Web Application Firewall:ドメイン名の追加

前提条件

• WAFインスタンスが購入されました。 WAFインスタンスに追加されるドメイン名の数が上限に達していません。

  説明

  WAFインスタンスに追加できるドメイン名の総数は、インスタンスの仕様と購入した追加ドメイン名の数によって異なります。 詳細については、「追加ドメインパッケージ」をご参照ください。

• Web サイトが [中国本土] のサーバーにデプロイされている場合、WAF で保護されている間は、ドメイン名に有効な ICP 登録が必要です。

  説明

  [中国本土] の WAF インスタンスは、保護対象のドメイン名の ICP 登録ステータスを定期的に確認します。ICP 登録の有効期限が切れた場合、WAF は当該ドメイン名へのリクエストの転送を停止し、関連する法令に準拠するために設定をクリアする場合があります。

  • Web サイトが Alibaba Cloud にデプロイされている場合、Alibaba Cloud を通じて ICP 登録を完了する必要があります。

  • Web サイトが Alibaba Cloud にデプロイされていない場合は、Alibaba Cloud または別のクラウドプロバイダーに連絡して ICP 登録を完了できます。

手順

1. WAFコンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 リージョンは、中国本土または中国本土以外です。

2. 左側のナビゲーションウィンドウで、アセットセンター > Webサイトアクセスを選択します。

3. ドメイン名 タブで、Web サイトアクセス をクリックします。

   説明

   ドメイン名の追加 ページでは、アクセスモード がデフォルトで CNAME レコード に設定されています。

4. Web サイト情報を入力し、次へ をクリックします。

   パラメーター	説明
   [ドメイン名]	保護するドメイン名を入力します。www.aliyundoc.com のような完全一致ドメイン名、または *.aliyundoc.com のようなワイルドカードドメイン名を入力できます。入力できるドメイン名は 1 つのみです。 アンダースコア (_) を含むドメイン名はサポートされていません。 このドメイン名を初めて追加する場合は、続行する前に所有権を検証する必要があります。 ドメイン名の所有権を検証する方法 ドメイン名の所有権を検証する必要があります。次の 2 つの方法のいずれかを選択してください。 DNS レコード検証 (推奨)：DNS プロバイダーで、WAF が提供する TXT レコードを手動で追加します。 ファイル検証：WAF が提供する検証ファイルをオリジンサーバーのルートディレクトリにアップロードします。この方法では、オリジンサーバーへのアクセス権限が必要です。 DNS レコード検証 検証セクションで、方法 1: DNS 解決の検証 タブをクリックします。 WAF コンソールに表示される レコードタイプ、ホストレコード、レコード値 に基づいて、DNS プロバイダーで TXT レコードを追加します。 Alibaba Cloud DNS を使用している場合は、次の手順を実行します。別の DNS プロバイダーを使用している場合は、そのプロバイダーのシステムで同様の操作を実行してください。 Alibaba Cloud DNS コンソールにログインします。 インターネットの権威ある DNS 解決 ページで、対象のプライマリドメイン名を見つけ、解決設定 列の 解決設定 をクリックします。 Add Record をクリックします。レコードタイプ、ホストレコード、レコード値 を入力し、OK をクリックします。その他のパラメーターはデフォルト値のままにします。 レコードが追加されると、レコードのリストに表示されます。レコードはデフォルトで有効になります。ステータス は 有効化 です。 既存の TXT レコードを変更した場合、変更は TTL 期間 (デフォルトでは 10 分) 後に有効になります。 WAF コンソールに戻り、クリックして検証 をクリックします。 [検証成功] と表示された場合、ドメイン名の所有権が検証されています。 [検証失敗] と表示された場合は、次の手順に従って問題をトラブルシューティングしてください。 TXT レコードの確認：ホストレコードとレコード値が WAF コンソールに表示される詳細と一致していることを確認してください。異なる場合は、誤ったレコードを削除し、正しく追加し直してから、検証を再試行してください。 DNS プロパゲーションの待機：DNS の変更が反映されるまでに時間がかかる場合があります。検証を再試行する前に 10 分待つことを推奨します。 別の検証方法の使用：複数回試行しても検証が失敗する場合は、「方法 2：ファイル検証」を使用することを推奨します。 ファイル検証 検証セクションで、方法 2：ファイルの検証 タブをクリックします。 リンクをクリックして検証ファイルをダウンロードします。検証ファイル (ファイル名の形式は verify_xxxx.html) をダウンロードし、ドメイン名のルートディレクトリにファイルをアップロードし、プロトコルタイプ ([HTTP] または [HTTPS]) を選択し、[クリックして検証] をクリックして検証を完了します。 重要 検証ファイルは、ダウンロード後 3 日間のみ有効です。