JEE 上の AEM Forms 環境の堅牢化

企業のイントラネット内で実行されているJEE上のAEM Formsのセキュリティを強化するための、様々なセキュリティ堅牢化設定について説明します。

この記事では、JEE 上の AEM Forms を実行するサーバーを保護するための推奨事項とベストプラクティスについて説明します。ここでは、オペレーティングシステムとアプリケーションサーバーのホストの堅牢化について包括的な説明はしません。企業のイントラネット内で実行しているJEE上のAEM Formsのセキュリティを強化するために実装する必要がある、様々なセキュリティ堅牢化設定について説明します。 なお、JEE 上の AEM Forms アプリケーションサーバーのセキュリティを確実に保つには、これだけでなく、セキュリティの監視、検出および応答の方策を実装することも必要です。

この記事では、インストールと設定の作業において、次の各段階で適用する堅牢化手法について説明します。

• インストール前：​この手法は、JEE 上の AEM Forms をインストールする前に実行します。
• インストール：この手 法は、JEE上のAEM Formsのインストールプロセスで使用します。
• インストール後：​この手法は、インストール終了後と、それ以降の定期的な管理作業として実行します。

JEE 上の AEM Forms は詳細なカスタマイズが可能で、様々な環境で動作します。推奨事項には、一部の組織のニーズに合わないものも含まれている可能性があります。

インストール前

JEE 上の AEM Forms をインストールする前には、ネットワーク層とオペレーティングシステムに対してセキュリティソリューションを適用することができます。ここでは、いくつかの問題と、この領域におけるセキュリティの脆弱性を減らすための推奨事項について説明します。

UNIX および Linux へのインストールと設定

JEE 上の AEM Forms のインストール作業や設定作業を実行するときは、ルートシェルを使用しないでください。デフォルトでは、ファイルは /opt ディレクトリの下にインストールされるので、インストールを実行するユーザーには /opt 以下のすべてのファイルの権限が必要です。または、各ユーザーには /user ディレクトリに対するすべてのファイル権限があらかじめ付与されているので、/user ディレクトリにインストールを実行することもできます。

Windows へのインストールと設定

自動オプションインストールを使用して JBoss に JEE 上の AEM Forms をインストールする場合、または PDF Generator をインストールする場合、Windows へのインストールは管理者として実行する必要があります。また、PDF Generator をネイティブアプリケーションサポートと共に Windows にインストールする場合は、Microsoft Office をインストールしたのと同じ Windows ユーザーとしてインストールを実行する必要があります。インストールの権限について詳しくは、使用しているアプリケーションサーバー版の『JEE*上のAEM Formsのインストールおよびデプロイ』ドキュメントを参照してください。

ネットワーク層のセキュリティ

ネットワークセキュリティの脆弱性は、インターネットまたはイントラネットに接続しているすべてのアプリケーションサーバーにとって、最も重大な脅威の 1 つです。ここでは、このような脆弱性に対してネットワーク上のホストを堅牢化する手順について説明します。具体的には、ネットワークのセグメント化、TCP/IP（Transmission Control Protocol/Internet Protocol）スタックの堅牢化、ホスト保護のためのファイアウォールの使用などの手順を取り上げます。

次の表では、ネットワークセキュリティの脆弱性を減らすための一般的なプロセスについて説明します。

オペレーティングシステムのセキュリティ

次の表では、オペレーティングシステムに存在するセキュリティの脆弱性を最小にするために役立つ方法について説明します。

オペレーティングシステムのセキュリティに関するその他の情報については、"オペレーティングシステムのセキュリティ情報"を参照してください。

インストール

ここでは、AEM Forms インストールプロセスで、セキュリティの脆弱性を減らすために使用できる方法について説明します。これらの方法では、状況によってはインストールプロセスのオプションを使用します。次の表では、各方法について解説します。

インストール後の手順

JEE 上の AEM Forms のインストールが完了したら、セキュリティ上の観点から、定期的に環境の保守を行うことが重要です。

次の節では、デプロイ済みの Forms サーバーを保護するための、各種の推奨タスクについて詳細に説明します。

AEM Forms のセキュリティ

次の推奨設定は、管理 Web アプリケーションの外にある JEE 上の AEM Forms サーバーに適用されます。サーバーのセキュリティリスクを軽減するには、この設定を JEE 上の AEM Forms のインストール直後に適用してください。

セキュリティパッチ

ベンダーのセキュリティパッチとアップデートが迅速に適用されない場合、権限のないユーザーがアプリケーションサーバーにアクセスするリスクが高まります。実稼働サーバーにセキュリティパッチを適用する場合は、事前にテストを実施し、 アプリケーションの互換性と可用性を確認した上で適用してください。また、パッチのチェックとインストールを定期的に行うためのポリシーと手続きを定めてください。JEE 上の AEM Forms のアップデートは Enterprise 製品のダウンロードサイトにあります。

サービスアカウント（Windows への JBoss 自動インストールのみ）

JEE 上の AEM Forms は、デフォルトでは、LocalSystem アカウントを使用してサービスをインストールします。組み込み LocalSystem ユーザーアカウントは、高いレベルのアクセス権限を付与されており、Administrators グループに属しています。ワーカープロセス ID を LocalSystem ユーザーアカウントで実行した場合、そのワーカープロセスはシステム全体に対してフルアクセス権限を持ちます。

JEE 上の AEM Forms のデプロイ先のアプリケーションサーバーを実行するには、次の手順に従って、管理者以外の固有のアカウントを使用してください。

1. Microsoft 管理コンソール（MMC）で、forms サーバーサービスへのログインに使用するローカルユーザーを作成します。

   • 「ユーザーはパスワードを変更できない」オプションを選択します。
   • 「所属するグループ」タブに、「ユーザー」グループが表示されていることを確認してください。
   メモ

