必要に応じて、リバース プロキシ セクションの他の設定を指定します。

メモ

eRoom サーバの設定にある eRoom Web サーバ名を変更する際は、以下の点 に注意します。

■ eRoom サーバからリバース プロキシにアクセスできない場合は、eRoom

MMC スナップインが引き続き eRoom サーバ上で実行できるように、

eRoom サーバにリバース プロキシの IP アドレスをマッピングします。

■ [eRoom サーバの設定] で設定した Web サーバ名を上書きする場合は、

eRoom の電子メール通知や招待またはメッセージの URL を内部 eRoom サーバ名 app1.company.com ではなく、パブリック名 eroom.company.com を使用して送信する必要があります。これによって、エンド ユーザは eRoom の電子メール内リンクをクリックしてリバース プロキシに解決す ることができます (DNS が適切に設定されている必要があります)。

設定をセキュリティ保護するときの注意

■ eRoom サーバとプロキシ サーバの両方をセキュリティで保護する場合

は、適切な注意を払ってテストを行い、セキュリティによってアプリ ケーションの機能が損なわれることがないようにする必要があります。

■ SSL をリバース プロキシにインストールして、クライアント ワークス

テーションとの安全な接続を保証することができます。つまり、クライ アントは "http://" ではなく、"https://" を使用します。

■ SSL を eRoom Web サーバにインストールして、RP と eRoom サーバ間の

接続をセキュリティ保護することもできます。ただし、プロキシ サーバ によっては "https://" を使用する Web サーバにリダイレクトすることが できない場合があります。

■ eRoom 7 で "http://" ではなく "https://" が認識されるようにするには、

SSL 証明書を eRoom Web サーバにインストールする必要があります。

eRoom は、SSL 証明書がインストールされ、必要であることを自動的に 認識します。SSL 証明書を eRoom サーバに適用した後は、ユーザが必ず

SSL を使用することを確認する必要があります (ユーザは URL アドレス

に https:// を使用するかどうかを選択することができません)。SSL を使 用しない場合は、通知、メッセージ、招待の URL アドレスが不正になり ます。接続されたユーザに対して SSL の使用を強制する方法の手順につ いては、Powerlink サイト (http://powerlink.emc.com) のサポート資料 を参照してください。

■ SSL 証明書を eRoom Web サーバにインストールすることができない場合

は、エイリアスを作成し、"http://" 要求が自動的に "https://" に変換さ れるようにできます。

eRoom 7 インストール、アップグレード、および設定ガイド D–1

D

付録 D: eRoom のセキュリ

ティ ガイドライン

eRoom サーバのオペレーティング システムの強化

適切なセキュリティ パッチを適用して正しく設定および保守されている Microsoft の IIS は、堅実なプラットフォームで、インターネットにアクセス するアプリケーションの実行に伴うリスクを大幅に削減します。eRoom 7 な どのネットワーク アプリケーションに対して考慮すべき最も重要な問題は、

リモート サービスの可用性です。すべてのサービスへのアクセスは、サーバ が機能するために必要なサービスのみに制限する必要があります。これは通 常は、ネットワークとホストの 2 つのレベルで行われます。

ネットワーク レベルでは、ファイアウォールとルータを使用して、サービス

(ポート) へのアクセスを制限することを強くお勧めします。ホスト レベル

では、NT ベースの顧客は TCP/IP フィルタを使用して、不要なサービスへ のアクセスを制限できます。Win 2000 ベースの顧客は、IPSec フィルタを使 用してこのタスクをさらに効率よく実行できます。これらのフィルタは稼動 中の適用が可能で、ICMP を正しくブロックできるためです。

NetBIOS/SMB リソース共有などの、標準の Windows サービスへのアクセ スをブロックまたは無効にすることが特に重要です。攻撃者が、既知の技法 を使用してシステム アカウントの名前を開示し、これらのサービスを経由し てパスワードを突き止める攻撃を仕掛けてくる可能性があります。

eRoom のセキュリティ

デフォルトでは、eRoom はパスワード保護されているエントリを eRoom に 提供し、NT/Win2000 ドメインまたは LDAP を経由してユーザ名とパスワー ドを同期できます。

eRoom サーバが有効な eRoom クライアントを認識する方法

情報へのアクセスを許可する前に、eRoom ユーザは、ユーザ名とユーザが選 択したパスワードを使用して、指定の eRoom にログインする必要があります。

eRoom サーバによってユーザが認証されると、そのセッションの期間中にセ キュア キーとして使用されるランダム セッション ID が生成されます。この セッション ID によって、サーバは通信ストリームの非認証のキャプチャ、変 更、および再送信を回避します。ユーザが Room から適切にログアウトし、