有効期間内にファイル検証を完了しない場合は、ファイルを再度ダウンロードする必要があります。 検証ファイルを開いたり、編集したり、名前を変更したりしないでください。 WAF は選択したプロトコルに基づいてオリジンサーバーにアクセスします。オリジンサーバーのセキュリティグループまたはファイアウォールルールでアクセスが許可されていることを確認してください。 [HTTP] を選択した場合、0.0.0.0/0 からの TCP ポート 80 経由のインバウンドトラフィックを許可する必要があります。 [HTTPS] を選択した場合、0.0.0.0/0 からの TCP ポート 443 経由のインバウンドトラフィックを許可する必要があります。 コンソールで指定されたオリジンサーバー (ECS、OSS、CVM、COS、EC2 インスタンスなど) のルートディレクトリに検証ファイルを手動でアップロードします。 説明 *.aliyun.com のようなワイルドカードドメイン名を追加する場合は、aliyun.com のルートディレクトリに検証ファイルをアップロードする必要があります。 アップロードが完了したら、次の方法で検証ファイルが正常にアップロードされたかどうかを確認できます。 WAF コンソールに戻り、クリックして検証 をクリックします。 [検証成功] と表示された場合、ドメイン名の所有権が検証されています。 [検証失敗] と表示された場合は、エラーメッセージに基づいて問題をトラブルシューティングしてください。 説明 ワイルドカードドメイン名は、アスタリスクの直下のレベルのすべてのサブドメインに一致します。たとえば、*.aliyundoc.com は www.aliyundoc.com と example.aliyundoc.com に一致しますが、www.example.aliyundoc.com には一致しません。 第 2 レベルのワイルドカードドメイン名は、対応する Apex ドメインには一致しません。たとえば、*.aliyundoc.com は aliyundoc.com に一致しません。 同様に、マルチレベルのワイルドカードドメイン名は、そのベースドメインには一致しません。たとえば、*.example.aliyundoc.com は example.aliyundoc.com に一致しません。 完全一致ドメイン名と、その完全一致ドメイン名に一致するワイルドカードドメイン名の両方に保護が設定されている場合、完全一致ドメイン名の保護ルールと転送設定が優先されます。
   [保護リソース]	使用する保護リソースのタイプを選択します。次のオプションがあります。 共有クラスター：このオプションがデフォルトで選択されています。 専用クラスター：このオプションは、Exclusive Edition の WAF インスタンスを使用している場合に選択できます。専用クラスターは、カスタマイズされたビジネス要件をサポートします。詳細については、「専用クラスターのベストプラクティス」をご参照ください。 ハイブリッドクラウドクラスター：ハイブリッドクラウドデプロイメントを使用している場合は、このオプションを選択します。詳細については、「WAF に Web サイトを追加する (Hybrid Cloud WAF)」をご参照ください。
   [プロトコルタイプ]	Web サイトが使用するプロトコルを選択します。次のオプションがあります。 [HTTP] [HTTPS] 重要 Web サイトが HTTPS 暗号化をサポートしている場合は、[HTTPS] を選択します。ドメイン名を追加した後、ドメイン名の証明書と秘密鍵のファイルをアップロードします。詳細については、「HTTPS 証明書のアップロード」をご参照ください。 [HTTPS] を選択した場合、次の機能も有効にできます。 (詳細設定) HTTPS ルーティングの有効化 この機能は、すべてのクライアント HTTP リクエストを自動的に HTTPS にリダイレクトします。WAF は、ポート 443 経由でリクエストをオリジンサーバーに転送します。 重要 [HTTP] プロトコルが選択されていない場合にのみ、この設定を有効にできます。 この設定を有効にする前に、Web サイトが HTTPS をサポートしていることを確認してください。この設定を有効にすると、一部のブラウザーでは Web サイトへのアクセスに HTTPS が強制される場合があります。 (詳細設定) HTTP back-to-origin の有効化 HTTP バックツーオリジンでは、クライアントのプロトコルに関わらず、WAF はすべてのリクエストを HTTP でオリジンサーバーに転送します。これにより、WAF で HTTPS を終端できるため、オリジンサーバーの負荷を軽減できます。 重要 Web サイトが HTTPS 経由のバックツーオリジンをサポートしていない場合は、この設定を有効にする必要があります。 (詳細設定) HTTPS ルーティングの有効化 も HTTP back-to-origin の有効化 も有効になっていない WAF は、クライアントが WAF へのアクセスに使用したのと同じプロトコルを使用してリクエストをオリジンサーバーに転送します (ポート 80 の場合は HTTP、ポート 443 の場合は HTTPS)。 Origin SNI の有効化 オリジン Server Name Indication (SNI) を使用すると、WAF はオリジンサーバーへの接続時の TLS ハンドシェイクで要求されたホスト名を指定できます。