CIS セットアップのベスト・プラクティス

IBM Cloud® Internet Services はご使用のネットワークのエッジに置かれているため、CIS サービスと円滑に統合されるようにするためには、いくつかのステップを実行する必要があります。 オリジンサーバーとの CIS 統合に関する推奨されるベストプラクティスを以下に示します。

これらのステップは、DNS の変更とプロキシー・サービスのアクティブ化の前でも後でも行えます。 これらの推奨ベスト・プラクティスを実行することによって、ご使用の起点サーバーに CIS が適切に接続できるようになります。 これらの推奨ベスト・プラクティスにより、API トラフィックや HTTPS トラフィックの問題が起こらないようにすることができます。また、保護 CIS IP アドレスではなく、顧客の正しい IP アドレスをログに取り込めるようになります。

設定に必要なものは以下の通りです：

  • 顧客の起点 IP を復元する
  • CIS IP アドレスを取り込む
  • セキュリティ設定がAPIトラフィックに支障をきたさないよう、ご確認ください
  • できるだけ厳密にセキュリティー設定を構成する

ベスト・プラクティス 1: 顧客の起点 IP を復元するための方法を知る

リバースプロキシとして、 CIS は以下のヘッダーにオリジン IP を記載します：

  • CF-Connecting-IP
  • X-Forwarded-For
  • True-Client-IP (オプション)

Apache、Windows IIS、 NGINX などのインフラストラクチャ向け各種ツールを使用することで、ユーザーの IP アドレスを復元することができます。

ベスト・プラクティス 2: 統合をより円滑にするために CIS IP アドレスを取り込む

次の2つの手順を行ってください：

  • CIS IP アドレスの速度制限を解除する
  • CIS IP アドレスなどの信頼できるパーティーのみ許可するように ACL をセットアップする

IBM CIS 用 IP 範囲の更新済みリストは、この場所にあります。

ベストプラクティス 3：セキュリティ設定を可能な限り厳格に設定する

CIS には、トラフィックを暗号化するためのオプションがいくつか用意されています。 リバースプロキシとして、 TLS 接続はCloudflareで終了し、新しい TLS 接続がお客様のオリジンサーバーに開かれます。 CIS の利用を終了する際は、 アカウントカスタム証明書をアップロードするか、 CIS によって提供されたワイルドカード証明書を使用するか、あるいはその両方を行うことができます。

カスタム証明書をアップロードする

エンタープライズドメインを作成する際に、公開鍵と秘密鍵をアップロードすることができます。 お客様独自の証明書をアップロードした場合は、暗号化トラフィックとの互換性が直ちに得られ、証明書 (例えば Extended Validation (EV) 証明書) に対する管理を維持することになります。 カスタム証明書をアップロードする場合は、その証明書の管理はご自身の責任となることをご留意ください。 たとえば、 IBM CIS では、証明書の有効期限を追跡していません。

あるいは、CIS によってプロビジョンされた証明書を使用する

IBM CIS 複数の認証局（CA）と連携し、デフォルトでドメインワイルドカード証明書を提供しています。 これらの証明書の設定には手動による確認が必要になる場合がありますが、サポートチームがこれらの追加手順の実施をお手伝いいたします。

TLS 設定を「エンドツーエンド CA 署名 (End-to-End CA Signed)」に変更する

企業のお客様のほとんどは、「エンドツーエンド CA 署名 (End-to-End CA Signed)」セキュリティー設定を使用します。 **「エンドツーエンド CA 署名 (End-to-End CA Signed)」**設定を使用するためには、ご使用の Web サーバー上に有効な CA 署名証明書がインストールされている必要があります。 証明書の有効期限は先の日付でなければならず、「ホスト名」または「サブジェクト代替名 (SAN)」が対応していなければなりません。