このページ：では、デリゲートされたサブドメインごとにWeb Application Firewall （WAF） エグレス IPをJourney Optimizerで直接追加および管理します。これにより、ファイアウォールを経由するトラフィックのみがJourney Optimizerでホストされているリンクにアクセスできるようになります。
金融業界などの厳格なネットワークセキュリティ要件を持つ企業では、Adobe ネットワークにアクセスする前に、お客様が管理するWeb Application Firewall （WAF）を通じてAdobe Journey Optimizerがホストするリンクへのすべてのリクエストを送信するように義務付けることができます。 ファイアウォールを回避するリクエストは拒否する必要があります。
Journey Optimizerを使用すると、管理者は、デリゲートされたサブドメインごとに、WAFのパブリックエグレス IPを設定できます。 設定が完了すると、それらのIPから送信されたトラフィックのみが、対応するサブドメインに到達できます。 ファイアウォールをバイパスするダイレクトリクエストを含む、その他のあらゆるインバウンドリクエストは拒否されます。
仕組み waf-ip-allowlist-how-it-works
サブドメインに対してWAFのみのルーティングを有効にするには、次の2つの手順を実行する必要があります。
- DNS リポインティング: サブドメインのDNS レコードを更新して、Adobeのネットワークエッジに直接トラフィックをルーティングするのではなく、組織のWAFにトラフィックをルーティングする必要があります。
- WAF エグレス IP宣言：お客様の組織は、Journey OptimizerにWAFのパブリック エグレス IPを提供しています。 これは、ファイアウォールがAdobeにリクエストを送信するIPです。
両方を設定すると、トラフィックフローは次のように機能します。
-
受信者がAdobe Journey Optimizer通信のリンクをクリックしました。
-
リクエストは組織のWAFに到達し、セキュリティポリシーに従ってリクエストを検査し、フィルタリングします。
-
WAFは、宣言されたエグレス IPのいずれかから、リクエストをAdobeのネットワークエッジに転送します。
-
Journey Optimizerは、受信リクエストのソース IPをサブドメインの許可リストに照らして確認します。
- リクエストがWAFを経由し、正常に処理され→場合、IPが→一致します。
- IPがと一致しません→、リクエストはWAF → を回避し、403 Forbidden エラーで拒否されました。 受信者に壊れたリンクが表示される。
許可されたIPが設定されていないサブドメインのリクエストは影響を受けず、以前と同じように動作し続けます。
ガードレールと制約 waf-ip-allowlist-guardrails
誤ったWAF エグレス IPが保存された場合、Journey Optimizerはそのサブドメインに対するすべての受信リクエストを拒否します。これには、通信内のリンクをクリックした実際の受信者からの正当なリクエストも含まれます。403 エラーページが表示されます。
保存する前に、必ずセキュリティチームと正確な出力IPを確認し、可能であれば最初に実稼動以外のサブドメインでテストしてください。
許可されたIPへのアクセスと管理 waf-ip-allowlist-access
Web Application FirewallのIPを許可しているサブドメインのリストにアクセスするには、管理 > チャネル > 一般設定に移動し、許可リスト - IPを選択します。
在庫ページには、すべてのチャネルタイプ（電子メール、ランディングページ、SMS、Web）で、少なくとも1つのIPが許可されているすべてのサブドメインが一覧表示されます。 サブドメインの詳細については、この節を参照してください。
このリストには、サブドメインごとに許可されるIPの数と、最後の変更の作成者が表示されます。
チャネルタイプ別に在庫をフィルタリングし、サブドメイン名で検索できます。
許可リストにIPを追加 waf-ip-allowlist-add
特定のサブドメインの許可リストにIPを追加するには、次の手順に従います。
-
許可リスト- IP インベントリから、「許可IP」ボタンをクリックします。
-
「サブドメイン」ドロップダウンリストからターゲットサブドメインを選択します。 サポートされているすべてのチャネルタイプ（電子メール、ランディングページ、SMS、Web）に対して、 デリゲートされたサブドメイン のみが一覧表示されます。
-
「IP アドレス」フィールドに、WAFのパブリックエグレス IPを入力します。 IPv4、IPv6、およびCIDR範囲がサポートされています（例：
203.0.113.42、2001:db8::1、203.0.113.0/24）。有効な重複のない各エントリは、追加される前にインラインで検証されます。 サブドメイン ごとに最大 50個のIP エントリを追加できます。
note important IMPORTANT プライベートまたは予約済みのIP範囲（RFC 1918、ループバック、リンクローカル）を入力すると、警告が表示されます。 WAFのエグレス IPは通常、公開アドレスです。 -
必要に応じて、チップの✕ アイコンをクリックして、リストからIPを削除できます。
-
「保存」をクリックします。 許可リストが適用され、エッジに反映されます。 サブドメインがインベントリに表示され、そのIPがすぐに適用されます。
これで、このリストにないIPからこのサブドメインへのリクエストは拒否されます。
許可されたIPを編集 waf-ip-allowlist-edit
既存のサブドメインの許可されたIPを更新するには、インベントリ内のサブドメイン名をクリックします。
サブドメイン フィールドは読み取り専用のです。作成後に変更することはできません。
入力フィールドを使用して新しいIPを追加するか、各チップの✕ アイコンをクリックして既存のIPを削除します。
許可されたIPを削除 waf-ip-allowlist-remove
サブドメインの許可リストからすべてのIPを削除するには、インベントリの アクション 列の削除 アイコンを使用します。 これにより、そのサブドメインのWAF制限が完全に解除されます。
許可されたIP リストの「アクション」列の
確認ポップアップが開きます。 確認するサブドメイン名を正確に入力し、削除をクリックします。
すべてのIPを削除すると、サブドメインはインベントリに表示されなくなります。 このサブドメインのIPを再度追加することで、いつでも再設定できます。