オリジンサーバーが単一の IP アドレスを使用して複数の Web サイト (仮想ホスト) をホストしている場合は、これを有効にします。 Origin SNI の有効化 を選択した後、SNI 拡張フィールドの値を指定できます。次のオプションがあります。 ホストヘッダーのドメイン名を使用 (デフォルト)：WAFからのバックツーオリジンリクエストにおけるSNI拡張フィールドの値は、リクエストヘッダーの Host フィールドの値と同じになります。 たとえば、Web サイトのドメイン名を *.aliyundoc.com として設定し、クライアントが www.aliyundoc.com (これが Host フィールド値) をリクエストした場合、WAF からのバックツーオリジンリクエストの SNI 拡張フィールドの値は www.aliyundoc.com になります。 ####：WAF からのバックツーオリジンリクエストの SNI 拡張フィールドの値をカスタマイズできます。 ほとんどの場合、SNI をカスタマイズする必要はありません。これが必要になるのは、ビジネス上の特別な要件があり、WAF が実際のリクエストの Host とは異なる SNI をバックツーオリジンリクエストで使用する必要がある場合のみです。 [HTTP/2] (このオプションは、[HTTPS] を選択した後にのみ利用可能です。) Web サイトが HTTP/2 をサポートしている場合は、この設定を有効にする必要があります。HTTP/2 のポートは HTTPS のポートと同じです。この設定を有効にした後は、HTTPS ポートを設定するだけで済みます。詳細については、「WAF FAQ」をご参照ください。 説明 WAF の Enterprise、Ultimate、Exclusive エディションのインスタンスのみが HTTP/2 をサポートします。
   [サーバーアドレス]	オリジンサーバーのアドレスを指定します。[IP] アドレスまたは ドメイン名 (CNAME など) を指定できます。WAF は、フィルタリングされたリクエストをこのアドレスに転送します。 IP アドレス：オリジンサーバーのパブリック IP アドレスを入力します。IP アドレスは、インターネット経由でアクセス可能である必要があります。 複数の IP アドレスを入力できます。各 IP アドレスを入力した後、Enter キーを押します。最大 20 個のオリジン IP アドレスを追加できます。 説明 複数の IP アドレスを指定すると、WAF はこれらのアドレス間でヘルスチェックと負荷分散を自動的に実行します。 中国本土以外の WAF インスタンスは、IPv4 アドレスのみをサポートします。中国本土の WAF インスタンスは、次の設定をサポートします。 IPv4 アドレスと IPv6 アドレスの両方を指定する 同じプロトコルの使用 を有効にした場合、IPv6 アドレスからのリクエストは IPv6 オリジンサーバーに転送され、IPv4 アドレスからのリクエストは IPv4 オリジンサーバーに転送されます。同じプロトコルの使用 を有効にしない場合、リクエストは IPv4 と IPv6 の両方のオリジンサーバーに転送されます。つまり、IPv4 と IPv6 の両方のリクエストが IPv4 または IPv6 のオリジンサーバーに転送される可能性があります。 重要 IPv6 経由のバックツーオリジンを使用する場合は、Web サイトアクセス リストのドメイン名の [IPv6 ステータス] が有効になっていることを確認する必要があります。詳細については、「IPv6 保護の有効化」をご参照ください。 IPv4 アドレスのみを指定する IPv4 と IPv6 の両方のリクエストが IPv4 経由で転送されます。WAF は、指定した IPv4 オリジンサーバーアドレスにリクエストを転送します。 IPv6 アドレスのみを指定する IPv4 と IPv6 の両方のリクエストが IPv6 経由で転送されます。WAF は、指定した IPv6 オリジンサーバーアドレスにリクエストを転送します。 サーバー IP アドレスの指定方法 オリジンサーバーが Alibaba Cloud 上にある場合は、ECS インスタンスのパブリック IP アドレスを入力します。 ECS インスタンスの前に Server Load Balancer (SLB) インスタンスがデプロイされている場合は、SLB インスタンスのパブリック IP アドレスを入力します。 オリジンサーバーが Alibaba Cloud でホストされていないデータセンターまたはサードパーティのクラウドサービス上にある場合は、ping コマンドを実行してドメイン名のパブリック IP アドレスを照会し、そのパブリック IP アドレスを入力することを推奨します。 指定された IP アドレスは、透過プロキシモードではトラフィックのルーティングに使用されません。 [ドメイン名(CHAMEなど)]：Object Storage Service (OSS) バケットの CNAME など、サーバーのオリジンドメイン名を入力します。 ドメイン名を指定すると、IPv4 経由のバックツーオリジンがサポートされます。WAF は、オリジンドメイン名から名前解決された IPv4 アドレスにクライアントリクエストを転送します。 重要 サーバーのオリジンドメイン名は、保護する Web サイトのドメイン名と同じにすることはできません。 オリジンサーバーのアドレスが OSS ドメイン名の場合、Web サイトを追加した後、OSS コンソールに移動して OSS ドメイン名にカスタムドメイン名をアタッチする必要があります。詳細については、「カスタムドメイン名のアタッチ」をご参照ください。