   PDF Generator 用のこの設定は変更できません。

2. スタート／設定／管理ツール／サービス​を選択します。

3. JEE 上の AEM Forms 向けの JBoss をダブルクリックして、サービスを停止します。

4. 「ログオン」タブで、「アカウント」を選択し、作成したユーザーアカウントを参照して、アカウントのパスワードを入力します。

5. MMC で、「ローカルセキュリティ設定」を開き、ローカルポリシー／ユーザー権利の割り当て​を選択します。

6. forms サーバーを実行しているユーザーアカウントに、次の権限を割り当てます。

   • ターミナルサービスを使ったログオンを拒否する
   • ローカルでログオンを拒否する
   • サービスとしてログオン（通常は既に設定済み）

7. 次のディレクトリの新しいユーザーアカウントに変更権限を与えます。

   • グローバルドキュメントストレージ(GDS)ディレクトリ:GDSディレクトリの場所は、AEM Formsのインストールプロセス中に手動で設定します。インストール時に場所の設定が空のままの場合、[JBoss root]/server/[type]/svcnative/DocumentStorageにあるアプリケーションサーバーのインストール下のディレクトリがデフォルトの場所になります。
   • CRX-Repositoryディレクトリ:デフォルトの場所は [AEM-Forms-installation-location]\crx-repository
   • AEM Forms一時ディレクトリ:
     • （Windows）環境変数で設定されている TMP または TEMP パス
     • （AIX、Linux または Solaris）ログインユーザーのホームディレクトリUNIX 系のシステムでは、root 以外のユーザーは次のディレクトリを一時ディレクトリとして使用できます。
     • （Linux）/var/tmp or /usr/tmp
     • （AIX）/tmp or /usr/tmp
     • （Solaris）/var/tmp または /usr/tmp

8. 次のディレクトリに対する新しいユーザーアカウントの書き込み権限を付与します。

   • [JBoss-directory]\standalone\deployment
   • [JBoss-directory]\standalone\
   • [JBoss-directory]\bin\
   メモ

   JBoss Application Serverのデフォルトのインストール場所：

   • Windows:C:\Adobe\Adobe_Experience_Manager_Forms\jboss
   • Linux:/opt/jboss/

9. アプリケーションサーバーを起動します。

Configuration Manager ブートストラップサーブレットの無効化

Configuration Manager は、アプリケーションサーバーにデプロイ済みのサーブレットを利用して、JEE 上の AEM Forms データベースのブートストラップを実行します。Configuration Manager は、設定が完了する前にこのサーブレットにアクセスするので、承認済みユーザーのみにアクセスを限定するセキュリティは施されていません。Configuration Manager を使用して JEE 上の AEM Forms の設定を完了した後は、このサーブレットを無効にしてください。

1. adobe-livecycle-[appserver].earファイルを解凍します。

2. META-INF/application.xml ファイルを開きます。

3. adobe-bootstrapper.war セクションを検索します。

   <!-- bootstrapper start --> 
   <module id="WebApp_adobe_bootstrapper"> 
       <web> 
           <web-uri>adobe-bootstrapper.war</web-uri> 
           <context-root>/adobe-bootstrapper</context-root> 
       </web> 
   </module> 
   <module id="WebApp_adobe_lcm_bootstrapper_redirector"> 
       <web> 
           <web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri> 
           <context-root>/adobe-lcm-bootstrapper</context-root> 
       </web> 
   </module> 
   <!-- bootstrapper end-->
   

4. AEM Forms Server を停止します。

5. adobe-bootstrapper.war および adobe-lcm-bootstrapper-redirectory. war モジュールを次のようにコメントアウトします。

   <!-- bootstrapper start --> 
   <!-- 
   <module id="WebApp_adobe_bootstrapper"> 
       <web> 
           <web-uri>adobe-bootstrapper.war</web-uri> 
           <context-root>/adobe-bootstrapper</context-root> 
       </web> 
   </module> 
   <module id="WebApp_adobe_lcm_bootstrapper_redirector"> 
       <web> 
           <web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri> 
           <context-root>/adobe-lcm-bootstrapper</context-root> 
       </web> 
   </module> 
   --> 
   <!-- bootstrapper end-->
   

6. META-INF/application.xml ファイルを保存して閉じます。

7. EAR ファイルの zip ファイルを作成し、アプリケーションサーバーに再デプロイします。

8. AEM Forms サーバーを開始します。

9. 次のURLをブラウザーに入力して、変更をテストし、機能しないことを確認します。

   https://<localhost>:<port>/adobe-bootstrapper/bootstrap

Trust Store へのリモートアクセスのロックダウン

Configuration Manager を使用して、Acrobat Reader DC Extensions の資格情報を JEE 上の AEM Forms Trust Store にアップロードできます。つまり、リモートプロトコル（SOAP および EJB）経由の Trust Store 資格情報サービスへのアクセスは、デフォルトで有効になっています。このアクセスは、Configuration Managerを使用して使用権限秘密鍵証明書をアップロードした後、または管理コンソールを使用して秘密鍵証明書を後で管理する場合は、必要なくなります。

サービスへの不要なリモートアクセスの無効化の手順に従って、Trust Store の全サービスへのリモートアクセスを無効にすることができます。

すべての不要な匿名アクセスの無効化

一部の forms サーバーサービスには、匿名の呼び出しによって実行される操作があります。このようなサービスへの匿名アクセスが必要ない場合は、サービスへの不要な匿名アクセスの無効化の手順に従って、アクセスを無効にしてください。

