ArcGIS Notebook Server へのリバースプロキシーサーバーの設定

リバースプロキシーサーバーとは、境界ネットワーク (非武装地帯またはスクリーンサブネットとも呼ばれる) 内に配置され、インターネットからのリクエストを処理して内部ネットワーク内のコンピューターに転送するコンピューターです。リバースプロキシーサーバーは、リクエストを転送することで、組織サイトのファイアウォールの内側にあるコンピューターのアイデンティティーをマスクするため、インターネットユーザーによる直接的な攻撃から内部のコンピューターを保護できます。さらに進んでユーザーの内部ネットワークを外部ユーザーから保護するために、追加のセキュリティー機能をリバースプロキシーサーバーに実装できます。

組織のリバースプロキシーサーバーを使うよう ArcGIS Notebook Server サイトを構成することができます。これはオプションです。組織でリバースプロキシーを使用していない場合、またはリバースプロキシーを使用するよう ArcGIS Notebook Server サイトを構成しない場合は、ポータルへのサイトの構成に進んでください。

リバースプロキシーサーバーへの ArcGIS Notebook Server の追加

組織のリバースプロキシーサーバーは、対応する URL をプロキシーディレクティブに追加して ArcGIS Web Adaptor と通信するように構成する必要があります。

たとえば、リバースプロキシーサーバーとして Apache を使用している場合は、Apache Web サーバー構成ファイル httpd.conf で、ProxyPass ディレクティブに ArcGIS Web Adaptor の URL を以下のように追加する必要があります。

ProxyPass /notebook https://notebookserver.domain.com/notebook
ProxyPassReverse /notebook https://notebookserver.domain.com/notebook

ほとんどのリバースプロキシーサーバーには、構成可能なクライアント接続タイムアウトがあります。 Python カーネルと通信するために ArcGIS Notebook Server によって使用される WebSocket 接続は、接続タイムアウトに達すると切断され、ノートブック内に通知が表示されます。これが一定の間隔で (たとえば、カーネルへの再接続後 1 分、3 分、または 5 分ごとに) 発生する場合は、ネットワークパスへの接続タイムアウトを調べて、適宜増やす必要があります。

WebContextURL プロパティの設定

リバースプロキシーサーバーを使用している際に、サイトの URL の末尾がデフォルト文字列 /arcgis (すべて小文字) でない場合は、ArcGIS Notebook Server の WebContextURL プロパティも設定する必要があります。これにより、ArcGIS Notebook Server はリソースで正しい URL を構築して、エンドユーザーに送信することができます。

注意:

WebContextURL プロパティを使用して ArcGIS Notebook Server の URL がその ArcGIS Web Adaptor (/notebook など) に一致するように設定します。

WebContextURL プロパティを変更するには、次の手順を実行します:

管理者権限を持つユーザーとして、https://notebookserver.domain.com:11443/arcgis/admin の ArcGIS Notebook Server Administrator Directory にサインインします。
system > properties > update の順にクリックします。
Properties テキストボックスに次の JSON を挿入します。ArcGIS Notebook Server の URL は、ユーザーが組織のファイアウォールの外側から参照できる URL に置換します:
```
{
   "WebContextURL": "https://notebookserver.domain.com/notebook"
}
```
更新をクリックします。
ArcGIS Notebook Server を再起動します。 Windows では、ArcGIS Server の Windows サービスを再起動します。
ArcGIS Notebook Server を再起動します。 Linux では、インストールフォルダー内の stopnotebookserver.sh スクリプトと startnotebookserver.sh スクリプトを実行します。

リバースプロキシーヘッダーと ArcGIS Notebook Server

リバースプロキシーを ArcGIS Web Adaptor と統合する際は、リバースプロキシーサーバーによって送信されるヘッダー内に次のプロパティを設定する必要があります。

X-Forwarded-Host=<FQDN of reverse proxy server>

このプロパティがヘッダーに設定されている場合、ArcGIS Web Adaptor は、そのリバースプロキシーサーバーの URL に一致するリバースプロキシーサーバーにリクエストを返します。たとえば、ArcGIS Notebook Server Services Directory (https://reverseproxy.domain.com/arcgis/rest/services) に対するリクエストは、同じ URL としてクライアントに返されます。

X-Forwarded-Host ヘッダープロパティが設定されていない場合、ArcGIS Web Adaptor は、リクエストが転送された内部コンピューターの URL を返すことがあります (たとえば、https://reverseproxy.domain.com/arcgis/rest/services ではなく https://notebookserver.domain.com/arcgis/rest/services)。このような場合は、クライアントがこの URL にアクセスできなくなる (一般的に、ブラウザーの 404 エラーとして知られている) ため、問題が起こりがちになります。また、クライアントはその内部コンピューターについての情報を一部入手することにもなります。

クライアントと ArcGIS Web Adaptor の間の通信のトラブルシューティングを行う際は、リバースプロキシーサーバーで X-Forwarded-Host ヘッダープロパティを設定することをおすすめします。このプロパティの有無が通信障害の一般的な原因であるからです。このヘッダーの設定方法は、ユーザーのリバースプロキシーサーバーの実装によって異なります。

元のホストのヘッダーを渡す方法については、ユーザーのリバースプロキシーサーバーの製品ドキュメントをご参照ください。

可用性の高い ArcGIS Notebook Server サイトのリバースプロキシーサーバーの構成

1 つの ArcGIS Notebook Server サイトに登録されている ArcGIS Web Adaptor を実行する複数のバックエンドターゲットを持つリバースプロキシーサーバーを実装する場合は、考慮する必要がある追加の注意事項があります。