   宛先サーバーポート	Web サイトが転送に使用するサービスポートを追加します。 WAF は、指定したポートのトラフィックのみを受信して転送します。他のポートへのリクエストはドロップされ、オリジンサーバーには到達しません。 重要 指定した プロトコルタイプ と [宛先サーバーポート] は、オリジンサーバーがリッスンしているプロトコルとポートと一致する必要があります。ポート変換はサポートされていません。 デフォルトポート： HTTP：HTTP プロトコルを選択した場合、デフォルトでポート 80 が使用されます。 HTTPS または HTTP/2：HTTPS プロトコルを選択した場合、デフォルトでポート 443 が使用されます。 カスタムポート：HTTP ポート または HTTPS ポート のテキストボックスにポートを入力し、Enter キーを押します。許容可能なポート範囲の確認 をクリックして、サポートされているすべてのポートを照会します。 説明 WAF Ultimate および Exclusive インスタンスは、ポート 80、8080、443、8443 を含む最大 50 個のサーバーポートをサポートします。WAF Pro および Enterprise インスタンスは、最大 10 個のサーバーポートをサポートします。 パブリッククラスターでサポートされているポートの詳細については、「WAF でサポートされているポート」をご参照ください。 WAF 専用クラスターに Web サイトを追加する場合は、専用の設定項目 ページで指定されている [宛先サーバーポート] 範囲からのみカスタムポートを選択できます。詳細については、「専用クラスターの設定」をご参照ください。
   [ロードバランシングアルゴリズム]	複数のオリジンサーバーアドレスを指定する場合は、負荷分散アルゴリズムを選択します。次のオプションがあります。 [IP ハッシュ]：同じクライアント IP アドレスからのリクエストは、同じオリジンサーバーに転送されます。セッション永続性 (スティッキーセッション) を必要とするアプリケーションには、これを使用します。これにより、負荷分散が不均等になる可能性があることに注意してください。 ラウンドロビン (デフォルト)：クライアントからのリクエストは、オリジンサーバーのリストにあるオリジンサーバーに順次転送されます。このアルゴリズムは、複数のオリジンサーバーが使用され、オリジンサーバー間で負荷を均等に分散する必要があるシナリオに適しています。 [最短時間]：インテリジェント DNS 解決機能とアップグレードされた最短時間バックツーオリジンアルゴリズムを使用して、サービストラフィックが保護ノードにルーティングされてからオリジンサーバーに転送されるまでのリンク全体のレイテンシを最小化します。 説明 [最短時間] アルゴリズムは、インテリジェント負荷分散を有効にした後にのみ使用できます。詳細については、「インテリジェント負荷分散」をご参照ください。 設定が有効になった後、WAF は指定された負荷分散アルゴリズムに基づいて、複数のオリジンサーバーアドレスにバックツーオリジンリクエストを分散し、負荷分散を実装します。
   [WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)]	他のプロキシサービスが使用されていない場合は、No を選択します これは、WAF が他のプロキシサービスからではなく、クライアントから直接リクエストを受信することを示します。この場合、WAF は、WAF との接続を確立する IP アドレス (リクエストの REMOTE_ADDR フィールドから) をクライアント IP アドレスとして使用します。 別のプロキシサービスが使用されている場合は、Yes を選択します これは、WAF がクライアントから直接ではなく、別のレイヤー 7 プロキシから転送されたサービスリクエストを受信することを示します。WAF がセキュリティ分析のために実際のクライアント IP アドレスを取得できるようにするには、クライアント IP の取得方法 も設定する必要があります。 次のオプションがあります。 (デフォルト) X-Forwarded-For フィールドのファースト IP アドレスをクライアントのソースアドレスにする デフォルトでは、WAF は、クライアント IP アドレスを識別するために、リクエストの X-Real-IP ヘッダーフィールドを優先的に読み取ります。X-Real-IP フィールドが存在しない場合、WAF は X-Forwarded-For (XFF) フィールドから最初の IP アドレスをクライアント IP アドレスとして読み取ります。 【推奨】偽装 XFF を回避するために、指定したヘッダの最初の IP アドレスをクライアント送信元 IP アドレスとする Web サイトサービスが別のプロキシサービスを介してクライアントの発信元 IP アドレスをカスタムヘッダーフィールド (X-Real-IP や X-Client-IP など) に配置するように設定されている場合は、このオプションを選択し、ヘッダフィールド ボックスに対応するヘッダーフィールドを入力します。 