デフォルトの管理者パスワードの変更

JEE 上の AEM Forms をインストールすると、上級管理者ユーザーまたはログイン ID 管理者ユーザーのために、デフォルトパスワードが「password」であるデフォルトユーザーアカウントが 1 つ設定されます。このパスワードは、Configuration Manager を使用して直ちに変更してください。

1. Web ブラウザーに次の URL を入力します。

   https://[host name]:[port]/adminui
   

   デフォルトのポート番号は次のいずれかです。

   JBoss： 8080

   WebLogic Server： 7001

   WebSphere： 9080

2. 「ユーザー名」フィールドに administrator と入力し、「パスワード」フィールドに password と入力します。

3. 設定／User Management／ユーザーとグループ​をクリックします。

4. 「administrator検索​」フィールドに と入力し、「検索」をクリックします。

5. ユーザーの一覧で「上級管理者」 をクリックします。

6. ユーザーを編集ページで「パスワードの変更」をクリックします。

7. 新しいパスワードを指定し、「保存」をクリックします。

次の手順を実行することで CRX 管理者のデフォルトパスワードの変更もお勧めします。

1. デフォルトのユーザー名/パスワードを使用してhttps://[server]:[port]/lc/libs/granite/security/content/useradmin.htmlにログインします。
2. 検索フィールドに「管理者」と入力し、「移動」をクリックします。
3. 検索結果から「管理者」を選択し、ユーザーインターフェイスの右下にある「編集」アイコンをクリックします。
4. 「新しいパスワード」フィールドに新しいパスワードを、「パスワード」フィールドに古いパスワードを指定します。
5. ユーザーインターフェイスの右下にある保存アイコンをクリックします。

WSDL の生成の無効化

Web Service Definition Language（WSDL）の生成は、開発者が WSDL の生成を使用してクライアントアプリケーションを構築する開発環境でのみ有効にしてください。実稼働環境では WSDL の生成を無効化して、サービスの内部詳細が公開されないようにすることができます。

1. Web ブラウザーに次の URL を入力します。

   https://[host name]:[port]/adminui
   

2. 設定／コアシステム設定／設定​をクリックします。

3. 「WSDL​を有効にする」を選択解除し、「OK」をクリックします。

アプリケーションサーバーのセキュリティ

次の表では、JEE 上の AEM Forms アプリケーションのインストール後に、アプリケーションサーバーを保護するために使用するいくつかの方法について説明します。

データベースのセキュリティ

データベースの保護を行う場合、データベースのベンダーが挙げている対策を実装することを慎重に検討してください。データベースのユーザーには、JEE 上の AEM Forms でデータベースを使用するために必要な最小限の権限を付与するようにします。例えば、データベースの管理権限を持つアカウントは使用しないでください。

Oracle では、データベースアカウントで使用する必要がある権限は、CONNECT、RESOURCE および CREATE VIEW だけです。他のデータベースについての同様の要件については、「JEE 上の AEM Forms のインストールの準備（シングルサーバー）」を参照してください。

Windows 上での統合セキュリティの設定（JBoss 版）

1. [JBOSS_HOME]\standalone\configuration\lc_{datasource.xml}を変更して、接続URLにintegratedSecurity=trueを追加します。次に例を示します。

    jdbc:sqlserver://<serverhost>:<port>;databaseName=<dbname>;integratedSecurity=true
   

2. アプリケーションサーバーを実行しているコンピューターの Windows システムパスに sqljdbc_auth.dll ファイルを追加します。sqljdbc_auth.dll ファイルは、Microsoft SQL JDBC 6.2.1.0 ドライバーのインストールフォルダー内にあります。

3. JBoss Windows サービス（JBoss for JEE 上の AEM Forms）のログオンプロパティを、ローカルシステムから、JEE 上の AEM Forms データベースと最低限の権限を持つログインアカウントに変更します。Windows サービスとしてではなく、コマンドラインから JBoss を実行している場合、この手順を行う必要はありません。

4. SQL Server のセキュリティを「混合」モードから「Windows 認証のみ」に変更します。

Windows 上での統合セキュリティの設定（WebLogic 版）

1. WebブラウザーのURL行に次のURLを入力して、WebLogic Server管理コンソールを開始します。

   https://[host name]:7001/console
   

2. Change Center で、「Lock & Edit」をクリックします。

3. 「Domain Structure」で、[base_domain]/Services/JDBC/Data Sources​をクリックし、右側のウィンドウで「IDP_DS」をクリックします。

4. 次の画面の「Configuration」タブで「Connection Pool」タブをクリックし、「Properties」ボックスに integratedSecurity=true と入力します。

5. 「Domain Structure」で、[base_domain]/Services/JDBC/Data Sources​をクリックし、右側のウィンドウで「RM_DS」をクリックします。

6. 次の画面の「Configuration」タブで「Connection Pool」タブをクリックし、「Properties」ボックスに integratedSecurity=true と入力します。

7. アプリケーションサーバーを実行しているコンピューターの Windows システムパスに sqljdbc_auth.dll ファイルを追加します。sqljdbc_auth.dll ファイルは、Microsoft SQL JDBC 6.2.1.0 ドライバーのインストールフォルダー内にあります。

8. SQL Server のセキュリティを「混合」モードから「Windows 認証のみ」に変更します。

Windows 上での統合セキュリティの設定（WebSphere 版）

WebSphere では、統合セキュリティを設定できるのは外部の SQL Server JDBC ドライバーを使用している場合のみです。WebSphere の埋め込みの SQL Server JDBC ドライバーを使用している場合は設定できません。

