企業ネットワークへのリモートアクセス環境を提供することは、社員の労働生産性を高める効果がある一方で、リモートデバイスに対するコントロールができなくなり、企業ネットワークのセキュリティリスクを高めてしまう可能性がある。現在、リモートアクセスの手段として主流なのは、VPN接続である。セキュリティ対策が十分でないようなホームコンピューターが VPN経由で企業ネットワークに接続された場合、ウイルスの混入や機密情報の流出の危険がある。また、長期間、企業ネットワークから離れていたモバイルデバイスが復帰した際に、ぜい弱性を抱えたまま接続される心配がある。企業ネットワークのセキュリティが侵害されるリスクは、リモートアクセスだけではない。社員が勝手に、あるいは悪意のある第三者が社内にデバイスを持ち込み、有線/無線のネットワークに接続するようなケースだ。Windows Server 2008から利用可能になったネットワークアクセス保護（NAP）は、こういったぜい弱性や汚染の可能性があるデバイスが社内ネットワークに接続されるのを防ぐ、検疫ソリューションを提供する。
NAPには、クライアントを検疫してアクセスを許可または拒否するために、いくつかの実施オプションが用意されている。ほとんどの実施オプションは、Windowsの標準機能だけでも構築できるため、低コストで検疫システムを構築することができる。Windows Server 2008 R2の NAPの基本的な検疫機能は、Windows Server 2008のものと同等だが、より柔軟なポリシー設定、ログ機能の強化、Windows Server 2003のインターネット認証サービス（Internet Authentication Service：IAS）からの移行など、展開、管理機能の充実が図られている。まずは、NAPの仕組みを理解してもらい、NAPで利用可能な実施オプションと Windows Server 2008 R2の新機能、そして、ユーザーのエクスペリエンスについて見ていこう。
NAPのコンポーネント
NAPは、クライアントが企業のネットワークに接続しようとしたときに、そのクライアントがポリシーで決められた必要なセキュリティレベルを満たすかどうか、システムの正常性を評価する。システムの正常性に準拠する場合に限り、社内ネットワークへのアクセスを許可し、準拠しない場合はアクセスを拒否または制限する。NAPでは、検疫されたクライアントに対して、自動修復を試みたり、修復のための限定的なネットワークアクセスを許可したりすることができる。無許可で接続しようとする試みは、NAP非対応のクライアントに対するポリシーで、完全に排除することができる。
NAPによる正常性評価は、接続要求時だけでなく、クライアントが社内ネットワークに接続されている間、常に監視される。検疫状態のクライアントは、修復されポリシーに準拠した時点で自動的にアクセスが許可される。また、一度許可されたクライアントであっても、ユーザーが故意にセキュリティレベルを弱めれば、ポリシーに非準拠として検疫され、アクセスが拒否または制限される。
図24は、NAPを構成するコンポーネントと、クライアント検疫の動作を示したものである。
それでは、NAPを構成するコンポーネントを見ていこう。
■ネットワークポリシーサーバー（NPS） ― ネットワークポリシーサーバーは、ポリシーの定義、管理と、ポリシーの評価に基づく検疫の実施を指示するサーバーである。ネットワークポリシーサーバーは、Windows Server 2008 R2または Windows Server 2008の［ネットワークポリシーとアクセスサービス］の役割に含まれる役割サービス［ネットワークポリシーサーバー］を実行する。ネットワークポリシーサーバーが評価するポリシーには、接続要求ポリシー、ネットワークポリシー、正常性ポリシーの 3つがある。接続要求ポリシーは、後述する実施ポイントから渡されるクライアントからの認証要件を評価する。接続要求ポリシーに準拠する場合、クライアントから受信した正常性ステートメント（Statement of Health：SoH）に基づいて正常性ポリシーを評価する。そして、正常性ポリシーの準拠状況に応じて、ネットワークポリシーによって、クライアントにアクセスを許可するか、拒否するか、あるいは制限するかが決定される。
■NAPエージェントおよび実施クライアント ― NAPエージェントは、Windows 7、Windows Vista、および Windows XP SP3に標準搭載されている NAPのクライアントコンポーネントである。NAPエージェントは、クライアントの正常性を評価し、正常性ステートメント（SoH）をネットワークポリシーサーバーに送信する。実施クライアントは、SoHに対して決定されたネットワークポリシーに従って、クライアントに対して検疫を強制する。
■システム正常性検証ツール（SHV）およびシステム正常性エージェント（SHA） ― システム正常性検証ツール（System Health Validators：SHV）とシステム正常性エージェント（System Health Agents：SHA）は、1対 1で対応するサーバーコンポーネントとクライアントコンポーネントである。クライアント側の SHAは、クライアントの正常性の現在の状態を調査して SoHを生成し、サーバー側の SHVに送信する。SHVは SoHを確認する他に、SoHがないことを検出することもできる。また、SoHの内容が正常性ポリシーに準拠しない場合、「正常性ステートメントの応答（SoH Response：SoHR）」をクライアントのSHAに送信する。SoHRには、クライアントの構成を正常性ポリシーに準拠させるために使用する修復指示が含まれている。
■実施ポイント ― 実施ポイントは、ネットワークアクセスを許可、禁止または制限を強制するためのサーバーやネットワーク機器のことである。「ネットワークアクセスサーバー（NAS）」と呼ぶ場合もある。実施ポイントとして何が使用されるかは、後述する NAPの実施オプションによって異なる。
■修復サーバー ― 正常性ポリシーに準拠しないクライアントを修復するための手段を提供するサーバーである。ウイルス対策ソフトウェアの定義ファイルやエンジンの更新を提供したり、更新プログラムを提供したりするサーバーである。NAPでは、検疫されたクライアントに対して、修復サーバーへの限定的なアクセスを提供することができる。修復サーバーとしては、Windows Server Update Services（WSUS）やSystem Center Configuration Manager（SCCM）のサーバー、インターネットアクセス用のプロキシサーバーなどを使用できる。