ArcGIS Notebook Server は、WebSocket 接続を使用して、Python カーネルと通信します。この WebSocket 接続は、リバースプロキシー構成によって管理される必要があるステートフルセッションを作成します。これはセッションスティッキネスと呼ばれ、実装にはレイヤー 7 (アプリケーション) ロードバランサーを必要とします。

以下によって、Apache で適切なセッションスティッキネスを実装できます。

Header add Set-Cookie "ROUTEID=.%{BALANCER_WORKER_ROUTE}e; path=/" env=BALANCER_ROUTE_CHANGED
<Proxy balancer://web_adaptors_https>
 BalancerMember https://notebook1.domain.com:443 route=notebook1
 BalancerMember https://notebook2.domain.com:443 route=notebook2
 BalancerMember https://notebook3.domain.com:443 route=notebook3
 ProxySet lbmethod=byrequests
 ProxySet stickysession=ROUTEID
</Proxy>

WSS (Secure WebSocket) 接続を同じバックエンドターゲットにプロキシーすることも重要です。

<Proxy balancer://web_adaptors_wss>
 BalancerMember wss://notebook1.domain.com:443 route=notebook1
 BalancerMember wss://notebook2.domain.com:443 route=notebook2
 BalancerMember wss://notebook3.domain.com:443 route=notebook3
 ProxySet lbmethod=byrequests
 ProxySet stickysession=ROUTEID
</Proxy>

例: ArcGIS Notebook Server への Apache と Tomcat の構成

任意の Web サーバーソフトウェアを使って ArcGIS Notebook Server にリバースプロキシーを構成できます。以下のワークフローサンプルでは、Apache HTTP Server と Apache Tomcat を使ってリバースプロキシーを設定する手順について説明します。これはあくまでリバースプロキシー構成の一例であり、必ずしもこれに従う必要はありません。

このワークフローサンプルでは、以下のソフトウェアとバージョンを使用し、ArcGIS Notebook Server としてすべて同じコンピューターにインストールします:

Red Hat Enterprise Linux Server 7.5
Apache HTTP Server, httpd 2.4.6
Apache Tomcat 9.0.20 / OpenJDK 1.8.0

これらのソフトウェアコンポーネントは分散アーキテクチャーに配置し、ArcGIS Notebook Server、Apache HTTP Server、Apache Tomcat をそれぞれ別のコンピューターに配置できます。

ArcGIS Notebook Server と Mirantis Container Runtime のインストールと構成が完了し、ArcGIS Web Adaptor インスタンスの Java Web サーバーへのインストールが完了していて構成が終わっていない状態で以下の手順を開始します。

Apache JServ Protocol (AJP) を使って、デフォルトで有効になっているポート 8080 で実行されるように Tomcat をインストールします。
Tomcat ではデフォルトでポート 8443 が有効になっていないため、SSL を有効にしてポート 8443 のコネクターを追加します。

これを行うには、SSL 証明書を生成して Tomcat 構成ファイルを編集し、コネクターに追加します。セキュリティー上のベストプラクティスとして、TLS バージョン 1.2 だけを有効にします。
```
...
sslProtocol="TLS" SSLProtocol="TLSv1.2"
...
```
既存の ArcGIS Web Adaptor (Java Platform) の arcgis.war ファイルを Tomcat にデプロイします。

たとえば、ArcGIS Web Adaptor の URL は /nbs です。
Apache HTTP Server をインストールします。

この例では、yum パッケージマネージャーを使用しています。また、yum を使って SSL 機能もインストールしています。
```
yum install httpd -y
yum install mod_ssl -y
```
ssl.conf ファイルで Apache HTTP Server の SSL 証明書を構成します。
プロキシールール (前のセクションで説明済み) を使って Apache httpd.conf ファイルを変更し、Tomcat の AJP ポートに ArcGIS Web Adaptor 呼び出しをプロキシーします。
```
ProxyPass /nbs ajp://myserver.acme.com:8009/nbs
ProxyPassReverse /nbs ajp://myserver.acme.com:8009/nbs
```
Apache HTTP Server ssl.conf ファイルで、プロキシールールを使って Tomcat の AJP ポートに ArcGIS Web Adaptor SSL 呼び出しをプロキシーします。 WebSocket ソケットリクエストが適切に処理されない場合、ArcGIS Notebooks が適切に開かないため、ArcGIS Notebook Server で使用される WebSocket リクエストもプロキシーすることが重要です。
```
SSLProxyEngine On
# Use RewriteEngine to handle WebSocket connection upgrades
RewriteEngine On
RewriteCond %{HTTP:Connection} Upgrade [NC]
RewriteCond %{HTTP:Upgrade} websocket [NC]
RewriteRule /(.*) wss://myserver.acme.com:8443/$1 [P,L]
<Location "/nbs">
    ProxyPreserveHost On
    ProxyPass ajp://myserver.acme.com:8009/nbs
    ProxyPassReverse ajp://myserver.acme.com:8009/nbs
</Location>
```
Apache HTTP Server サービスを再起動して構成の変更を適用します。
ArcGIS Notebook Server に ArcGIS Web Adaptor を構成します。

ArcGIS Notebook Server へのリバース プロキシー サーバーの設定

リバース プロキシー サーバーへの ArcGIS Notebook Server の追加