HTTPS Only および ArcGIS プラットフォームについて、どのようなこと知っておくべきでしょうか？

答え

注意: これは現行のドキュメントであり、このページに記載の情報は変更内容を発表するたびに定期的に更新されます。

HTTPS とは

HTTPS は Hypertext Transfer Protocol for Secure 通信の略で、Web ブラウザーなどのクライアントとサーバー間の着信と発信におけるデータの安全な送信を実現します。 HTTPS を HTTP/2 と組み合わせて使用すると、パフォーマンスが向上します。 HTTP/2 は HTTP プロトコルを大幅に修正したものです。 HTTPS を使用すると、コンテンツの検索ランキングも改善されるため、重要なアプリケーションでは HTTPS が強く推奨されています。 すべてのデータは暗号化されるため、機密性が向上します。ネットワーク トラフィックを監視しても機密情報を取得できなくなります。 Esri は HTTPS と HSTS を設定して、ArcGIS プラットフォームのセキュリティ環境を向上させています。

HSTS とは

HSTS (HTTP Strict Transport Security) は、ダウングレード攻撃に対して HTTPS Web サーバーのセキュリティを高める Web セキュリティ技術です。 ダウングレード攻撃 (SSL ストリップ攻撃とも呼ばれます) は一種の中間者攻撃で、攻撃者は正しく構成された HTTPS Web サーバーから悪意のあるサーバーに Web ブラウザーをリダイレクトします。
 

ArcGIS プラットフォームに対する影響

Esri は、これらの変更を段階的に行っています。Esri のお客様は、この変更に対する準備のために今すぐ対応する必要があります。

• 現在、ArcGIS Online は HTTP または HTTPS の構成をサポートしています。 2020 年 12 月 8 日に計画されている更新によって、“HTTPS Only” がデフォルトになり、顧客はこの設定を無効にできなくなります。 ただし、ArcGIS Enterprise の場合は、顧客が HTTPS/HSTS の構成を完全に制御できます。
• 2020 年 9 月 8 日以降、すべてのサイトおよびページに対して HTTPS Only の標準の使用を施行するように、ArcGIS Hub が更新されています。
• Esri では、2020 年 9 月 29 日に World Geocoding Service で HTTPS Only を施行する予定です。 この重要なセキュリティ更新は、いくつかの ArcGIS ソフトウェアとカスタム ソリューションに影響すると思われます。

HTTPS Only への切り替えの影響を受けますか？

お客様の業務が次のシナリオまたはワークフローに該当する場合、ArcGIS Online が HTTPS Only に切り替わると影響を受けます。

1. HTTP Only URL を使用して ArcGIS Online にすでに追加された顧客のアイテムにはアクセスできなくなります。 これには、顧客のオンプレミスの ArcGIS Enterprise サーバーによってホストされる ArcGIS Online に追加されたすべてのアイテムが含まれます。 HTTP を経由して、新しいアイテムは追加されません。
2. マップ ドキュメントまたはパッケージ (*.mxd または *. Aprx) の中にプレーンテキスト (HTTP) を使用して追加された ArcGIS Online のレイヤーがある場合、顧客はそのレイヤーへの参照を更新する必要があります。
3. HTTP URL 参照を使用した Python スクリプトで ArcGIS Online のデータを管理またはバックアップしている場合、顧客は作業できなくなります。 HTTPS URL を使用するようにスクリプトを更新する必要があります。
4. HTTP Only URL を使用し、ArcGIS プラットフォームの外部のリンクから ArcGIS Online に追加されたアイテムは、混合コンテンツの競合のために、ブラウザーからアクセスできなくなります。 これには、以下の情報が含まれます。
   1. アイテムの詳細のリンク
   2. ポップアップなど
   
