Edge Security Acceleration:リモート認証

仕組み

注意事項

• リモート認証を構成した後でも、認証に失敗したリクエストは引き続き DCDN ノードに到達します。DCDN ノードによってリクエストが拒否され、403 ステータスコードが返されますが、クライアントからのリクエストは DCDN のログに記録されます。

• リモート認証では、リクエストがユーザーの認証サーバに転送されて検証されるため、攻撃リクエストが DCDN POP によってブロックされた場合でも、最小限のデータ転送料金が発生します。クライアントが HTTPS を使用している場合は、攻撃リクエストのブロッキングにより DCDN POP のリソースが消費されるため、HTTPS リクエスト料金も課金されます。

• リモート認証では、ディレクトリ単位での認証範囲の設定はサポートされていません。ファイルタイプ単位でのみ認証範囲を設定できます。

操作手順

1. DCDN コンソールにログインします。

2. 左側のナビゲーションウィンドウで、ドメイン名 をクリックします。

3. ドメイン名 ページで、管理対象のドメイン名を検索し、設定 をクリックします。

4. ドメイン名の左側のナビゲーションツリーで、アクセス制御 をクリックします。

5. リモート認証 タブをクリックします。

   1. リモート認証 スイッチをオンにして、パラメーターを構成します。

      説明

      リモート認証を有効化すると、すべてのユーザーのリクエストが認証サーバに転送されて処理されます。リクエスト量が多いことが予想される場合は、認証サーバのパフォーマンスと容量が十分であることを確認してください。

