厳密な HTTPS 通信の実施

ArcGIS Server サイトの Web プロトコルが HTTPS のみ に設定されている場合でも、SSL ストリッピングとして知られる一連のセキュリティー攻撃に対して潜在的な脆弱性を持っています。この攻撃タイプは、サイトからユーザーの Web ブラウザーへの、HTTPS 要求のみを使用するように通知する通信の欠如を悪用します。攻撃者がポート 80 で ArcGIS Server サイトの偽のコピーを実行し、ユーザーのブラウザーからの最初の HTTP リクエストを傍受した場合、知られては困るユーザーのセキュリティー情報を入手できる可能性があります。

SSL ストリッピング攻撃に対するこの脆弱性を解消するために、HSTS (HTTP Strict Transport Security) プロトコルはこの通信をユーザーの Web ブラウザーに提供するようにサイトを構成します。 HSTS は、ArcGIS Server サイトで有効にできます。

サイトでの HSTS の有効化

サイトの ArcGIS Server Administrator Directory にあるセキュリティー構成文字列には、ブール型のプロパティ HSTSEnabled が含まれており、デフォルトで false に設定されています。このプロパティが true に更新されると、ArcGIS Server サイトは Web ブラウザーに対して、安全な HTTPS を使用したリクエストのみを送信するように指示します。これは Strict-Transport-Security ヘッダーを使用して行われ、その max-age プロパティで規定された後続の期間 (秒単位で指定) に HTTPS リクエストを必ず使用するようにブラウザーに指示します。この期間は 1 年間 (Strict-Transport-Security: max-age=31536000) に設定されています。

注意:

ユーザーが ArcGIS Web Adaptor またはリバースプロキシーサーバーを通じて ArcGIS Server サイトにアクセスする場合、サイトで HSTS を強制すると、予期しない結果が生じる可能性があります。 HSTS プロトコルによって送信されるヘッダーに従って、ユーザーの Web ブラウザーはこれらのデバイスに HTTPS リクエストのみを送信します。ArcGIS Web Adaptor をホストしている Web サーバーまたはリバースプロキシーサーバーが、HTTPS を使用しない他のアプリケーションを同時にホストしている場合、ユーザーはそれらの他のアプリケーションにアクセスできなくなります。 HSTS を有効にする前に、これらの依存関係が存在しないことを確認してください。

ArcGIS Server サイトで HSTS を有効にするには、次の手順を実行します。

https://gisserver.example.com:6443/arcgis/admin で ArcGIS Server Administrator Directory にサインインします。
security > config > update の順に移動します。
プロトコル パラメーターがまだ HTTPS のみ に設定されていない場合は、ここで設定します。
サイトプロトコルによって HTTP 通信が無効になると、HSTS (HTTP Strict Transport Security) の有効化 オプションが利用可能になります。このチェックボックスをオンにして HSTS を有効にし、更新をクリックします。
サーバーサイトが再起動すると、サイトにリクエストを送信するすべての Web ブラウザーに対して Strict-Transport-Security ヘッダーを返し始めます。

HTTP Strict Transport Security は、ArcGIS Enterprise で有効にすることもできます。