説明 クライアント IP アドレスを保存するためにカスタムヘッダーを使用し、WAF で対応するヘッダーフィールドを設定することを推奨します。この方法により、攻撃者が XFF フィールドを偽装して WAF 検出ルールをバイパスするのを防ぎ、ビジネスのセキュリティを強化できます。 複数のヘッダーフィールドを入力できます。各ヘッダーフィールドを入力した後、Enter キーを押します。複数のヘッダーを設定した場合、WAF は設定された順にクライアント IP アドレスの読み取りを試みます。最初のヘッダーが存在しない場合は 2 番目を読み取り、以降も同様です。指定されたヘッダーがいずれも存在しない場合、WAF はまず X-Real-IP フィールドの読み取りを試みます。それも失敗した場合は、X-Forwarded-For (XFF) ヘッダーの最初の IP アドレスをクライアント IP アドレスとして使用します。
   [トラフィックマークの有効化]	WAF のトラフィックマーク機能を有効にするかどうかを指定します。 この機能は、WAF がオリジンサーバーに転送するリクエストにカスタムヘッダーを追加します。このヘッダーによって、リクエストが WAF で処理されたことを識別し、クライアントの発信元 IP アドレスなどの情報を含めることができます。 トラフィックマークの有効化 を選択した後、マークフィールドを設定する必要があります。 重要 User-Agent などの標準 HTTP ヘッダーフィールドは入力しないでください。入力すると、標準ヘッダーフィールドの値がカスタムフィールド値によって上書きされます。 攻撃者がドメイン名を WAF に追加する前にオリジン IP アドレスを取得し、別の WAF インスタンスを購入してオリジンサーバーにリクエストを転送する場合、トラフィックマークの有効化 を有効にしてマークフィールドを設定できます。オリジンサーバーがリクエストを受信したときに、このフィールドを確認することを推奨します。指定されたマークフィールドが存在する場合、アクセスが許可されます。 次のタイプのマークフィールドがあります。 [カスタムヘッダー] ヘッダー名 と ヘッダー値 を設定すると、WAF はバックツーオリジンリクエストにこのヘッダー情報を追加します。これにより、WAF によって転送されたリクエストがマーク付けされ、転送されていないリクエストと区別できるため、バックエンドサービスの分析が容易になります。 たとえば、ALIWAF-TAG: Yes を使用して、WAF によって転送されたリクエストをマークできます。この例では、ALIWAF-TAG がヘッダー名で、Yes がヘッダー値です。 [送信元 IP アドレス] [ヘッダー名] を設定することで、WAF がそのヘッダーでクライアントの発信元 IP アドレスをオリジンサーバーに渡すように指示できます。WAF がクライアントの発信元 IP アドレスを決定するために使用するルールの詳細については、[WAF の前にレイヤー 7 プロキシがあるかどうか (Anti-DDoS Proxy や CDN など)] パラメーターの説明をご参照ください。 [送信元ポート] [ヘッダー名] を設定することで、WAF がそのヘッダーでクライアントのソースポートをオリジンサーバーに渡すように指示できます。 マークの追加 をクリックして、マークフィールドを追加します。最大 5 つのマークフィールドを設定できます。
   [Back-to-origin タイムアウト設定]	WAF がオリジンサーバーからデータを取得する際のタイムアウト設定 [接続タイムアウト期間]：WAF がオリジンサーバーとの接続を確立するためのタイムアウト期間です。デフォルト値は 5 秒です。値の範囲は 1 秒から 3600 秒です。 [読み取り接続タイムアウト期間]：接続を確立した後、WAF がオリジンサーバーからのレスポンスを待機する最大時間です。デフォルト値は 120 秒です。値の範囲は 1 秒から 3600 秒です。 [書き込み接続タイムアウト期間]：WAF がオリジンサーバーにリクエストを送信するためのタイムアウト期間です。デフォルト値は 120 秒です。値の範囲は 1 秒から 3600 秒です。 説明 この機能は、WAF の Pro、Enterprise、Ultimate、Exclusive エディションでのみサポートされます。この機能は Hybrid Cloud WAF インスタンスではサポートされていません。 [Back-to-origin の再試行] 有効にすると、WAF はオリジンサーバーへの失敗したリクエストを最大 3 回リトライします。 [Back-to-origin の持続的接続] この機能を有効にする場合は、次のパラメーターも設定する必要があります。 [持続的接続の復元リクエスト数]：デフォルト値は 1,000 です。値の範囲は 60 から 1,000 です。 [アイドル時の長時間の接続タイムアウト]：デフォルト値は 15 秒です。値の範囲は 1 秒から 60 秒です。 説明 この機能を無効にすると、バックツーオリジン用の永続的接続は WebSocket プロトコルをサポートしません。
   [リソースグループ]	[リソースグループ] リストから、ドメイン名が属するリソースグループを選択します。 説明 Resource Management を使用して、リソースグループを作成し、事業部門やプロジェクトなどのディメンションに基づいてクラウドリソースを管理できます。詳細については、「リソースグループの作成」をご参照ください。