このセッション ID を破棄するには、ブラウザを終了する必要があります。

ブラウザを経由して eRoom サーバにログインするとき、ユーザは [ログイ

ン] ダイアログ ボックスの [パスワードの保存] をオンにすることができま

す。これにより、パスワードが暗号化された形式で保存されます。ただし、

パスワードが盗まれたり、別のマシンにコピーされた場合、パスワードを再 使用すると危険です。セキュリティをさらに強化するために、eRoom 管理者 はパスワードの保存オプションを無効にすることができます。

サーバ側では、eRoom サーバは Windows NT/2000 ドメイン、Active Directory、または LDAP ディレクトリからのユーザのパスワードを保存し ません。それ以外のユーザのパスワードは、eRoom サーバに保存され、

MD5 ハッシュを使用して暗号化されます。

サーバは、ログインの試行の失敗を記録するように設定することもできま す。たとえばアカウントのロックアウト規則を使用して外部ディレクトリを 設定し、ログインの試行に複数回失敗した後にアカウントを無効にすること ができます。このような規則は、外部ディレクトリのアカウントを eRoom で認証する際有効です。

付録 D: eRoom のセキュリティ ガイドライン

eRoom のセキュリティ

eRoom 7 インストール、アップグレード、および設定ガイド D–3

クライアント側では、eRoom アクセスはブラウザによって提供されます。ブ ラウザは、プラグイン コンポーネントを使用して拡張できます。プラグイン で拡張されたブラウザは、Microsoft ActiveX コントロールを使用して主な機 能を実行します。ERAdddin.OCX コントロールは、プログラムによって "ス クリプトを実行しても安全" とマークされているため、コードの信頼性を検 証するためのセキュリティ チェックが省かれます (つまり、コントロールの 作成者の身元は信頼されているサード パーティによって検証されます)。

スクリプトを実行しても安全なコントロールを他のソフトウェア製品内で利 用して、認証されていない操作をエンド ユーザのシステムで実行する試みが なされる場合があるため、eRoom では信頼されているサーバを追跡し、信頼 されているリストに含まれているサーバ以外からコントロールにアクセスで きないようにするメカニズムを実装しています。さらに eRoom では、

ActiveX 技術を一切使用しないことを望む顧客のために、代替策を用意して います。このような顧客はシン クライアントを使用できます (サーバサイド の設定パラメータにより、すべてのユーザがシン クライアントのみを使用し て接続することを強制できます)。

eRoom ではリッチ クライアント システムに格納されているユーザ証明書を わかりにくくする対策を講じていますが、知識の豊富な攻撃者が時間をかけ てしつこく攻撃した場合にもこの情報が守られるという保証はできません。

このため、クライアント環境はポリシーや物理的なセキュリティ メカニズム を使用してさらに保護を強化するようにしてください。

eRoom 情報へのアクセスの制御方法

アクセス権の設定は、ファシリティ レベルから、eRoom 内のそれぞれの個 別のオブジェクトに至るまで可能です。eRoom のメンバー リストは、サー バ上の各 eRoom とファシリティにアクセスできるユーザを定義し、アクセ ス権の設定リストは、すべての eRoom オブジェクトへのアクセスを管理し ます。

アクセス権の設定はサーバで完全に実装されます。つまり、クライアント コードが盗まれるようなことが万が一発生した場合や、サーバが "スプー

フィング" されるようなことがあっても、サーバによるアクセス制限は適用

されます。サーバにはクライアントサイド コードの暗示的な信頼はありませ ん。認証や承認のチェックは、クライアントが提供する、名前やパスワード などのクレデンシャルのみに基づいて行われます。

内部ネットワーク内で eRoom を使用する

eRoom では、あらゆる双方向の通信に、標準の HTTP を使用します。この ため、特定のユーザが Web ブラウザを使用して特定の Web サーバにアクセ スできるようにシステムやファイアウォールが設定されている場合、この ユーザはそのサーバで実行されている eRoom にもアクセスできます。

ブラウザを経由した eRoom サーバへのアクセスでは、JavaScript を使用して 一部の操作が実行されます。また、eRoom の "リッチ クライアント" ではプ ラグイン コンポーネントを使用して、追加のサービスをユーザに提供しま す。このため、ブラウザとファイアウォールの設定によって、これらのコン ポーネントがブロックされないようにすることが重要です。ファイアウォー ルがすべてのアプリケーションをブロックするような場合は、次のアプリ ケーションがファイアウォールを通過できるように指定する必要があります :application/Octet-stream。