1. WebSphere Administrative Console にログインします。
2. ナビゲーションツリーで、Resources／JDBC／Data Sources をクリックし、右側のウィンドウで「IDP_DS」をクリックします。
3. 右側のウィンドウの「Additional Properties」で「Custom Properties」をクリックし、「New」をクリックします。
4. 「名前」ボックスにintegratedSecurityと入力し、「値」ボックスにtrueと入力します。
5. ナビゲーションツリーで、Resources／JDBC／Data Sources をクリックし、右側のウィンドウで「RM_DS」をクリックします。
6. 右側のウィンドウの「Additional Properties」で「Custom Properties」をクリックし、「New」をクリックします。
7. 「名前」ボックスにintegratedSecurityと入力し、「値」ボックスにtrueと入力します。
8. WebSphere がインストールされているコンピューター上で、Windows システムパス（C:¥Windows）に sqljdbc_auth.dll ファイルを追加します。sqljdbc_auth.dllファイルは、Microsoft SQL JDBC 1.2ドライバーのインストール先ディレクトリ（デフォルトは​[InstallDir]/sqljdbc_1.2/enu/auth/x86）と同じ場所にあります。
9. スタート／コントロールパネル／サービス​を選択し、WebSphere の Windows サービス（IBM WebSphere Application Server <version> - <node>）を右クリックして、「プロパティ」を選択します。
10. プロパティダイアログボックスで、「ログオン」タブをクリックします。
11. 「アカウント」を選択し、必要な情報を入力して、使用するログインアカウントを設定します。
12. SQL Server のセキュリティを「混合」モードから「Windows 認証のみ」に変更します。

データベース内の機密性の高い情報の保護

AEM Forms データベーススキーマには、システム設定やビジネスプロセスに関する機密性の高い情報が含まれているので、ファイアウォールの内側に隠しておく必要があります。データベースは、forms サーバーと同じ信頼境界内にあると見なされる必要があります。情報の意図しない開示やビジネスデータの盗難を防ぐために、データベース管理者（DBA）は、権限のある管理者のみにアクセスを制限するようにデータベースを設定する必要があります。

追加の予防策として、データベースベンダー固有のツールを使用して、次のデータを含むテーブルの列を暗号化することを考慮してください。

• Rights Management ドキュメントキー
• Trust Store HSM PIN 暗号化キー
• ローカルユーザーパスワードハッシュ

ベンダー固有のツールについて詳しくは、"Database security information"を参照してください。

LDAP のセキュリティ

LDAP（Lightweight Directory Access Protocol）ディレクトリは、通常、エンタープライズユーザーおよびグループ情報のソースとして、またパスワード認証実行の手段として JEE 上の AEM Forms で使用されます。LDAP ディレクトリが SSL（Secure Socket Layer）を使用するように設定されていること、および JEE 上の AEM Forms が SSL ポートを使用して LDAP ディレクトリにアクセスするように設定されていることを確認してください。

LDAP のサービス拒否

LDAP を使用した最もよく行われる攻撃は、攻撃者が大量の認証エラーを故意に引き起こすというものです。この攻撃を受けると、LDAP ディレクトリサーバーは、すべての LDAP 依存のサービスからユーザーをロックアウトしなければならなくなります。

試行できる認証エラーの回数と、それに伴うロックアウト時間の値を設定すると、AEM Forms への認証でユーザーが繰り返しエラーになったときに、AEM Forms がロックアウトを実行します。管理コンソールで、小さい値を選択します。 認証エラーの許容回数を選択するときは、許容回数に達した後に、LDAP ディレクトリサーバーより前に AEM Forms がユーザーをロックアウトすることを理解することが重要です。

自動アカウントロックの設定

1. 管理コンソールにログインします。
2. 設定／ユーザー管理／ドメイン管理​をクリックします。
3. 「自動アカウントロックの設定」で、「連続する認証エラーの最大回数」を 3 などの小さい値に設定します。
4. 「保存」をクリックします。

監査とログ

アプリケーションの監査およびログ機能を適切に保護した状態で使用することで、セキュリティを確保し、他の異常なイベントを追跡して、それらのイベントを可能な限り迅速に検出することができます。アプリケーション内における監査とログの効果的な使用には、成功したログインと失敗したログインの追跡、キーレコードの作成と削除などのキーアプリケーションイベントの追跡などが挙げられます。

監査を使用して、各種の攻撃を検出することができます。具体的には、以下のものがあります。

• ブルートフォースパスワードアタック
• サービス拒否攻撃
• 敵意のある入力値と関連するクラスのスクリプト挿入攻撃

次の表では、サーバーの脆弱性を減らすために使用できる監査およびログの方法について説明します。

管理者以外のユーザに対して、PDF Generatorの実行を許可する

管理者以外のユーザに対して、PDF Generatorの使用を許可することができます。通常は、管理者権限を持つユーザーのみがPDF Generatoを実行できます。管理者以外のユーザに対してPDF Generatorの実行を許可するには、次の手順を実行します。

1. 「PDFG_NON_ADMIN_ENABLED」という名前の環境変数を作成します。

2. 変数の値を TRUE に設定します。

3. AEM Forms のインスタンスを再起動します。

社外からのアクセスを可能にするための JEE 上の AEM Forms の設定

JEE 上の AEM Forms のインストールが完了したら、定期的に環境のセキュリティの保守を行うことが重要です。ここでは、JEE 上の AEM Forms 実稼働サーバーのセキュリティを維持するための推奨タスクについて説明します。

Web アクセスのリバースプロキシの設定

「リバースプロキシ」は、1 セットの JEE 上の AEM Forms Web アプリケーションの URL を、外部ユーザーと内部ユーザーの両方から利用できるように設定するものです。この設定は、JEE 上の AEM Forms を実行するアプリケーションサーバーへのユーザーの直接接続を許可する方法よりも、高いセキュリティで保護されます。リバースプロキシは、JEE 上の AEM Forms を実行しているアプリケーションサーバーに対するすべての HTTP 要求を実行します。ユーザーは、リバースプロキシに対するネットワークアクセスしか持たないので、リバースプロキシでサポートされている URL 接続のみを試みることができます。