5. ステップ 4 で入力したドメイン名に対応するワイルドカードドメイン名が、別のユーザーによって設定されている場合は、ヒント ダイアログボックスに表示されるレコードタイプ、ドメイン名、レコード値に従って、TXT レコードを設定する必要があります。

   たとえば、Alibaba Cloud DNS を使用している場合は、Alibaba Cloud DNS コンソールにログインし、ヒント ダイアログボックスの情報に基づいて TXT レコードを設定できます。詳細については、「DNS レコードの追加」をご参照ください。

6. DNS レコードを変更します。

   画面上の指示に従って、ドメイン名の DNS レコードを変更し、保護のために WAF を指すように変更します。次に、[次へ] をクリックします。詳細については、「ドメイン名の DNS レコードの変更」をご参照ください。

7. プロセスを完了します。

   画面上の指示に従って、WAF のバックツーオリジン IP アドレスを許可リストに追加します。次に、追加が完了しました。Web サイトリストへ戻ります。 をクリックして、Web サイトアクセス ページに戻ります。詳細については、「WAF のバックツーオリジン IP アドレスを許可リストに追加」をご参照ください。

HTTPS 証明書のアップロード

ステップ 4 で プロトコルタイプ に [HTTPS] を選択した場合は、ドメイン名の HTTPS 証明書を WAF コンソールにアップロードする必要があります。WAF がウェブサイトへの HTTPS リクエストを保護するには、正しく有効な証明書が必要です。

