IBM API Connect 開発者ポータル構成ガイド　4章

Size: px

Start display at page:

Download "IBM API Connect 開発者ポータル構成ガイド　4章"

なおちかしまむね
5 years ago
Views:

1 IBM API Connect 開発者ポータル構成ガイド 4. 開発者ポータルのセキュリティーの管理 2016/10/01 日本アイビーエム株式会社

2 はじめに当資料の位置づけ当資料は API Connect の開発者ポータルの主要なカスタマイズ方法についてまとめたものです V5.0.1 を前提としています注意事項当資料に含まれる情報は可能な限り正確を期しておりますが当資料に記載された内容に関して何ら保証するものではありませんここでの記載内容はあくまでも支援情報であり使用者の責任において取扱われるものとし資料の内容によって受けたいかなる損害に関して一切の保証をいたしません製品の新しいリリース修正などによって動作 / 仕様が変わる可能性がありますので必ずマニュアル等で最新の情報をご確認ください 2

3 開発者ポータルの構成 / カスタマイズ 1. 開発者ポータルの一般的な構成 2. 開発者ポータルの外観の制御 3. 開発者ポータルのコンテンツの制御 4. 開発者ポータルのセキュリティーの管理 5. 開発者ポータルのユーザーの管理 6. 開発者ポータルでのフォーラムの制御 3

4 開発者ポータルの構成 / カスタマイズ 4. 開発者ポータルのセキュリティーの管理 4-1. ブロック対象 IP アドレスの管理 4-2. CAPTCHAS の構成 4-3. フラッディング制御 4-4. セッションタイムアウトおよびセッション限度の構成 4-5. ログアウト後の自動最新表示 4-6. サイトのパスワードポリシーの構成 4-7. ユーザー名およびパスワードのオートコンプリート要素認証の使用 4-9. セキュリティーの質問の使用セキュリティーキットの使用 API のライブテストの無効化 CORS 警告の無効化 4

5 逆引き開発者ポータルの構成 / カスタマイズ IPアドレスによるアクセス制御したい CAPTHACSを変更したいフラディング制御をしたいセッションタイムアウトを変更したい 4-1. ブロック対象アドレスのIP 管理 4-2. CAPTHCASの構成 4-3. フラッディング制御 4-4. セッションタイムアウトおよびセッション限度の構成ログアウト後に画面をリフレシュしたい 4-5. ログアウト後の自動最新表示パスワードポリシーを設定したいユーザー名パスワードのオートコンプリートを有効にしたい 4-6. サイトのパスワードポリシーの構成 2 要素認証を構成したい要素認証の使用 4-7. ユーザー名およびパスワードのオートコンプリートセキュリティ質問を使用したいセキュリティキットモジュールを有効にしてセキュリティを強化したい API ライブテスト機能を無効にしたい CORS 警告を無効にしたい 4-9. セキュリティの質問の使用セキュリティキットの使用 APIのライブテストの無効化 CORS 警告の無効化 5

6 4. 開発者ポータルのセキュリティーの管理 4-1. ブロック対象 IP アドレスの管理 6

7 4-1. ブロック対象 IP アドレスの管理設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [Restrict by IP] を選択 7

8 4-1. ブロック対象 IP アドレスの管理ブロックしたい IP を指定その IP からアクセスするとエラーメッセージが表示されアクセス不可 8

9 4. 開発者ポータルのセキュリティーの管理 4-2. CAPTCHAS の構成 9

10 4-2. CAPTCHAS の構成設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [CAPTCHA] を選択 10

11 4-2. CAPTCHAS の構成フォーラムやブログ等はデフォルトで設定済み例 ) user_login で CAPTHAS を設定するとログイン画面で表示説明分を日本語で記述 11

12 4. 開発者ポータルのセキュリティーの管理 4-3. フラッディング制御 12

13 4-3. フラッディング制御設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [Login Security] を選択 13

14 4-3. フラッディング制御設定できる主な項目追跡時間 (Track Time) ユーザーをブロックするまでのログイン失敗の最大数 (Maximum number of login failures before blocking a user) ホストをソフトブロックするまでのログイン失敗の最大数 (Maximum number of login failures before soft blocking a host) ホストをブロックするまでのログイン失敗の最大数 (Maximum number of login failures before blocking a host) 進行中の攻撃を検出するまでのログイン失敗の最大数 (Maximum number of login failures before detecting an ongoing attack) 14

15 4-3. フラッディング制御送信先ユーザーの設定 15

16 4. 開発者ポータルのセキュリティーの管理 4-4. セッションタイムアウトおよびセッション限度の構成 16

17 4-4. セッションタイムアウトおよびセッション限度の構成設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [Auto Logout] を選択 17