リバースプロキシサーバーで使用する、JEE上のAEM FormsのルートURL

次のアプリケーションルート URL は、各 JEE 上の AEM Forms Web アプリケーションのものです。リバースプロキシは、エンドユーザーに提供する Web アプリケーション機能の URL だけを公開するように設定する必要があります。

一部の URL は、エンドユーザーが使用する Web アプリケーションを示しています。Configuration Manager のその他の URL は、リバースプロキシ経由の外部ユーザーのアクセスを許可しないので、公開しないでください。

クロスサイト要求偽造攻撃からの保護

クロスサイト要求偽造(CSRF)攻撃は、Webサイトがユーザーに対して持つ信頼を悪用し、ユーザーが許可していないコマンドを送信します。 この攻撃は、Webページにリンクやスクリプトを含めるか、電子メールメッセージにURLを含めて、ユーザーが既に認証されている別のサイトにアクセスすることで行われます。

例えば、別のWebサイトを参照しながら管理コンソールにログインしている場合があります。 CSRF 攻撃者は、このような状況を狙って、閲覧されるサイトの Web ページに含まれている HTML img タグの src 属性などに、攻撃対象 Web サイト内のサーバー側スクリプトを参照する URL を記述しておきます。Web ブラウザーに備わっている Cookie ベースのセッション認証メカニズムにより、攻撃者の Web サイトは正当なユーザーを装って、攻撃対象のサーバー側スクリプトに悪意ある要求を送信することができます。その他の例については、https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)#Examples を参照してください。

CSRF に共通の特性を次に示します。

• ユーザーの ID を信頼したサイトに関与する。
• その ID に対するサイトの信頼を利用する。
• ユーザーのブラウザーをだましてターゲットサイトに HTTP 要求を送信させる。
• 副次的な悪影響のある HTTP 要求に関与する。

JEE上のAEM Formsは、転送者フィルター機能を使用してCSRF攻撃を防ぎます。 この節では、転送者のフィルタリングメカニズムについて次の用語を使用します。

• 許可されている転送者: 転送者は、リクエストをサーバーに送信するソースページのアドレスです。JSPページまたはフォームの場合、転送者は通常、閲覧履歴の前のページになります。 画像の転送者は、通常、画像が表示されるページです。 サーバーリソースへのアクセスが許可されている転送者は、許可されている転送者リストに追加することで識別できます。
• 許可されている転送者の例外：許可さ れている転送者リスト内の特定の転送者に対するアクセス範囲を制限することができます。この制限を適用するには、その転送者の個々のパスを「許可されている転送者の例外」リストに追加します。 許可されている転送者の例外リストーのパスから要求を受け取った場合、formsサーバー上のリソースは呼び出されません。 許可されている転送者の例外は、特定のアプリケーションに対して定義できます。また、すべてのアプリケーションに適用される例外のグローバルリストを使用することもできます。
• 許可されているURI: これは、転送者ヘッダーを確認せずに提供されるリソースのリストです。例えば、サーバーの状態に変更を加えることのない、リソースのヘルプページをこのリストに追加できます。許可されているURIリストー内のリソースは、転送者の種類に関係なく、転送者フィルターでブロックされることはありません。
• Null転送者：親Webページに関連付けられていない、または親Webページから派生していない転送者リクエストは、Nullサーバーからのリクエストと見なされます。 例えば、新しいブラウザーウィンドウを開き、アドレスを入力してEnterキーを押すと、サーバーに送信される転送者はNULLになります。 WebサーバーにHTTPリクエストを送信するデスクトップアプリケーション（.NETまたはSWING）も、Null転送者をサーバーに送信します。

転送者フィルタ

転送者のフィルタリング処理は、次のように説明できます。

1. forms サーバーが、呼び出しに使用される HTTP メソッドを確認します。

   1. POSTの場合は、formsサーバーが転送者ヘッダーの確認を実行します。
   2. GETの場合、formsサーバーは転送者チェックをバイパスします。ただし、CSRF_CHECK_GETS​がtrueに設定されている場合は除きます。この場合、転送者ヘッダーの確認が実行されます。 CSRF_CHECK_GETS は、アプリケーションの web.xml ファイル内に設定されます。

2. formsサーバーは、要求されたURIが許可リストーに存在するかどうかを確認します。

   1. URIが許可されている場合、サーバーは要求を受け入れます。
   2. 要求されたURIが許可されていない場合、サーバーは要求の転送者を取得します。

3. 要求に転送者が含まれている場合、サーバーはその転送者が許可されているかどうかを確認します。 許可されている場合は、転送者例外を確認します。

   1. 例外の場合、リクエストはブロックされます。
   2. 例外でない場合、要求はパスします。

4. 要求に転送者がない場合、サーバーはNull転送者が許可されているかどうかを確認します。

   1. Null転送者が許可されている場合、要求は渡されます。
   2. Null転送者が許可されていない場合は、要求されたURIがNull転送者の例外かどうかを確認し、それに応じて要求を処理します。

転送者フィルタリングの管理

JEE上のAEM Formsには、転送者リソースへのアクセスを許可する転送者を指定するサーバーフィルターが用意されています。 デフォルトでは、転送者フィルターは、安全なHTTPメソッド(GETなど)を使用する要求（CSRF_CHECK_GETS​がtrueに設定されていない場合）をフィルタリングしません。 「許可されている転送者」エントリのポート番号が0に設定されている場合、JEE上のAEM Formsは、ポート番号に関係なく、そのホストからの転送者を持つすべての要求を許可します。 ポート番号が指定されていない場合は、デフォルトのポート 80（HTTP）またはポート 443（HTTPS）からの要求のみが許可されます。「転送者のフィルタ」は、「許可されている転送者」リストのすべてのエントリが削除された場合は無効になります。

