セキュリティ保護された ASP.NET アプリケーションの構築 : 認証、認定、および通信のセキュリティ保護 第 6 章 エクストラネット セキュリティ

J.D. Meier, Alex Mackman, Michael Dunner, and Srinath Vasireddy
Microsoft Corporation

November 2002
日本語版最終更新日 2003 年 3 月 17 日

適用対象:
    Microsoft® ASP.NET

全体の概要については、「セキュリティ保護された ASP.NET アプリケーションの構築」の開始ページを参照してください。

要約 : この章では、一般的なエクストラネット アプリケーション シナリオをセキュリティで保護する方法について説明します。シナリオごとに、それぞれの特徴を示したうえで、セキュリティ対策として必要な設定について説明していきます。また、各シナリオの「分析」には、追加情報を挙げてあります。

目次

Web サービスの公開
Web アプリケーションの公開
まとめ

エクストラネット アプリケーションとは、2 つの企業または部門にまたがってリソースやアプリケーションを共有するアプリケーションをいいます。こうしたアプリケーションやリソースはインターネットに対して公開されます。エクストラネット アプリケーションに関する主要な課題の 1 つは、両方の当事者が納得できる認証方法を作成することです。こうした環境で使用可能な認証方法は限られてきます。場合によっては、既存の認証メカニズムと連携できることが条件となるからです。

エクストラネット アプリケーションの一般的な特徴は以下のとおりです。

• ユーザー アカウントに対してインターネット シナリオの場合より厳しい管理が必要となります。
• ユーザー アカウントに対する信頼レベルは、インターネットから利用されるアプリケーションの場合より高くなります。

この章では、以下のシナリオを使用し、認証、認定、通信のセキュリティ保護の推奨テクニックについて説明します。

• Web サービスの公開
• Web アプリケーションの公開

Web サービスの公開

ある企業とそのパートナー企業のデータ交換シナリオについて検討します。この場合、発行元企業がインターネット上でサービスを発行、販売します。この企業は、限定したパートナー企業に対し、Web サービスを使用して情報を公開します。各パートナー企業のユーザーは、社内のイントラネット ベースの Web アプリケーションを使用して Web サービスにアクセスします。このシナリオを図 6.1 に示します。

図 6.1 エクストラネットによる Web サービス企業とパートナー企業のデータ交換

特徴

このシナリオには次のような特徴があります。

• 発行元企業は、インターネット上で Web サービスを公開します。
• 発行元は、(個人ユーザーではなく) パートナー企業の資格情報 (X.509 クライアント証明書) を確認し、リソースへのアクセスを許可します。発行元は、パートナー企業における個々のユーザーのログインについて関知する必要はありません。
• クライアント証明書は、発行元企業側で Active Directory? ディレクトリ サービスのアカウントにマップされます。
• エクストラネットには、企業内の Active Directory とは別の Active Directory があります。エクストラネットの Active Directory は固有のフォレスト内にあり、独自の信頼関係エリアを形成します。
• Web サービス認定は、マップされた Active Directory アカウントに基づいて行います。各企業に固有の Active Directory アカウントで表されるパートナー企業 ID に基づく認定プロセスを使用することもできます。
• データベース アクセスには、ASP.NET Web サービス プロセス ID に対応する単一の信頼関係接続を使用します。
• Web サービスから取得されるデータは機密データであるため、転送中 (発行元企業の内部およびインターネット上) はセキュリティで保護する必要があります。

このシナリオのセキュリティ対策

このシナリオでは、各パートナー企業の内部 Web アプリケーションが Web サービスを使用して発行元企業からデータを取得し、ユーザーに提供します。発行元には、パートナー企業を認証するセキュリティ メカニズムが必要ですが、パートナー企業の各ユーザー ID の使用は、そのセキュリティ メカニズムでは適切ではありません。

2 つの企業がインターネットを介して交換するデータは機密性が高いため、転送時には SSL を使用して保護する必要があります。

エクストラネット パートナー企業の IP アドレスからの着信接続のみを許可するファイアウォールを使用して、それ以外の不正なインターネット ユーザーが Web サービス サーバーに接続するのを防止します。

表 6.1 セキュリティ対策

結果

このシナリオの推奨セキュリティ構成を図 6.2 に示します。

図 6.2 エクストラネットによる Web サービス企業とパートナー企業のデータ交換シナリオの推奨セキュリティ構成

セキュリティ構成の設定

作業を始める前に、以下のドキュメントを参照してください。

• カスタム ASP.NET アカウントの作成 (このガイドの「パート IV : 参照」の「 ASP.NET の実行に使用するカスタム アカウントの作成方法」を参照)
• 最低限の特権を持つデータベース アカウントの作成 (「第 12 章 データ アクセス セキュリティ」を参照)
• Web サーバーにおける SSL の構成 (このガイドの「パート IV : 参照」の「Web サーバー上で SSL を設定する方法」を参照)
• IPSec の構成 (このガイドの「パート IV : 参照」の「2 つのサーバー間の通信を IPSec で保護する方法」を参照)
• ファイアウォールを使用した環境での IPSec の設定 (Microsoft サポート技術情報の Knowledge Base の文書 233256「How to Enable IPSec Traffic Through a Firewall」を参照)
• SSL を使用した Web サービスの呼び出し (このガイドの「パート IV : 参照」の「SSL を使用して Web サービスを呼び出す方法」を参照)。このソリューション テクニックはパートナー企業において必要です。

パートナー アプリケーションの構成

この章では、パートナー アプリケーションとそのセキュリティ構成については詳しく扱いません。ただし、パートナー アプリケーションと Web サービスとの通信を円滑にするには、以下の点について考慮する必要があります。

• パートナー企業の Web アプリケーションでは、内部ユーザーの認証および認定を可能にする認証メカニズムを選択できます。内部ユーザーは、それ以上の認証を受けるために Web サービスまで送られることはありません。
• パートナー企業の Web アプリケーションがユーザーに代わって Web サービスを呼び出します。ユーザーが直接 Web サービスを呼び出すことはできません。
• パートナー企業の Web アプリケーションは、クライアント証明書を使用して、Web サービスに対してクライアントの身元を証明します。
• パートナー アプリケーションが ASP.NET Web アプリケーションである場合、そのアプリケーションは中間アウト プロセス コンポーネント (Enterprise Services アプリケーションまたは Windows サービス) を使用して、証明書を読み込み、Web サービスに渡す必要があります。
  この処理が必要となる理由と実行方法の詳細については、このガイドの「パート IV : 参照」の「ASP.NET からのクライアント証明書を使用して Web サービスを呼び出す方法」を参照してください。

エクストラネット Web サーバーの構成

<authentication mode="Forms">
  <forms name="MyAppFormsAuth" 
       loginUrl="login.aspx" 
       protection="All"
       timeout="20" 
       path="/" >
  </forms>
</authentication>

string encryptedTicket = FormsAuthentication.Encrypt(authTicket);