HTTPS 証明書をアップロードするには、次のいずれかの方法があります：

• 証明書の手動アップロード：事前に Web サイトの証明書ファイルと秘密鍵ファイルを準備する必要があります。

  以下の内容が必要です。証明書をアップロードする際は、完全な証明書チェーンが含まれていることを確認してください。

  • *.crt (公開鍵ファイル) または *.pem (証明書ファイル)

  • *.key (秘密鍵ファイル)

• 既存の証明書の選択：Digital Certificate Management Service の既存の証明書から、ドメイン名に対応するものを選択できます。詳細については、「Digital Certificate Management Service」をご参照ください。

• 新しい証明書の申請

1. WAFコンソールにログインします。 上部のナビゲーションバーで、WAFインスタンスがデプロイされているリソースグループとリージョンを選択します。 リージョンは、中国本土または中国本土以外です。

2. 左側のナビゲーションウィンドウで、アセットセンター > Webサイトアクセスを選択します。

3. ドメイン名 リストで、管理するドメイン名を見つけ、配信元サーバー 列の アイコンをクリックします。

   説明

   ドメイン名の追加時にプロトコルタイプとして HTTPS を選択した場合にのみ、配信元サーバー 列に アイコンが表示されます。

4. 証明書のアップロード (または 証明書の更新) ダイアログボックスで、アップロード方式 を選択し、HTTPS 証明書をアップロードします。

   説明

   証明書がすでにアップロードされている場合、証明書の更新 ダイアログボックスが表示されます。証明書の更新 ダイアログボックスの設定は、証明書のアップロード ダイアログボックスの設定と同じです。

   • [手動でアップロード]: 証明書名 を入力します。 次に、ドメイン名の証明書ファイルと秘密鍵ファイルの内容をコピーして、その内容を 証明書ファイル および 秘密鍵ファイル テキストボックスに貼り付けます。

     以下に、証明書ファイル パラメーターについて説明します。

     • 証明書が PEM、CER、または CRT 形式の場合は、テキストエディタで証明書ファイルを開き、内容をコピーできます。

     • 証明書が PFX や P7B など、PEM、CER、CRT 以外の形式の場合は、証明書ファイルを PEM 形式に変換する必要があります。その後、テキストエディタでファイルを開き、内容をコピーできます。証明書形式の変換方法の詳細については、「HTTPS 証明書を PEM 形式に変換する」をご参照ください。

     • 完全な証明書チェーンを必ずアップロードしてください。ドメイン名に複数の証明書ファイルがある場合は、ファイルの内容を結合し、結合した内容を証明書ファイル テキストボックスに貼り付けてください。

   • [既存証明書の選択]: Certificate リストから、アップロードする証明書を選択します。

     Certificate リストには、デジタル証明書管理サービスによって発行された証明書が表示されます。リストから現在のドメイン名用の証明書を選択できます。[デジタル証明書管理サービス] をクリックすると、サービスのコンソールに移動して証明書を管理できます。

   • [新しい証明書を申請する]: 今すぐ申し込む をクリックして、デジタル証明書管理サービスの [証明書の購入] ページに移動し、ドメイン名の証明書を申請します。

     画面の指示に従ってドメイン名の証明書を設定すると、証明書は自動的に WAF にアップロードされます。

     説明

     申請できるのは有料 DV 証明書のみです。他のタイプの証明書を申請する場合は、SSL 証明書購入ページに移動してください。詳細については、「商用証明書の購入」をご参照ください。

5. OK をクリックします。

次のステップ

ドメイン名を追加すると、WAF はウェブサイトのトラフィック保護を開始します。ウェブサイトの保護を強化するには、次の設定も完了する必要があります。

関連操作

追加済みドメイン名の表示と管理

ドメイン名を追加すると、Web サイトアクセス ページの ドメイン名 リストに表示されます。そこから、必要に応じて次の操作を行えます：

• HTTPS 証明書のアップロード：ドメイン名が HTTPS をサポートしている場合は、正しい証明書とプライベートキーを WAF にアップロードしてください。これにより、WAF が HTTPS トラフィックを保護できるようになります。配信元サーバー 列で、 をクリックして、ドメイン名の HTTPS 証明書とプライベートキーをアップロードできます。

