徴を利用しました。

グループごとに管理者を設置できる仕組みを提案

グループの作成やフォルダ共有の設定をシステム管理者に一任した場合、管理者の負担が増大してしまいます。そのため、単に共有ストレージを使う取引先をグループ化するだけではなく、グループごとに管理者を設定してメンバーや共有設定を委譲し、複数の管理者が管理する仕組みをご提案しました。

Nextcloudの標準機能では管理者がグループを管理することしかできないため、これを実現するためには、プラグインを導入するか、独自の方式を実装するしかありませんでした。今回、ユーザ管理や認証の仕組みとの相性でプラグインの方式が採用できなかったため、デージーネットが設計を行い、独自に実装しました。

導入にあたっての工夫

導入にあたって、次のような点を工夫しました。

利用開始後のイメージがしやすいように説明

今回のシステムは、単純なNextcloudだけでなく、fail2banやLDAP（389ds）との連携が含まれました。特に、Nextcloudのユーザ・グループをLDAPで管理するために専用のWEB UIを開発したこともあり、ユーザやグループ作成からファイル共有の利用までのワークフローが複雑化し、認識の齟齬が発生することが予想されました。そのため、設計フェーズから利用パターンごとのフロー図・モックアップを作成し、お客様と認識を合わせました。実際の管理・利用のイメージの認識を一致させることで、構築・開発・導入を比較的スムーズに進めることができました。

プライベートクラウド構築の事例一覧

• KVMによるプライベートクラウド事例
• KVMによるプライベートクラウド（クラスタ）事例
• OpenStackによるプライベートクラウド事例
• CloudStackによるプライベートクラウド事例
• ownCloudによるオンラインストレージ事例
• Nextcloudを利用したオンラインストレージ構築事例
• OpenStack Swiftを活用したオブジェクトストレージ事例
• 二要素認証の手法を取り入れたNextcloudの導入事例
• オンラインストレージNextcloudサーバの移行事例
• VMware移行先をoVirtで解決した方法/仮想基盤（クラスタ）構築事例
• HAProxyを利用した負荷分散システム導入事例
• Nextcloudでセキュリティ要件を解決したファイル共有システム構築事例