18 4-4. セッションタイムアウトおよびセッション限度の構成主な設定項目自動ログアウトの時間 ( 秒単位 ) 個々のユーザーロールごとのセッションタイムアウト値 ( 秒単位 ) ログアウトでのリダイレクト URL の指定デフォルトはログイン画面 URL ログアウトダイアログの表示可否セッション期限切れのメッセージテキストの指定 18

19 4-4. セッションタイムアウトおよびセッション限度の構成タイムアウトによるログアウト時の画面ログアウトダイアログを表示する設定の場合はダイアログが表示後にログアウト ( デフォルトはログアウトダイアログは非表示 ) 19

20 4-4. セッションタイムアウトおよびセッション限度の構成設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [Session limit] を選択 20

21 4-4. セッションタイムアウトおよびセッション限度の構成主な設定項目アクティブセッションのデフォルトの最大数 (Default maximum number of active sessions) セッション限度を超えた場合 (When the session limit is exceeded) のアクションログアウトメッセージ重大度 (Logged out message severity) リストからユーザーがログアウトされたときに受信するメッセージを選択しますデフォルトのメッセージはエラーです 21

22 4-4. セッションタイムアウトおよびセッション限度の構成設定例 When the session limit is exceeded の設定を Prevent new session に変更複数のセッションでアクセスするとセッション限度を超えた場合その旨のメッセージが表示されログインできない 22

23 4-4. セッションタイムアウトおよびセッション限度の構成設定例 When the session limit is exceeded の設定を Automatically drop the oldest sessions without prompting. に変更 23

24 4. 開発者ポータルのセキュリティーの管理 4-5. ログアウト後の自動最新表示 24

25 4-5. ログアウト後の自動最新表示設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [Ejector Seat settings] を選択 25

26 4-5. ログアウト後の自動最新表示設定手順 26

27 4-5. ログアウト後の自動最新表示 ( 参考情報 ) Ejector Seat settings のユースケースセッションを終了したユーザーを即座にログアウトするためのモジュール Ejector Seatはユーザーがまだログインしているかどうか定期的にチェックするための JavaScriptコードを提供ユーザーがログインしていなければ現行のページがリロードされそのユーザーは匿名ユーザーとしてそのページを見るこのモジュールは通常 Session limitまたはautomated Logoutと一緒に使用し現行ページをリロードしそのユーザーは別のロケーションでログインすることで自動的にログアウトされる一般的な使用方法プライベートアクセスの Web サイトをもっておりユーザーがアカウントをシェアしていないようにしたい Session Limit を使用して一度に一つのロケーションからしかログインできないようにするしかしながらユーザーがそのページをリロードしない限りログアウトされない Ejector Seat は構成可能なタイマー ( デフォルトは毎分 ) で ajax script を実行しユーザーがログインしているかどうか確認するもしユーザーがログインしていないのであれば現行ページはリロードされ Session Limit がユーザーに対して別のだれかがそのアカウントを使っているためにあなたはログアウトされた旨のメッセージを表示するこのモジュールの別の効果はあるユーザーが同じ Drupal のサイトに対して複数のタブを開いているときに一つのタブをログアウトするとすべえてのタブがログアウトされるパフォーマンスを改善するために ajax コールバック ( および関連する Drupal bootstarap) は Drupal のページがフォーカスされている (active front window) ときのみ実行されるウィンドウがアクティブになれば即座にスクリプトの期限が切れているかどうかを ajax check する 27

28 4. 開発者ポータルのセキュリティーの管理 4-6. サイトのパスワードポリシーの構成 28

29 4-6. サイトのパスワードポリシーの構成設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [Password policies] を選択 29

30 4-6. サイトのパスワードポリシーの構成設定項目パスワード変更ページでのパスワード制約事項の表示指定パスワード期限切れの警告 E メールの定義パスワードポリシーの設定有効期限長さ大文字小文字文字の種類数字英数字数字配置句読点直前の変更時からの経過時間文字ユーザー名を含まない履歴初回ログイン時のパスワード変更の強制 30

31 4-6. サイトのパスワードポリシーの構成パスワードの要件の表示パスワード要件を表示するかどうかの設定指定したパスワードポリシーによって要件の表示が変更 31

32 4-6. サイトのパスワードポリシーの構成パスワードポリシーで設定可能な項目 32

33 4. 開発者ポータルのセキュリティーの管理 4-7. ユーザー名およびパスワードのオートコンプリート 33

34 4-7. ユーザー名およびパスワードのオートコンプリート環境設定管理メニューより [ 環境設定 ] > [ ユーザー ] > [No Autocomplete] を選択 34

