ESA のオリジン証明書機能を使用すると、オリジンプロトコルとポート、オリジン証明書の検証、および認証されたオリジンプルを構成できます。ESA の接続拠点（POP）がオリジンフェッチに使用するプロトコルとポートを指定できます。オリジン証明書の検証により、オリジンサーバーから返される証明書が有効であることが保証されます。オリジンサーバーが mTLS 相互認証を有効にしていて、ESA の ID を検証する必要がある場合は、認証されたオリジンプルを有効にして、2 つの当事者間のセキュリティ認証を実装します。
オリジンプロトコルとポートの設定
設定されている場合、ESA POP は、指定された オリジンプロトコルとポート を使用してリソースをリクエストします。
ESA コンソールで、[Web サイト] を選択し、管理する Web サイト名をクリックします。
左側のナビゲーションウィンドウで、 を選択します。
[back-to-origin プロトコルとポート] セクションで、[設定] をクリックし、[back-to-origin プロトコル]、[HTTP ポート]、および [HTTPS ポート] を設定します。
次のリストでは、オプションについて説明します。
オリジンプロトコル
クライアントと一致：デフォルト。クライアントが HTTP または HTTPS リクエストを送信すると、ESA POP はクライアントが使用したプロトコルを介してオリジンサーバーにリクエストをリダイレクトします。
HTTP：ESA POP は HTTP のみを使用してオリジンサーバーからコンテンツを取得します。
HTTPS：ESA POP は HTTPS のみを使用してオリジンサーバーからコンテンツを取得します。オリジンサーバーに有効な証明書があり、HTTPS が有効になっていることを確認してください。
HTTP ポート
ESA POP が HTTP プロトコルを介してオリジンからフェッチするオリジンポート。ポート値の範囲は 1 ～ 65535 です。
HTTPS ポート
ESA POP が HTTPS プロトコルを介してオリジンからフェッチするオリジンポート。ポート値の範囲は 1 ～ 65535 です。
デフォルト：ESA POP は、クライアントが使用したプロトコルを介してオリジンサーバーにリクエストをリダイレクトします。
[OK] をクリックします。
このオプションを設定しない場合、デフォルトで [クライアントと一致] が使用されます。
オリジン証明書の検証
デフォルトでは、ESA は、オリジンフェッチが HTTPS プロトコルを介して行われる場合、オリジン証明書を検証しません。オリジンフェッチトラフィックの悪意のあるハイジャックを防ぐために、Web サイトのセキュリティを強化したい場合は、オリジン証明書の検証 機能を有効にします。有効にすると、ESA は、有効期限、ドメイン名、ルート検証など、オリジンサーバーの証明書の詳細を確認します。検証に失敗すると、オリジンへのハンドシェイクが失敗し、クライアントに 502 状態コードが返されます。
ルート証明書の検証
デフォルトでは、ESA は一連のルート証明書を使用してオリジン証明書を検証します。[オリジン証明書の検証] を有効にする前に、オリジン証明書が次のルート証明書によって発行されていることを確認してください。そうでない場合、検証は失敗します。
オリジン証明書の検証を有効にする
ESA コンソールで、[ウェブサイト] を選択し、管理するウェブサイト名をクリックします。
左側のナビゲーションウィンドウで、 を選択します。
[オリジン証明書の強制認証] セクションで、[オリジン証明書の強制認証] を有効にします。
認証済みオリジン プル
相互トランスポート層セキュリティ（mTLS）は、TLS プロトコルの拡張機能です。 mTLS では、クライアントとサーバーが相互に認証する必要があります。
ESA がオリジンサーバーからフェッチする場合、サーバーの証明書を受信して検証します。 mTLS が有効になっている場合、ESA は証明書をオリジンサーバーにも送信し、オリジンは ESA の ID を検証します。
認証済みオリジン プル（mTLS）を有効にして、中間者攻撃を防ぎ、オリジンサーバーへの不正なトラフィックを減らします。
認証済みオリジン プル
ESA コンソールで、[ウェブサイト] を選択し、管理するウェブサイト名をクリックします。
左側のナビゲーション ウィンドウで、 を選択します。
[back-to-origin 双方向認証 (mTLS)] セクションで、[back-to-origin 双方向認証 (mTLS)] を有効にします。
オリジンサーバーを構成する
認証済みオリジン プル機能が有効になると、デフォルトで ESA 証明書が使用されます。 次のルート証明書をダウンロードしてオリジンサーバーにデプロイし、オリジンが ESA の ID を検証できるようにします。
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----可用性
オリジン証明書 | Entrance | Pro | Premium | Enterprise |
オリジンプロトコルとポート | サポート対象外 | サポート対象 | サポート対象 | サポート対象 |