  詳細については、「HTTPS 証明書のアップロード」をご参照ください。

• IPv6 保護の有効化：Web サイトの IPv6 サービストラフィックを保護するには、クイックアクセス 列でドメイン名の[IPv6] スイッチをオンにします。

  詳細については、「IPv6 保護の有効化」をご参照ください。

• ログサービスの有効化：クイックアクセス 列でドメイン名のSLS スイッチをオンにすると、WAF ログサービスが Web サイトの全量ログを収集します。これらのログをクエリ、分析、ダッシュボード表示、アラート設定に使用できます。詳細については、「WAF ログサービスをすぐに使用する」をご参照ください。

  説明

  ログサービスは WAF の付加価値サービスです。使用する前にサービスをアクティブ化する必要があります。詳細については、「ステップ 1：WAF ログサービスのアクティブ化」をご参照ください。

• 保護リソースの設定：ドメイン名の保護リソースを設定するには、クイックアクセス 列の保護リソース の横にある アイコンをクリックします。

  次のタイプの保護リソースを利用できます：

  • 共有クラスターと共有 IP (デフォルト)

  • 共有クラスターと専用 IP：専用 IP アドレスの詳細については、「ドメイン名の専用 IP アドレス」をご参照ください。

  • 複数 WAF ノード間の共有クラスターと負荷分散：グローバル負荷分散の詳細については、「インテリジェントロードバランシング」をご参照ください。

  • 専用クラスター：専用クラスターの詳細については、「専用クラスターの設定」をご参照ください。

• 攻撃モニタリングレポートの表示：攻撃監視 列で、レポートの表示 をクリックしてセキュリティレポート ページに移動し、ドメイン名の保護レポートを表示します。詳細については、「WAF セキュリティレポート」をご参照ください。

• 保護ポリシーの設定：操作 列で、設定 をクリックしてWeb サイト保護 ページに移動します。このページで、Web セキュリティ、ボット管理、アクセス制御/スロットリング モジュールの保護ポリシーを設定します。詳細については、「Web サイト保護設定の概要」をご参照ください。

• ドメイン名の編集：操作 列で、編集 をクリックして、プロトコルの種類、サーバーアドレス、サーバーポートなどの Web サイト情報を変更します。ドメイン名は変更できません。

• ドメイン名の削除：操作 列で、削除 をクリックしてドメイン名を削除します。

  警告

  ドメイン名を削除する前に、その DNS レコードをサーバーのオリジン IP アドレスを指すように変更してください。そうしないと、削除後に WAF がドメイン名のトラフィックを転送できなくなります。

• ドメイン名を WAF に追加した後は、その ICP 备案情報が有効であることを確認してください。法律および規制に準拠するため、WAF は追加されたドメイン名を定期的にチェックします。ICP 备案の有効期限が切れ、適時に更新されない場合、ドメイン名のステータスは「未备案」に変わります。この場合、WAF は自動的にドメイン名のトラフィック転送を停止します。次の操作を行ってください：

  1. ドメイン名の ICP 备案を完了してください。

  2. [Webサイトアクセス] ページに移動してください。ドメイン名 タブで、ICP 备案が完了したドメイン名を見つけ、操作 列の再度追加 をクリックしてください。

ドメイン名 の ICP 备案管理

WAF にドメイン名を追加した後、その ICP 登録情報が有効であることを確認してください。WAF は、追加されたドメイン名を定期的にチェックします。ICP 登録の有効期限が切れ、期限内に更新されない場合、ドメイン名のステータスは「未登録」に変わります。この場合、WAF はそのドメイン名へのトラフィックの転送を自動的に停止します。次の操作を実行する必要があります：

1. ドメイン名の ICP 备案を完了します。

2. [ウェブサイトアクセス] ページに移動します。ドメイン名 タブで、ICP 申請が完了したドメイン名を見つけ、操作 列の 再度追加 をクリックします。

ドメインの DNS ステータス

追加済みのドメイン名リストで、ドメイン名の DNS ステータスを確認できます。これにより、DNS 名前解決にリスクのあるドメイン名を特定し、コンソールに表示される例外の原因に基づいて DNS 設定を変更できます。