AX サーバー セキュリティの推奨事項に従い、Analytics Exchange へのアクセスを統制し、機密性の高い監査データを安全に保持してください。
一般的なガイドラインとして、必要最低限の権限とアクセス許可を内容とする AX サーバー へのアクセス権を、必要最小限のアカウントに付与する必要があります。
"AX Service" アカウントの実行専用のドメイン ユーザー アカウントを使用する。以下のアカウント タイプはいっさい使用しないでください。
メモ
指定する専用のドメイン ユーザー アカウントは、Analytics Exchange にログインするユーザーを認証するための、Active Directory ドメイン コントローラーへのアクセス権が必要です。指定するアカウントが、期限が切れるパスワードを使用する場合は、パスワードを常に更新する処理を構築しておく必要があります。
Analytics Exchange の実行に使用するのと同じドメイン ユーザー アカウントを使用する。
AX Engine Node と Analytics Exchange サービスの実行に必要なアクセス許可は同じです。どちらを実行するのにも同じアカウントを使用するということは、1 つのアカウントのみを追跡すればよいということです。
まず各ユーザー アカウントを Windows ユーザー グループに追加して、AX サーバーでユーザーの権限とアクセス許可を管理する。AX サーバーで各ユーザー アカウントに権限とアクセス許可を付与する場合、ユーザー グループには次の 2 種類の選択肢があります。
メモ
以下の理由により、1 番目の選択肢の方が安全です。
両種類のグループのログオン権限およびフォルダーのアクセス許可については、後続のセクションで規定します。
ユーザーや AX Server 管理者のログイン試行の制限を無効にしないでください。ブルート フォースによるパスワード破りのリスクを軽減するため、Analytics Exchange ではデフォルトでログイン制限が有効になっています。
これらのデフォルト値は、deployerConfigContext.xml 構成ファイルで変更できます。
これらのデフォルト値は、admin-security.xml 構成ファイルで変更できます。
AX サーバーのインストールに関連する機密性の高い情報をすべて保護します。インストール処理中に、アカウント資格情報や構成設定などの機密性の高い情報が含まれるファイルを 1 つでも作成した場合は、そのファイルを安全な場所に保管する必要があります。
サーバーの構成に関する次のページにアクセスするには、管理者ユーザー名とパスワードによる認証が必要です。
これらのページのセキュリティを向上させる別の方法として、一連の IP アドレスでのみページにアクセスできるようにすることもできます。
メモ
アクセスを localhost に制限するには、構成ページにアクセスする際に、ブラウザーのアドレス バーに「127.0.0.1」と入力する必要があります。
これらのページへのアクセスを制限するには、次のファイルを ACL\App\Tomcat\conf\Catalina\localhost ディレクトリに追加し、許可する要求 IP アドレスを カンマ区切り一覧に入れて指定します。
<Context path="/manager" debug="0" privileged="true"> <!-- localhost にアクセスを制限します。--> <!-- 許可するサーバーをカンマ区切り一覧として追加します --> <Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="127.0.0.1"/> </Context>
<Context path="/aclconfig" debug="0" privileged="true"> <!-- localhost にアクセスを制限します。--> <!-- 許可するサーバーをカンマ区切り一覧として追加します --> <Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="127.0.0.1"/> </Context>
メモ
この変更を取り消し、IP 制限を解除するには、ACL\App\Tomcat\webapps\manager ディレクトリをバックアップし、Tomcat サービスを停止して、ACL\App\Tomcat\conf\Catalina\localhost に追加したファイルを削除します。これらの手順を完了したら、バックアップで manager フォルダーを上書きし、サービスを再起動します。
AX サーバー へのアクセスを必要とするアカウントに必須のログオン権限について、次のテーブルに示します。以下に規定されている内容以上のログオン権限をアカウントに付与しないでください。ログオン権限は、Windows セキュリティ ポリシーの［ユーザー権利の割り当て］領域に規定されています。
ログオン権限を制限することで、ユーザーが AX サーバーに不正アクセスを行うリスクが軽減されます。
|
ログオン権限 |
AX サービス アカウント （すべてのエンジン ノードを含む） |
PostgreSQL アカウント （データベース サーバーが Oracle の場合は非該当） |
AX ユーザー グループ アカウント （AX Client、AX Web Client、および AX Add-Ins のユーザー用の Windows ユーザー グループ） |
