Product Documentation

Director展開環境の保護

May 06, 2016

この記事では、Directorの展開および構成時に使用すべき、システムのセキュリティを保護するための機能について説明します。

Microsoftインターネットインフォメーションサービス(IIS)の構成

制限されたIIS構成でDirectorを構成できます。 これはデフォルトのIIS構成ではありません。

ファイル拡張子

一覧にないファイル拡張子を禁止することができます。

Directorは要求のフィルタリングに、次のファイル拡張子が必要です。

  • .aspx
  • .css
  • .html
  • .js
  • png

Directorは要求のフィルタリングに、次のHTTP動詞が必要です。 次の一覧にない動詞を禁止できます。

  • GET
  • POST
  • HEAD

Directorは次を必要としません。

  • ISAPIフィルター
  • ISAPI拡張
  • CGIプログラム
  • FastCGIプログラム

Important

  • Directorには完全な信頼が必要です。 グローバル.NET信頼レベルを[High]またはそれ以下に設定しないでください。
  • Directorは個別のアプリケーションプールを保持します。Directorの設定を変更するには、Directorサイトを選択し変更します。

ユーザー権利の構成

Directorがインストールされると、そのアプリケーションプールには[サービスとしてログオン]のログオン権限と[プロセスのメモリ クォータの増加]、[セキュリティ監査の生成]、[プロセス レベル トークンの置き換え]の権限が付与されます。 これはアプリケーションプールが作成された時の通常のビヘイビアーです。

通常、これらのユーザー権利を変更する必要はありません。 これらの権限はDirectorでは使用されず自動的に無効になります。

Directorの証明書:

  • HTTPSを使用するために、信頼される証明書が構成され使用されます。

Directorの通信

実稼働環境では、Directorとサーバーの間で通信されるデータを保護するために、インターネットプロトコルセキュリティ(IPsec)またはHTTPSプロトコルを使用することをお勧めします。 IPsecは、インターネットプロトコルの標準機能拡張のセットです。インターネットプロトコルは、データ整合性と再生の保護により通信の認証と暗号化の機能を提供します。 IPsecはネットワーク層のプロトコルセットであるため、上位レベルのプロトコルでそのままIPSecを使用できます。 HTTPSは、SSL(Secure Sockets Layer)およびTLS(Transport Layer Security)プロトコルを使用して強力なデータ暗号化機能を提供します。

DirectorとXenApp/XenDesktopサーバー間のデータトラフィックを保護するには、TLS Relayを使用します。 詳しくは、「 Securing Citrix Director: OData Interface through TLS」のブログのアーティクルを参照してください。

Directorとユーザーデバイスの間の通信は、NetScaler GatewayおよびHTTPSで保護することをお勧めします。 DirectorでHTTPSを使用するには、認証サービスを提供するMicrosoftインターネットインフォメーションサービス(IIS)インスタンスでHTTPSを構成する必要があります。 IISが適切に構成されていない場合、Directorの通信にHTTPが使用されます。 実稼働環境では、Director へのすべてのユーザー接続が保護されるようにしてください。

Directorのセキュリティ境界による分離

Director と同じWebドメイン(ドメイン名とポート)にWebアプリケーションを展開すると、これらのWebアプリケーションの脆弱性によりDirector展開環境全体のセキュリティが低下する可能性があります。 セキュリティ境界を分離してセキュリティを強化するため、Webアプリケーションと異なるWebドメインにDirectorを展開することをお勧めします。