HTTPSゲートウェイサーバー

PAM360は、ユーザー装置からアクセスできないウェブベースのリソースへの特権アクセスを可能にする中間プロキシとして機能する、セキュアなHTTPSゲートウェイサーバーの設定をサポートするようになりました。このゲートウェイサーバーは、イントラネットサイトや機密性の高いウェブコンソールを含む、内部および外部のURLへのHTTPSベースの接続の起動を容易にします。ゲートウェイを経由するすべての接続は完全に暗号化、監視、および監査され、エンドツーエンドのセキュリティ、コンプライアンス、および可視性が確保されます。この機能は、リモート管理者、サードパーティベンダー、および重要なウェブインターフェースを管理するチームに特に有益です。

管理者は、PAM360内でHTTPSゲートウェイサーバーを簡単にセットアップし、ユーザー装置とターゲットウェブアプリケーション間のセキュアなブリッジを構築できます。ゲートウェイはHTTPSトラフィックを効果的にトンネリングし、エンドユーザーのネットワークに直接公開することなく、重要なリソースへのシームレスかつセキュアなアクセスを可能にすることで、攻撃対象領域を削減し、特権セッション管理を簡素化します。

1. 役割と権限
2. HTTPSゲートウェイサーバーの構成
3. HTTPSゲートウェイ接続のリソースの構成
4. マルチサーバー環境の関数挙動
5. HTTPSゲートウェイサーバーの制限
6. トラブルシュートのヒント

1.役割と権限

デフォルトでは、管理者役割を持つユーザーがHTTPSゲートウェイサーバーを設定でき、管理者および接続ユーザーの役割を持つユーザーがPAM360 Webインターフェースから設定済みのリソースURLへのHTTPSゲートウェイ接続を起動できます。さらに、PAM360では管理者がHTTPSゲートウェイサーバーの設定およびHTTPSゲートウェイ接続の起動に関する以下の権限を持つカスタム役割を設定できます。

• HTTPSゲートウェイサーバー - カスタム役割でこの権限を有効にすると、ユーザーがHTTPSゲートウェイサーバーを設定できるようになります。
• HTTPSゲートウェイ接続 - カスタム役割でこの権限を有効にすると、ユーザーが設定済みのゲートウェイサーバーを通じてHTTPS接続を起動できるようになります。

2.HTTPSゲートウェイサーバーの構成

デフォルトでは、PAM360のインストール後にHTTPSゲートウェイサーバーが設定され、動作します。以下の手順に従って、要件に合わせてHTTPSゲートウェイサーバーの設定を変更してください。

1. 「管理」 >> 「PAM360ゲートウェイ」 >> 「HTTPSゲートウェイサーバー」に移動し、以下の詳細を入力します。
2. 1. Port - HTTPSゲートウェイサーバーは、デフォルトでは、ポート8285で構成されます。ポート8285がご使用の組織内の別のアプリケーション/インスタンスに設定されている場合は、このフィールドで使用可能なポート番号を更新してください。
   2. 「KeyStore Path」 - デフォルトでは、HTTPS接続関連のすべての証明書を保存するために、PAM360インストールディレクトリ内のconfフォルダに「httpsCerts.keystore」という名前のキーストアファイルが用意されています。HTTPS接続関連の証明書を保存するために独自のキーストアファイルを使用してHTTPSゲートウェイ接続のセキュリティを向上させたい場合は、.keystoreタイプの新しいキーストアファイルを作成し、このフィールドにそのファイルパスを指定できます。
   3. 「KeyStore Password」 - 指定されたキーストアパスに存在するカスタムキーストアファイルのキーストアパスワードを入力します。
3. 「更新」をクリックして設定した変更を保存し、更新された設定でHTTPSゲートウェイサーバーを起動します。
   

ほとんどのHTTPS接続は、HTTPSゲートウェイサーバーで安全に作動します。ただし、一部のHTTPS接続URLでは、ゲートウェイを通じて安全な接続を確立するために、それぞれのルート証明書が必要です。これらのURLが安全に機能するようにするには、それらのルート証明書をHTTPSゲートウェイサーバーのキーストアにインポートする必要があります。

以下の手順に従って、ルート証明書をキーストアファイルにインポートしてください。

1. 「管理」 >> 「HTTPSゲートウェイサーバー」に移動し、表示される「HTTPSゲートウェイサーバー」ポップアップウィンドウの「Connection Certificates」タブに切り替えます。
2. 「Certificate」フィールドの横にある「Browse」ボタンをクリックし、マシンからルート証明書を選択して、「インポート」をクリックし、設定済みのキーストアファイルにルート証明書を追加します。
3. キーストアファイルにルート証明書を追加するたびに、HTTPSゲートウェイサーバーを再起動する必要があります。「サーバー設定」タブに切り替えて、HTTPSゲートウェイサーバーを再起動します。
   

PAM360 Webインターフェースにロードバランサーが設定されている組織では、以下の設定を更新する必要があります。

1. 提供されているリンクの手順に従って、PAM360のリモートホスト機能を設定します。
2. <PAM360 Installation Directory>/confフォルダーに移動し、メモ帳を使用してsystem_properties.confファイルを開きます。
3. ページの末尾までスクロールし、https.gateway.server.loadbalancer.enabled=trueとして新しいエントリを追加します。