35 4-7. ユーザー名およびパスワードのオートコンプリート環境設定デフォルトは autocomplete=off チェックボックスをはずすとオートコンプリート機能が有効ブラウザーの設定にも依存ユーザーの候補が表示される 35

36 4. 開発者ポータルのセキュリティーの管理要素認証の使用 36

4-8. 2 要素認証の使用設定手順管理メニューより [ 環境設定 ] > [ ユーザー

37 要素認証の使用設定手順管理メニューより [ 環境設定 ] > [ ユーザー ] > [Two-factor Authentication(2 要素認証 )] を選択 37

38 要素認証の使用設定手順 Enable TFA をチェックすると 2 要素認証用の構成オプションが表示される 38

39 4. 開発者ポータルのセキュリティーの管理 4-9. セキュリティーの質問の使用 39

40 4-9. セキュリティーの質問の使用設定手順管理メニューより [ モジュール ] を選択モジュール一覧の検索フィールドで security を指定し絞込み security questions を有効にするユーザーの候補が表示される 40

41 4-9. セキュリティーの質問の使用設定手順管理メニューより [ 環境設定 ]> [ ユーザー ]>[Security Questions] を選択 41

42 4-9. セキュリティーの質問の使用設定手順秘密の質問とし独自のものを追加するか事前提供の中から選択 42

43 4-9. セキュリティーの質問の使用設定手順設定で秘密の質問の個数および利用するフォームの選択 43

44 4-9. セキュリティーの質問の使用設定例設定で秘密の質問の個数および利用するフォームの選択 44

45 4-9. セキュリティーの質問の使用設定例秘密の質問の個数利用するフォームフラッドの制御時間を設定 45

46 4-9. セキュリティーの質問の使用設定例初期登録 : ログイン画面で秘密の質問の回答を入力 46

47 4-9. セキュリティーの質問の使用設定例ログイン後アカウント情報で秘密の質問の回答を確認可能 47

48 4-9. セキュリティーの質問の使用設定例間違った回答でログインしようとするとエラー 48

49 4. 開発者ポータルのセキュリティーの管理セキュリティーキットの使用 49

50 4-10. セキュリティーキットの使用設定手順管理メニューより [ 環境設定 ]> [ システム ]>[Security Kit] を選択 50

4-10. セキュリティーキットの使用設定項目セキュリティーキットモジュールで使用可能な各種オプションを構成することにより Web サイトセキュリティの向上を実現クロスサイトスクリプティングクロスサイトリクエストフォージェリークリックジャッキング Content

51 4-10. セキュリティーキットの使用設定項目セキュリティーキットモジュールで使用可能な各種オプションを構成することにより Web サイトセキュリティの向上を実現クロスサイトスクリプティングクロスサイトリクエストフォージェリークリックジャッキング Content Security Policy X-Content-Type-Options X-XSS-Protection HTTP Strict Transport Security 51 Security Kit Module

52 4. 開発者ポータルのセキュリティーの管理 API のライブテストの無効化 52

53 4-11. API のライブテストの無効化設定手順管理メニューより [ 環境設定 ]> [ システム ]>[IBM API Connect] を選択 53

54 4-11. API のライブテストの無効化開発者ポータルの API ライブテスト機能を無効化し API の公開を制限 54

55 4-11. API のライブテストの無効化ライブテスト機能の無効化によりテスト用の画面が非表示 55

56 4. 開発者ポータルのセキュリティーの管理 CORS 警告の無効化 56

57 4-12. CORS 警告の無効化設定手順管理メニューより [ 環境設定 ]> [ システム ]>[IBM API Connect] を選択 57

58 4-12. CORS 警告の無効化設定手順強制されない API に対して CORS 警告を表示するチェックボックスがクリアされていることを確認 58

IBM API Connect 開発者ポータル構成ガイド　1章

IBM API Connect 開発者ポータル構成ガイド　1章 IBM API Connect 開発者ポータル構成ガイド 1. 開発者ポータルの一般的な構成 2016/10/01 日本アイビーエム株式会社はじめに当資料の位置づけ当資料は API Connect の開発者ポータルの主要なカスタマイズ方法についてまとめたものです V5.0.1 を前提としています注意事項当資料に含まれる情報は可能な限り正確を期しておりますが当資料に記載された内容に関して何ら保証するものではありません

IBM API Connect 開発者ポータル構成ガイド 4章

IBM API Connect 開発者ポータル構成ガイド　4章