Liferayの保護
Liferay はセキュリティを考慮して構築されています。 これには、 OWASP Top 10 や CWE/SANS Top 25で説明されているような一般的なセキュリティの脆弱性やエクスプロイトの軽減が含まれます。
Liferay インストールのセキュリティ保護には、ホスティング環境、データベース、検索プロバイダー、アプリケーションサーバー、および Liferay 自体のセキュリティのベストプラクティスに従うことなど、いくつかの側面があります—
Liferay は、HTTP ヘッダー内の CRLF をサニタイズするためにアプリケーション サーバーに依存しています。 これがアプリケーションサーバーで適切に設定されていることを確認する必要があります。
ここでは、Liferay をセキュリティで保護するための基本要素を学習します。 これには、Liferay インストールに対するユーザーの認証方法の設定、権限によるユーザーの承認、Liferay Web サービスへの安全なアクセスの設定、必要に応じてセキュリティ機能を微調整することが含まれます。
セキュリティパッチがリリースされたら、それらを展開することをお勧めします。 コミュニティとCEのインストールの場合は、以前のセキュリティパッチがすべて含まれている最新のコミュニティリリースを常に使用することをお勧めします。
認証
Liferay 認証は柔軟です。 デフォルトでは、ユーザーは サインイン ウィジェットを使用して Liferay にログインします。このウィジェットはデータベースを使用してユーザーを認証します。 デフォルトでは、ゲストは［Sign In］ウィジェットを使用して、デフォルトの権限を持つアカウントを作成できます。 デフォルトの認証エクスペリエンスのほぼすべての要素は、管理者によって変更できます。 例:
- 多要素認証を設定できます。
- SSO を使用して 認証を管理できます。
- Liferay は、ポータル データベースを使用する代わりに、LDAP と統合してユーザーを検証することもできます 。
- ゲスト アカウントの作成は オフにできます。
詳細については、 認証の基礎を参照してください。
権限の設定
Liferay には、堅牢なロールベースのアクセス制御 (RBAC) システムがあります。 ユーザーは、サイト、チーム、ユーザー グループ、または組織に割り当てることができます。 カスタム ロールを作成し、これらのロールに権限を割り当て、それらのロールをユーザーに割り当てることができます。 ロールは、サイト、組織、またはグローバルなどの特定のコンテキストにのみ適用されるように範囲設定されています。 詳細については、 ロールと権限 を参照してください。
Webサービスの保護
Liferay Web サービスは、セキュリティと認証に対して多層的かつ構成可能なアプローチを採用しています。
- サービス アクセス ポリシー は、リモート API へのアクセスを制御します。
- 認証検証子 は提供された資格情報を検証します。
- クロスオリジンリソース共有 構成により、信頼できるソースからのリソースのみを取得できるようになります。
詳細については、 Web サービスのセキュリティ保護の概要 を参照してください。
Liferayによって追加されないセキュリティヘッダー
Liferay は、HTTP リクエストとレスポンスに特定のセキュリティ ヘッダーを追加しません。
X-XSS-Protection: このヘッダーは、Liferay DXP 7.4 以降では非推奨となっています。 OWASP と Mozillaの推奨事項を参照してください。Strict-Transport-Security: これは Liferay ではなくアプリケーション サーバーで設定する必要があります。クロスオリジンリソース共有 (CORS): Liferay 7.2 以降では、Liferay 内で CORS を設定できます。 詳細については、 CORS の設定 を参照してください。公開キーピン: これを Web サーバーで設定する必要があります。Content-Security-Policy: これはベータ機能として利用可能で、構成されている場合はリクエストに表示されます。 詳細については、 コンテンツ セキュリティ ポリシー ヘッダーの構成 を参照してください。
セキュリティの微調整
追加のセキュリティ機能を微調整したり無効にしたりする方法はたくさんあります。
- Liferay の HTTPS Web サーバー アドレスを設定します。
- ユーザーを リダイレクトできる許可されたサーバーのリストを構成します。
- どのページからでもアクセスできる ポートレット のリストを構成します。
- アップロードおよびダウンロードを許可するファイルタイプを設定する。
これらの機能は、 ポータル プロパティを使用して設定できます。
Liferay の理念は「デフォルトで安全」です。 セキュリティ固有のデフォルトまたはホワイトリストを変更する場合は、十分に注意してください。 このようなアクションは、セキュリティの設定ミスや安全でないデプロイにつながる可能性があります。
関連トピック
Liferay インストールのセキュリティ保護の詳細については、 セキュリティ ステートメント および関連リソースを参照してください。
Liferay Marketplaceから追加のセキュリティ プラグインを入手できます。