AX Connector アカウント （ACL Analytics ユーザー） |
|---|---|---|---|---|
|
ローカル ログオンを許可する |
いいえ |
いいえ |
いいえ |
はい （手動で割り当てる必要あり） |
|
ローカルでログオンを拒否する |
はい （手動で割り当てる必要あり） |
はい （手動で割り当てる必要あり） |
はい （手動で割り当てる必要あり） |
いいえ |
|
サービスとしてログオン |
はい （AX インストーラーによって自動的に割り当てられる） |
はい （AX インストーラーによって自動的に割り当てられる） |
いいえ |
いいえ |
注意
AX サーバーの "ACL" ディレクトリ全体または AX サーバーのオペレーティング システム ディレクトリへのアクセス許可を、個々のユーザーまたはユーザー グループに付与しないでください。このような設定は、セキュリティ上の大きなリスクが生じるため、お勧めできません。
AX サーバーへのアクセス権が必要なアカウントに付与する必要のあるフォルダーのアクセス許可について、次のテーブルに示します。以下に規定されている内容以上のフォルダー アクセス許可をアカウントに付与しないでください。
フォルダーのアクセス許可を必要なアカウントと必要なフォルダーのみに制限することで、ユーザーが AX サーバーに不正アクセスを行うリスクが軽減されます。また、ACL スクリプトが、該当するフォルダーの外部のファイルをアクセスしたり変更したりできないようにします。
|
AX サーバー上のフォルダー |
AX サービス アカウント （すべてのエンジン ノードを含む） |
PostgreSQL アカウント （データベース サーバーが Oracle の場合は非該当） |
AX ユーザー グループ アカウント （AX Client、AX Web Client、および AX Add-Ins のユーザー用の Windows ユーザー グループ） |
AX Connector アカウント （ACL Analytics ユーザー） |
|---|---|---|---|---|
|
ACL\App |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
アクセス許可なし |
|
ACL\App\analytic_engine\aclse\conf （AX コネクター構成フォルダー） |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
読み取り |
|
ACL\App\TomCat\conf （TomEE アプリケーション サーバー構成フォルダー） このサブフォルダーには、Analytics Exchange の機能を制御する設定ファイルが格納されます。AX サーバー をインストールすると、設定ファイルに、ハッシュされた資格情報やホスト名など機密性の高い情報が格納されることがあります。 |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
アクセス許可なし |
|
ACL\Data |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
アクセス許可なし |
|
ACL\Data\aclse\<ユーザー名> （AX ユーザーにドメイン ユーザー グループを使用する場合） |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
ユーザーに自身のサブフォルダーへのフル コントロールを付与 |
|
ACL\Data\aclse （AX ユーザーに AX サーバーのローカル "ユーザー" グループを使用している場合） |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
安全でない場合はフル コントロール 安全な場合はアクセス許可なし |
|
ACL\Data\jobs |
フル コントロール |
アクセス許可なし |
アクセス許可なし |
アクセス許可なし |
|
ACL\Data\savedfailedjobs |
フル コントロール |
アクセス許可なし |
アクセス許可なし |
アクセス許可なし |
|
ACL\Data\repository |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
読み取り |
|
ACL\Data\repository\datafiles （Analytics Exchange で保管されているソース データ ファイルが格納される） |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
読み取り |
|
ACL\Data\repository\upload |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
読み取り |
|
共有データ ファイル フォルダー （エンジン ノードまたは別のデータ ファイル サーバーを使用している場合） |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
読み取り |
|
アーカイブおよび復元データ ディレクトリ |
読み取り 書き込み |
アクセス許可なし |
アクセス許可なし |
アクセス許可なし |