HTTPS プロトコルは標準のセキュリティ テクノロジであり、Web サーバーと Web クライアント間で暗号化されたリンクを確立するために使用されます。HTTPS を使用すると、サーバーの識別および認証によるネットワーク通信のセキュリティ保護が容易に実現され、送信されるすべてのデータのプライバシーと整合性が確保されます。HTTPS はネットワーク上で送信される情報の傍受および改変を防ぐため、ログインや認証メカニズム、および通信に機密情報や独自情報が含まれるネットワークでは SSL を使用してください。
ArcGIS Web Adaptor と Portal for ArcGIS との間の通信を暗号化するには、HTTPS を使用する必要があります。これにより、ArcGIS Web Adaptor とポータル間で送受信される名前、パスワード、およびその他の機密情報を解読不能にすることができます。HTTPS を使用する場合は、HTTP の代わりに HTTPS プロトコルを使用して Web ページやリソースに接続します。
メモ:
大多数のユーザーには、デフォルトの HTTPS ポート 443 を使用することが適切です。まれに、組織特有の理由から、ArcGIS Web Adaptor インスタンスが Web サーバー上でポート 443 を使用できない場合があります。組織がこれに該当する場合は、回避策を構成する追加手順の詳細について、「ポータルの ArcGIS Web Adaptor にデフォルト以外のポートを使用する」をご参照ください。
サーバー証明書を取得し、ArcGIS Web Adaptor をホストしている Web サイトに関連付ける必要があります。証明書を読み込み、Web サイトに関連付ける手順は Web サーバーごとに異なります。
また、HTTPS を通じてセキュアなサービスに正しくアクセスできるように、Web サーバーがクライアント証明書を無視するように設定されていることを確認します。
サーバー証明書の作成
ArcGIS Web Adaptor とポータルの間で HTTPS 接続を作成できるようにするには、Web サーバーにサーバー証明書が必要です。証明書は、Web サーバーのアイデンティティに関する情報を含むデジタル ファイルです。SSL 証明書には、Web サーバーとポータル間のセキュリティで保護されたチャンネルを確立するときに使用される、暗号化の手法も含まれます。証明書は、Web サイトの所有者が作成してデジタル署名する必要があります。証明書には、CA 署名、ドメイン、自己署名の 3 種類があります。次に、それぞれの証明書について説明します。
CA 署名証明書
運用システムには、認証機関 (CA) が署名した証明書を使用します。特に、組織外のユーザーが ArcGIS Enterprise ポータルにアクセスする場合は、その必要があります。たとえば、ポータルがファイアウォールの内側になく、インターネット経由でアクセスできる場合、CA 署名証明書を使用すると、組織外のクライアントに対して Web サイトのアイデンティティが確認済みであることを保証できます。
証明書は、Web サイトの所有者による署名に加えて、独立した CA で署名される場合があります。通常、CA は Web サイトの信頼性を証明できる信頼された第三者機関です。Web サイトが信頼できる場合、CA は独自のデジタル署名を Web サイトの自己署名証明書に追加します。これにより Web クライアントに対して、Web サイトのアイデンティティが確認済みであることを保証します。
よく知られた CA によって発行された証明書を使用する場合、サーバーと Web クライアント間のセキュリティで保護された通信は自動的に行われます。ユーザーが特別な操作を行う必要はありません。Web サイトは CA によって確認済みであるため、Web ブラウザーが予期しない動作を起こしたり、警告メッセージを表示したりすることはありません。
ドメイン証明書
ポータルがファイアウォールの内側にあり、CA 署名証明書を使用できない場合、ドメイン証明書が条件にあったソリューションです。ドメイン証明書は、組織の認証機関が署名した内部の証明書です。ドメイン証明書を使用すると、信頼された内部での使用のために組織内で簡単に作成できるため、証明書の発行コストを削減し、証明書の配置が容易になります。