ドキュメントサービスを最初にインストールすると、許可されている転送者のリストは、ドキュメントサービスがインストールされているサーバーのアドレスで更新されます。 サーバーのエントリには、サーバー名、IPv4 アドレス、IPv6 アドレス（IPv6 が有効の場合）、ループバックアドレス、localhost エントリなどがあります。「許可されている転送者」リストに追加された名前は、ホストのオペレーティングシステムによって返されます。 例えば、IPアドレスが10.40.54.187のサーバーには、次のエントリが含まれます。https://server-name:0, https://10.40.54.187:0, https://127.0.0.1:0, http://localhost:0. ホストオペレーティングシステムによって返された修飾されていない名前（IPv4アドレス、IPv6アドレス、または修飾ドメイン名を持たない名前）の許可リストは更新されません。 ビジネス環境に合わせて「許可されている転送者」リストを変更します。 実稼働環境にformsサーバーをデプロイする際に、デフォルトの許可されている転送者リストを使用しないでください。 許可されている転送者、転送者の例外、またはURIを変更した後は、必ずサーバーを再起動して、変更を有効にしてください。

許可されている転送者リストの管理

許可されている転送者リストは、管理コンソールのUser Managementインターフェイスから管理できます。 User Management インターフェイスを使用すると、リストを作成、編集または削除できます。許可される転送者リストの使用方法の詳細については、管理ヘルプ​の CSRF攻撃の防止​の節を参照してください。

許可されている転送者例外と許可されているURIリストの管理

JEE上のAEM Formsは、許可されている転送者の例外リストと許可されているURIリストを管理するためのAPIを提供しています。 この API を使用すると、リストを取得、作成、編集または削除できます。使用可能な API のリストを次に示します。

• createAllowedURIsList
• getAllowedURIsList
• updateAllowedURIsList
• deleteAllowedURIsList
• addAllowedRefererExceptions
• getAllowedRefererExceptions
• updateAllowedRefererExceptions
• deleteAllowedRefererExceptions

APIについて詳しくは、「* JEE上のAEM FormsAPIリファレンス*」を参照してください。

許可されている転送者の例外に対しては、グローバルレベルで​LC_GLOBAL_ALLOWED_REFERER_EXCEPTION​リストを使用します。つまり、すべてのアプリケーションに適用される例外を定義します。 このリストーには、絶対パス(/index.html)または相対パス(例：/sample/)。 相対URIの末尾に正規式を付加することもできます。例えば、/sample/(.)*.

LC_GLOBAL_ALLOWED_REFERER_EXCEPTION リスト ID は、UMConstants 名前空間の com.adobe.idp.um.api クラスで定数として定義されており、adobe-usermanager-client.jar にあります。この AEM Forms API を使用すると、リストを取得、作成、編集または削除できます。例えば、グローバル許可転送者の例外リストを作成するには、次を使用します。

addAllowedRefererExceptions(UMConstants.LC_GLOBAL_ALLOWED_REFERER_EXCEPTION, Arrays.asList("/index.html", "/sample/(.)*"))

アプリケーション固有の例外については、CSRF_ALLOWED_REFERER_EXCEPTIONS リストを使用します。

転送者フィルタの無効化

「転送者フィルター」でformsサーバーへのアクセスが完全にブロックされ、「許可されている転送者」リストを編集できないイベントでは、サーバー起動スクリプトを更新し、転送者のフィルタリングを無効にできます。

-Dlc.um.csrffilter.disabled=true JAVA引数を起動スクリプトに含めて、サーバーを再起動します。 「許可されている転送者」リストを適切に再設定したら、JAVA引数を削除してください。

カスタムWARファイルの転送者フィルタリング

管理者は、ビジネス要件に合わせて JEE 上の AEM Forms を操作するためのカスタム WAR ファイルを用意している場合があります。カスタムWARファイルで転送者フィルタリングを有効にするには、WARのクラスパスに​adobe-usermanager-client.jar​を含め、次のパラメーターを指定して* web.xml*ファイルにフィルターエントリを含めます。

CSRF_CHECK_ GETSは、GET要求に対する転送者チェックを制御します。このパラメーターが定義されていない場合、デフォルト値は false に設定されます。このパラメーターは、GET 要求をフィルタリングする場合にのみ指定します。

CSRF_ALLOWED_REFERER_ EXCEPTIONSは、許可されている転送者の例外リストのIDです。転送者フィルターを使用すると、リストIDで識別されるリスト内の転送者からの要求や、formsサーバー上のリソースを呼び出すことができません。

CSRF_ALLOWED_URIS_LIST_NAME は、許可されている URI リストの ID です。転送者フィルターは、要求の転送者ヘッダーの値に関係なく、リストIDで識別されるリスト内のリソースに対する要求をブロックしません。

CSRF_ALLOW_NULL_ REFERERは、転送者がnullの場合または存在しない場合の転送者フィルターの動作を制御します。このパラメーターが定義されていない場合、デフォルト値は false に設定されます。このパラメーターは、Null転送者を許可する場合にのみ指定します。 null転送者を許可すると、一部の種類のクロスサイト要求偽造攻撃が可能になる場合があります。

CSRF_NULL_REFERER_ EXCEPTIONSは、転送者がnullの場合に転送者チェックが実行されないURIのリストです。このパラメーターは、CSRF_ALLOW_NULL_REFERER が false に設定されている場合にのみ有効です。リスト内で複数の URI を指定するときはコンマで区切ります。