   
5. ArcGIS Online の共有プロキシを介して参照されている Web サービスは影響を受けません。
   次のアイテムは ArcGIS Online の共有プロキシを使用する可能性があります。
   • 保存された認証情報を使用し、ArcGIS Enterprise 構成から ArcGIS Online にセキュリティ保護されたレイヤーやサービスを追加またはアクセスする
   • クロス ドメイン リソースへのアクセス (たとえば、CORS をサポートしていないサーバー - 通常はサードパーティ製の OGC サーバー)
   • 2048 文字を超える HTTP GET ステートメントを使用してクエリされたサービス
   
   

必要な対応策

組織が影響を受ける場合、リソースに引き続きアクセスするには対応策を取る必要があります。 たとえば、2018 年 9 月より前に ArcGIS Online サブスクリプションを取得して、HTTP と HTTPS の両方を許可するように設定したままである場合です。以下のアクションは、HTTPS のみに切り替える前にダウンタイムをなくすために、具体的に次に何をすべきかを示しています。

1. すべての顧客は、組織の設定で HTTPS Only が有効になっていることを確認する必要があります。 たとえば、HTTPS Only と HTTP/HTTPS を切り替えるオプションが表示されない場合、サブスクリプションはすでに HTTPS が必須になっています。
2. 顧客は、HTTP Only である組織内のすべてのアイテムを更新する必要があります。

顧客が利用できるツール

• ネイティブ ツール - ArcGIS Online または Enterprise に組み込まれているツール

1. 各 Web マップで使用できる[レイヤー設定] オプションを使用すると、次の図のようにレイヤーの参照を HTTPS に更新できます。

[レイヤーを HTTPS に更新] を選択することで、ツールは Web マップに含まれているレイヤーが HTTPS 経由でアクセス可能であることを整合チェックして、アクセス可能であれば参照を更新します。

[レイヤーの更新] を選択すると、レイヤーの参照のリストが返されます。この中には、以下に示すように、HTTPS にアップグレードできないレイヤーの参照も含まれています。

2. [ArcGIS Server サイトの参照の更新] ツールは、GIS Server の FQDN を変更できるように設計されていますが、ルート FQDN へのすべての参照を HTTPS に一括更新する処理にも使用できます。 このツールは、リモート サーバーが HTTPS をサポートするかどうかも確認します。

注意: この変更を行う前に、リモート サーバーが HTTPS をサポートしているかどうか整合チェックを行うことを強くお勧めします。

• 非ネイティブ ツール: これらのツールは、ArcGIS 組織の管理と整合チェックを支援するために、Esri のソフトウェアのセキュリティとプライバシー チームによって提供されています。

1. ArcGIS Security Advisor は、Esri ソフトウェア セキュリティとプライバシー チームによって作成された非ネイティブ ツールであり、ArcGIS のセキュリティ設定について助言を提供し、ログを確認します。

• このツールは ArcGIS Online と ArcGIS Enterprise (Portal for ArcGIS) の両方で使用できます。注意: このツールの HTTP チェックでは、組織の数々のアイテムに対して管理者の認証情報は必要ありません。

提供されるツールのサポート範囲

ArcGIS Security Advisor は Esri Support Services 経由ではサポートされません。 HTTP の特定および改善プロセスの作業では、これらのツールのヘルプ情報を確認しておくことを強くお勧めします。 Esri Support Services は、ツールの不具合や機能拡張をソフトウェア セキュリティ チーム に提出します。

ArcGIS Online のネイティブ ツールは、Esri Support Services が完全にサポートしています。

HTTP のアイテムを HTTPS に更新する作業を支援する ArcGIS Enterprise、ArcGIS Server、Portal for ArcGIS 用のパッチがリリースされる予定はありますか？

いいえ。使用可能なツールを使用して、エンタープライズ構成内のアイテムを特定して更新してください。 また、Web マップ内のレイヤーを HTTPS を使用するように更新する方法については、以下のその他のリソースをご参照ください。
 

参考資料:

HTTP のコンテンツを HTTPS に更新するために、その他のリソースとして以下の関連情報セクションの参考情報も確認することをお勧めします。