Web サイトはドメイン証明書によって確認されているため、ドメイン内のユーザーは、自己署名証明書で通常発生する予期しない動作や警告メッセージを経験することはありません。ただし、ドメイン証明書は外部の CA によって整合チェックされていないため、ドメイン外部のサイトのユーザーには、証明書が本当に主張しているとおりの組織を表しているかを確認する方法がありません。外部ユーザーのブラウザーには、このサイトが信頼されていないことを示す警告が表示されます。このため、ユーザーが実際は悪意のある相手と通信していると考え、サイトから移動してしまう可能性があります。
自己署名証明書
自己署名証明書は、ポータルのすべてのユーザーに対して予期しない結果やパフォーマンスの低下を引き起こす可能性があるため、運用環境に有効なオプションと考えるべきではありません。
Web サイトの所有者のみによって署名された証明書を、自己署名証明書と呼びます。一般的に自己署名証明書は、組織の内部 (LAN) ネットワークのユーザーだけが利用する Web サイトで使用されます。自社のネットワークの外部にある、自己署名証明書を使用している Web サイトと通信する場合、証明書を発行しているサイトが本当に主張しているとおりの組織であるかを確認する方法はありません。実際、悪意のある相手と通信して、情報を危険にさらす可能性があります。
ポータルを最初に設定するときは、構成が正しいことを簡単に確認する初期テストを実行するために、自己署名証明書を使用することがあります。ただし、自己署名証明書を使用する場合は、テスト中に以下の状況が生じます。
- 信頼されないサイトに関する Web ブラウザーと ArcGIS Desktop の警告メッセージが表示されます。Web ブラウザーは、自己署名証明書を検出すると、通常は警告を表示し、そのサイトに移動するか確認します。多くのブラウザーは、自己署名証明書を使用した場合、アドレス バーに警告アイコンや赤色を表示します。ポータルで自己署名証明書を使用して構成している場合、この種の警告が表示されると考えるべきです。
- フェデレーション サービスをMap Viewerで開くこと、セキュリティ保護されたサービス アイテムをポータルに追加すること、フェデレーション サーバー上で ArcGIS Server Manager にログインすること、および Esri Maps for Office からポータルに接続することはできません。
- ホストされたサービスを印刷するとき、およびクライアント アプリケーションからポータルにアクセスするときに、予期しない動作が発生します。
- 自己署名証明書が Esri Maps for Office を実行しているコンピューター上にある [信頼されたルート証明機関] 証明書ストアにインストールされていない限り、Esri Maps for Office からポータルにサイン インできません。
注意:
上記の問題のリストは、自己署名証明書を使用したときに発生するすべてを事象を網羅しているわけではありません。ドメイン証明書または CA 署名証明を使用してポータルを完全にテストしてから配置することをお勧めします。
証明書と Web サイトの関連付け
自己署名証明書を作成したら、ArcGIS Web Adaptor をホストしている Web サイトにその証明書を関連付ける必要があります。関連付けとは、Web サイトのポート 443 を使用するように証明書を構成するプロセスのことを指します。
証明書を Web サイトに関連付ける手順は、プラットフォームと Web サーバーのバージョンによって異なります。手順については、システム管理者にお問い合わせいただくか、Web サーバーのマニュアルをご参照ください。
サイトのテスト
ポート 443 にバインドされる証明書を取得または作成したら、ArcGIS Web Adaptor をポータルで使用できるように構成できます。HTTPS URL (https://webadaptorhost.domain.com/webadaptorname/webadaptor など) を使用して ArcGIS Web Adaptor の構成ページにアクセスする必要があります。
ArcGIS Web Adaptor を構成したら、ポータル Web サイトへの HTTPS リクエスト (例: https://webadaptorhost.domain.com/webadaptorname/home) を作成して、HTTPS が正しく動作していることをテストする必要があります。自己署名証明書を使用してテストする場合、信頼できない接続を知らせるブラウザーの警告を閉じます。このため、通常は、自己署名証明書を使用しているサイトと通信できるように、ブラウザーに例外を追加します。
ポータルでの SSL の使用の詳細については、「セキュリティのベスト プラクティス」をご参照ください。