サンプル WAR ファイルに対する web.xml ファイルのフィルターエントリの例を次に示します。

<filter> 
       <filter-name> filter-name </filter-name> 
       <filter-class> com.adobe.idp.um.auth.filter.RemoteCSRFFilter </filter-class> 
     <!-- default is false --> 
     <init-param> 
      <param-name> CSRF_ALLOW_NULL_REFERER </param-name> 
      <param-value> false </param-value> 
     </init-param> 
     <!-- default is false --> 
     <init-param> 
      <param-name> CSRF_CHECK_GETS </param-name> 
      <param-value> true </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
       <param-name> CSRF_NULL_REFERER_EXCEPTIONS </param-name> 
       <param-value> /SAMPLE/login, /SAMPLE/logout  </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
      <param-name> CSRF_ALLOWED_REFERER_EXCEPTIONS </param-name> 
      <param-value> SAMPLE_ALLOWED_REF_EXP_ID </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
      <param-name> CSRF_ALLOWED_URIS_LIST_NAME </param-name> 
      <param-value> SAMPLE_ALLOWED_URI_LIST_ID     </param-value> 
     </init-param> 
</filter> 
    ........ 
    <filter-mapping> 
      <filter-name> filter-name </filter-name> 
      <url-pattern>/*</url-pattern> 
    </filter-mapping>

トラブルシューティング

適切なサーバー要求が CSRF フィルターによってブロックされる場合は、次のいずれかを試してみてください。

• 拒否された要求に転送者ヘッダーが含まれる場合は、許可された転送者リストに追加することを慎重に検討します。 信頼で追加きる転送者のみ。
• 拒否された要求に転送者ヘッダーがない場合は、転送者ヘッダーを含めるようにクライアントアプリケーションを変更します。
• クライアントがブラウザーで動作できる場合は、そのデプロイメントモデルを試してみます。
• 最後の手段として、許可されている URI リストにリソースを追加できます。ただし、これは推奨設定ではありません。

ネットワーク設定の保護

ここでは、JEE 上の AEM Forms が必要とするプロトコルとポートについて説明し、保護されたネットワーク設定で JEE 上の AEM Forms をデプロイするための推奨事項を示します。

JEE 上の AEM Forms で使用されるネットワークプロトコル

前の節で説明したように、保護されたネットワークアーキテクチャを設定する場合、エンタープライズネットワーク内の JEE 上の AEM Forms と他のシステムのやり取りのために次のネットワークプロトコルが必要です。

アプリケーションサーバーのポート

ここでは、サポートしている各種のアプリケーションサーバーのデフォルトポート（および代替設定の範囲）について説明します。これらのポートについては、JEE 上の AEM Forms を実行しているアプリケーションサーバーに接続するクライアントに対して許可するネットワーク機能に応じて、内側のファイアウォール上で有効と無効を切り替える必要があります。

JBoss ポート

WebLogic ポート

WebSphere ポート

JEE上のAEM Formsが必要とするWebSphereポートについて詳しくは、WebSphere Application Server UIのPort number settingを参照してください。

SSL の設定

JEE物理アーキテクチャ上のAEM Formsで説明されている物理アーキテクチャを参照する場合は、使用するすべての接続に対してSSLを設定する必要があります。 特に SOAP 接続は、ネットワーク上にユーザー資格情報が公開されないように、すべて SSL 経由で行う必要があります。

JBoss、WebLogic および WebSphere 上で SSL を設定する手順については、管理ヘルプの「SSL の設定」を参照してください。

AEM Formsサーバー用に構成されたJVM (Java Virtual Machine)に証明書を読み込む方法については、AEM Formsワークベンチヘルプの「相互認証」の節を参照してください。

SSL リダイレクトの設定

SSL をサポートするようにアプリケーションサーバーを設定した後、 アプリケーションおよびサービスに対するすべての HTTP トラフィックは、SSL ポートを使用するように強制されます。

WebSphere または WebLogic で SSL リダイレクトを設定するには、使用しているアプリケーションサーバーのドキュメントを参照してください。

1. コマンドプロンプトを開き、/JBOSS_HOME/standalone/configurationディレクトリに移動して、次のコマンドを実行します。

   keytool -genkey -alias jboss7 -keyalg RSA -keystore server.keystore -validity 10950

2. JBOSS_HOME/standalone/configuration/standalone.xmlファイルを開いて編集します。

   <subsystem xmlns="urn:jboss:domain:web:1.1" native="false" default-virtual-server="default-host">要素の後に、次の詳細を追加します。

   <connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" enabled="true" secure="true" />

3. httpsコ追加ネクタ要素の次のコード：

   <connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true" enabled="true"> 
    <ssl name="jboss7_ssl" key-alias="jboss71" password="Tibco321" certificate-key-file="../standalone/configuration/server.keystore" protocol="TLSv1"/> 
    </connector>
   

   standalone.xmlファイルを保存して閉じます。

Windows 固有のセキュリティに関する推奨事項

ここでは、JEE 上の AEM Forms の実行に使用する場合の Windows 固有のセキュリティ推奨事項について説明します。

JBoss サービスアカウント

JEE 上の AEM Forms 自動インストールは、デフォルトで、ローカルシステムアカウントを使用してサービスアカウントを設定します。組み込みのローカルシステムユーザーアカウントは、高いレベルのアクセス権限を付与されており、Administrators グループに属しています。ワーカープロセス ID をローカルシステムユーザーアカウントで実行した場合、ワーカープロセスはシステム全体に対してフルアクセス権限を持ちます。

管理者以外のアカウントでのアプリケーションサーバーの実行

1. Microsoft 管理コンソール（MMC）で、forms サーバーサービスへのログインに使用するローカルユーザーを作成します。

   • 「ユーザーはパスワードを変更できない」オプションを選択します。
   • 「所属するグループ」タブに、「ユーザー」グループが表示されていることを確認してください。