      パラメーター		説明
      認証サーバーアドレス		認証サーバのパブリックにアクセス可能なアドレス。システムは入力されたアドレスの形式と値を検証します。 形式要件 アドレスは HTTP または HTTPS プロトコルを使用する必要があります。例： http://example.com/auth https://example.com/auth http://192.0.2.1/auth https://192.0.2.1/auth 値の要件 アドレスは 127.0.0.1 または localhost であってはなりません。
      リクエストメソッド		認証サーバがサポートするリクエストメソッド。選択肢は GET、HEAD、POST です。デフォルトのメソッドは GET です。
      ファイルタイプ		すべて：すべてのファイルタイプが認証対象になります。 指定済み：指定したファイルタイプのみが認証対象になります。 複数のファイルタイプを指定する場合は、縦棒 (|) で区切ります（例：mp4|flv）。 ファイルタイプは大文字と小文字を区別します。たとえば、.jpg と JPG は異なるファイルタイプとして扱われます。
      URL 署名パラメーター	保持するパラメーター	ユーザーのリクエスト URL からどのパラメーターを認証リクエストに含めるかを制御します。選択肢は すべてのパラメーターを保持、指定されたパラメーターを保持、すべての URL パラメーターを削除 です。 指定したパラメーターを保持する場合、複数のパラメーターは縦棒 (|) で区切ります（例：user|token）。 パラメーターは大文字と小文字を区別します。たとえば、key と KEY は異なるパラメーターとして扱われます。
      	カスタムパラメーター	DCDN POP が認証サーバに転送するリクエスト URL にカスタムパラメーターを追加します。カスタムのキーと値のペアを定義するか、DCDN コンソールのプリセット変数を使用できます。 カスタムパラメーターを定義する場合： 複数のパラメーターは縦棒 (|) で区切ります（例：token=$arg_token|vendor=ali_dcdn）。 パラメーターの値は大文字と小文字を区別します。たとえば、key と KEY は異なる値として扱われます。 プリセット変数を使用する場合、その値は DCDN が認証サーバに転送するリクエストに追加されます。 たとえば、$http_host 変数を選択すると、host=$http_host がリクエスト URL に追加されます。ここで、$http_host は元のリクエストの Host ヘッダーの値です。詳細については、「変数」をご参照ください。
      リクエストヘッダーパラメーター	保持するリクエストヘッダー	ユーザーのリクエストからどのヘッダーを認証リクエストに含めるかを制御します。選択肢は すべてのパラメーターを保持、指定されたパラメーターを保持、すべての URL パラメーターを削除 です。 指定したヘッダーを保持する場合、複数のヘッダーは縦棒 (|) で区切ります（例：user_agent|referer|cookies）。 ヘッダー名は大文字と小文字を区別しません。たとえば、http_remote_addr と HTTP_Remote_Addr は同じヘッダーとして扱われます。 説明 「すべてのパラメーターを保持」を選択した場合、DCDN ノードはデフォルトで Host ヘッダーを削除します。Host ヘッダーを保持する必要がある場合は、「指定したパラメーターを保持」または「カスタムパラメーターを追加」を使用してください。DCDN ノードが Host ヘッダーをデフォルトで削除するのは、DCDN ノードが認証サーバに転送する認証リクエストの Host ヘッダーが高速化ドメイン名になるため、認証サーバが認証リクエストを認識できず、404 ステータスコードが返され、認証が失敗する可能性があるためです。
      	カスタムパラメーター	DCDN POP が認証サーバに転送するリクエストにカスタムヘッダーを追加します。カスタムのキーと値のペアを定義するか、DCDN コンソールのプリセット変数を使用できます。 カスタムパラメーターを定義する場合： 複数のヘッダーは縦棒 (|) で区切ります（例：User-Agent=$http_user_agent|vendor=ali_dcdn）。 ヘッダー名は大文字と小文字を区別しません。たとえば、http_remote_addr と HTTP_Remote_Addr は同じヘッダーとして扱われます。 プリセット変数を使用する場合、その値は DCDN が認証サーバに転送するリクエストに追加されます。 たとえば、$http_host 変数を選択すると、host=$http_host がリクエスト URL に追加されます。ここで、$http_host は元のリクエストの Host ヘッダーの値です。詳細については、「変数」をご参照ください。
      返す HTTP ステータスコード	認証完了	説明： 認証サーバが認証成功時に DCDN に返す HTTP ステータスコード。複数のステータスコードをカンマで区切って指定できます。 例： このパラメーターを 200,206 に設定した場合、認証サーバからの応答が 200 または 206 であれば、認証が成功したとみなされます。 例外処理： 問題が発生した際にすべてのユーザーのトラフィックがブロックされないようにするため、認証サーバが成功リストまたは失敗リストに含まれないステータスコードを返した場合、DCDN POP はデフォルトでリクエストを許可します。
      	認証失敗	説明： 認証サーバが認証失敗時に DCDN に返す HTTP ステータスコード。複数のステータスコードをカンマで区切って指定できます。 例： このパラメーターを 400,403 に設定した場合、認証サーバからの応答が 400 または 403 であれば、認証が失敗したとみなされます。 例外処理： 問題が発生した際にすべてのユーザーのトラフィックがブロックされないようにするため、認証サーバが成功リストまたは失敗リストに含まれないステータスコードを返した場合、DCDN POP はデフォルトでリクエストを許可します。
      	その他のステータスコードを許可	はい：認証サーバが成功リストまたは失敗リストに含まれないステータスコードを返した場合、DCDN POP はユーザーのリクエストを許可します。これにより、予期しない応答によるサービス中断を防ぎます。 説明 例： 成功ステータスコードが 200 に設定されており、サーバが 201 を返した場合、リクエストは許可されます。 失敗ステータスコードが 403 に設定されており、サーバが 404 を返した場合、リクエストは許可されます。 いいえ：認証サーバが成功リストまたは失敗リストに含まれないステータスコードを返した場合、DCDN POP はユーザーのリクエストを拒否します。
      DCDN の認証失敗後のアクション	カスタム HTTP ステータスコード	リクエストの認証に失敗した場合に、DCDN POP がクライアントに返すステータスコード。 たとえば、これを 403 に設定すると、認証失敗時に DCDN POP がクライアントに 403 ステータスコードを返します。
      認証タイムアウト設定	タイムアウト	認証リクエストの時間制限です。タイマーは、DCDN POP がリクエストを送信すると開始され、DCDN POP がこの時間内に認証サーバから応答を受信しない場合、タイムアウトします。単位: ミリ秒。最大値は 3000 です。
      	タイムアウト後の対応	DCDN と認証サーバ間のデータのやり取りがタイムアウトした場合、DCDN はユーザーのリクエストに対してアクションを実行します。サポートされているアクションは 許可 と 拒否 です。それぞれの違いは以下のとおりです。 許可：認証がタイムアウトした場合、DCDN POP がユーザーのリクエストを許可します。 拒否：認証がタイムアウトした場合、DCDN POP がユーザーのリクエストを拒否し、上記で指定した カスタム HTTP ステータスコード を返します。

6. OK をクリックして構成を保存します。

   リモート認証の構成が完了すると、リモート認証 タブで設定を変更または無効化できます。

変数

よくある質問

• DCDN で URL 署名とリモート認証を同時に有効化できますか？

• リモート認証で認証サーバにプライベート IP アドレスを使用できますか？

• 認証サーバが成功コードでも失敗コードでもないステータスコードを返した場合、なぜ DCDN はデフォルトでリクエストを許可するのですか？

• リモート認証サーバが障害を起こしたり停止したりした場合、DCDN はデフォルトですべてのリクエストを許可しますか？