2. 設定／管理ツール／サービス​を選択します。

3. アプリケーションサーバーサービスをダブルクリックし、サービスを停止します。

4. 「ログオン」タブで、「アカウント」を選択し、作成したユーザーアカウントを参照して、アカウントのパスワードを入力します。

5. ローカルセキュリティ設定ウィンドウの「ユーザー権利の割り当て」で、forms サーバーを実行しているユーザーアカウントに次の権限を付与します。

   • ターミナルサービスを使ったログオンを拒否する
   • ローカルxxに対するログを拒否する
   • サービスとしてログオン（通常は既に設定済み）

6. 次のディレクトリの新しいユーザーアカウントに変更権限を与えます。

   • グローバルドキュメントストレージ(GDS)ディレクトリ:GDSディレクトリの場所は、AEM Formsのインストールプロセス中に手動で設定します。インストール時に場所の設定が空のままの場合、[JBoss root]/server/[type]/svcnative/DocumentStorageにあるアプリケーションサーバーのインストール下のディレクトリがデフォルトの場所になります。
   • CRX-Repositoryディレクトリ:デフォルトの場所は [AEM-Forms-installation-location]\crx-repository
   • AEM Forms一時ディレクトリ:
     • （Windows）環境変数で設定されている TMP または TEMP パス
     • （AIX、Linux または Solaris）ログインユーザーのホームディレクトリUNIX 系のシステムでは、root 以外のユーザーは次のディレクトリを一時ディレクトリとして使用できます。
     • （Linux）/var/tmp or /usr/tmp
     • （AIX）/tmp or /usr/tmp
     • （Solaris）/var/tmp または /usr/tmp

7. 次のディレクトリに対する新しいユーザーアカウントの書き込み権限を付与します。

   • [JBoss-directory]\standalone\deployment
   • [JBoss-directory]\standalone\
   • [JBoss-directory]\bin\
   メモ

   JBoss Application Serverのデフォルトのインストール場所：

   • Windows:C:\Adobe\Adobe_Experience_Manager_Forms\jboss
   • Linux:/opt/jboss/.

8. アプリケーションサーバーサービスを起動します。

ファイルシステムのセキュリティ

JEE 上の AEM Forms は、次の方法でファイルシステムを利用します。

• ドキュメントの入力と出力を処理する際に使用する一時ファイルを格納する
• インストールしたソリューションコンポーネントのサポートに使用されるファイルをグローバルアーカイブストアに格納する
• ファイルシステムフォルダーからサービスへの入力として使用されるドロップファイルを監視フォルダーに格納する

forms サーバーサービスのドキュメントを送受信する方法として監視フォルダーを使用する場合、ファイルシステムのセキュリティを確保するために一層の予防策を講じる必要があります。ユーザーが監視フォルダーにコンテンツをドロップした場合、コンテンツは監視フォルダーを通じて公開されます。この場合、サービスは実際のエンドユーザーを認証していません。代わりに、フォルダーレベルに設定されている ACL と共有レベルセキュリティに応じて、サービスを呼び出して実行することのできるユーザーを決定しています。

JBoss 固有のセキュリティに関する推奨事項

ここでは、JEE上のAEM Formsを実行する際に使用するJBoss 7.0.6に固有のアプリケーションサーバー設定の推奨事項について説明します。

JBoss 管理コンソールおよび JMX コンソールの無効化

JBoss 管理コンソールと JMX コンソールへのアクセスは、自動インストールオプションを使用して JBoss に JEE 上の AEM Forms をインストールしたときに設定されます。独自の JBoss Application Server を使用している場合は、JBoss 管理コンソールおよび JMX 監視コンソールへのアクセスが保護されていることを確認してください。JMX 監視コンソールへのアクセスは、jmx-invoker-service.xml という JBoss 設定ファイルで設定されています。

ディレクトリ参照の無効化

管理コンソールにログインした後、URLを変更して、コンソールのディレクトリ一覧を参照できます。 例えば、URL を次のいずれかの URL に変更すると、ディレクトリ一覧が表示される場合があります。

https://<servername>:8080/adminui/secured/ 
https://<servername>:8080/um/

WebLogic 固有のセキュリティに関する推奨事項

ここでは、JEE 上の AEM Forms の実行時に WebLogic 9.1 を保護するためのアプリケーションサーバー設定の推奨事項について説明します。

ディレクトリ参照の無効化

weblogic.xml ファイルの index-directories プロパティを false に設定します。次に例を示します。

<container-descriptor> 
    <index-directory-enabled>false 
    </index-directory-enabled> 
</container-descriptor>

WebLogic SSL ポートの有効化

デフォルトでは、WebLogic はデフォルト SSL リスンポート 7002 を有効にしません。SSL を設定する前に、WebLogic Server 管理コンソールでこのポートを有効にしてください。

WebSphere 固有のセキュリティに関する推奨事項

ここでは、JEE 上の AEM Forms の実行時に WebSphere を保護するためのアプリケーションサーバー設定の推奨事項について説明します。

ディレクトリ参照の無効化

ibm-web-ext.xmlファイルのdirectoryBrowsingEnabledプロパティをfalseに設定します。

WebSphere 管理セキュリティの有効化

1. WebSphere Administrative Console にログインします。
2. ナビゲーションツリーで、セキュリティ > グローバルセキュリティ​に移動します。
3. 「Enable administrative security」を選択します。
4. 「Enable application security」および「Use Java 2 security」の選択を解除します。
5. 「OK」または「Apply」をクリックします。
6. 「Messages」ボックスで、「Save directly to the master configuration」をクリックします。