3.HTTPSゲートウェイ接続のリソースの構成

ユーザーがWebアプリケーションおよびサービスへのHTTPSゲートウェイ接続をシームレスに起動できるようにするには、サポートされているリソースタイプに対して自動ログオンヘルパーを設定し、「リソース」タブを通じて関連リソースにWebアプリケーションおよびサービスのURLを設定する必要があります。

3.1 自動ログオンヘルパーの設定

デフォルトでは、HTTPSゲートウェイ接続は以下のリソースタイプに対してサポートされています。Webサイトアカウント、Windows、Windowsドメイン、Linux、およびRabbitMQ。HTTPSゲートウェイ機能をWebベースのURLをサポートするその他のリソースタイプに使用する場合は、それらのリソースタイプに対してHTTPSゲートウェイ接続の自動ログオンヘルパーを有効にする必要があります。

1. 「管理」 >> 「特権セッション」 >> 「自動ログオンヘルパー」に移動します。
2. 「HTTPSゲートウェイ」の横にある「編集」アイコンをクリックします。
   
3. 左側でHTTPSゲートウェイ接続を許可するWebベースのURLを設定するリソースタイプを選択し、「右矢印」ボタンをクリックします。リソースタイプごとにこの手順を繰り返します。
   
4. 「保存」をクリックして、設定した変更を更新します。

これで、リソースにHTTPSベースのWeb URLを設定し、必要なユーザーと共有することで、自動ログオンサポート付きのHTTPSゲートウェイ接続を起動できるようになります。

3.2 URL (HTTPSベース)のリソースへの追加

PAM360のリソースにURLを追加するには、新しいリソースを追加する際、または編集リソースオプションを使用して既存のリソースを編集することで行うことができます。PAM360の既存のリソースにリソースURLを追加するには、以下の手順に従います。

1. 「リソース」タブに移動します。
2. 目的のリソースの横にある「リソースアクション」コラムの「リソースの編集」アイコンをクリックして、URLを設定します。
   
3. 表示されるポップアップで、HTTPS WebリンクのYRLタイプをリソースURLフィールドに入力します。
   
4. ［保存］をクリックして、更新します。

このリソースを環境内のユーザーと共有できます。「HTTPSゲートウェイ接続」権限を持つユーザーは、「接続とリソース」タブから設定済みURLへのHTTPSゲートウェイ接続を起動できます。リソースは、ウェブサイトセッションの接続タイプとしてHTTPSゲートウェイ接続を使用します。

4.マルチサーバー環境の関数挙動

1. アプリケーションスケーリング設定を使用している環境では、1台のPAM360サーバーでHTTPSゲートウェイサーバーを無効にしても、HTTPSゲートウェイサーバー全体が停止するわけではありません。HTTPSゲートウェイサーバーを停止するには、残りすべてのアクティブなサーバーでPAM360サービスを再起動してください。
2. 複数のサーバー（プライマリおよびセカンダリの両方）でHTTPSゲートウェイ接続機能をシームレスに動作させるには、KeyStoreパスとして共通のUNCパスを指定し、すべてのサーバーでポート番号を統一する必要があります。
3. HTTPSゲートウェイサーバーは、読み取り専用サーバーに設定することはできません。

5.HTTPSゲートウェイサーバーの制限

1. PAM360の接続として追加できるのは、HTTPSベースのWebリンクのみです。
2. ユーザーが設定済みのターゲットURL以外のサイトに移動した場合、その操作はHTTPSゲートウェイサーバーを経由してルーティングされなくなります。
3. ウェブサイトがログイン、ユーザー認証情報の検証、またはシングルサインオン（SSO）などの認証プロセスに外部サービスを使用している場合、これらのアクションはHTTPSゲートウェイサーバーを経由してルーティングされません。
4. 絶対CSSおよびJSソースパスを含むウェブサイトへのHTTPSゲートウェイ接続はサポートしていません。
5. 信頼できるドメインのみからのリクエストを許可するＷebサイトはサポートしていません。
6. Password Manager Pro、ServiceDesk Plusなど、他のManageEngine製品のURLへの接続は、共通のクッキー名が使用されているため、セッション追跡の競合を引き起こし、予期しないログアウトが発生する可能性があります。そのため、特定のウェブサイト機能が期待どおりに動作しない場合があります。
7. ユーザーは、ブラウザセッションごとに1つのHTTPSゲートウェイ接続のみ起動できます。
8. Webソケット接続をサポートするウェブサイトへのHTTPSゲートウェイ接続はサポートしていません。

6.トラブルシュートのヒント

現在、ManageEngine PAM360およびその他のManageEngine製品は、一部の共通クッキー名（JSSESSIONIDおよびJSSESSIONIDSSO）を使用しており、これによりManageEngineアプリケーションサービスの同時セッションが妨げられる場合があります。同様のクッキーが in PAM360にある複数のセッションを有効にするには、下の手順にしたがって、PAM360 クッキー設定を特定およびカスタマイズします：

1. <PAM360-Installation-Directory>/conf folder に移動します。
2. 管理者権限でsystem_properties.confファイルを開き、行末に以下のエントリを追加して保存します。

   org.apache.catalina.authenticator.Constants.SSO_SESSION_クッキー_NAME=PAMJSESSIONIDSSO
    org.apache.catalina.SESSION_クッキー_NAME=PAMSESSIONID

3. 次に、web.xmlファイルを管理者権限で開き、<session-config>セクションを探して、以下のとおり、更新します：

   <session-config>
    <session-timeout>450</session-timeout>
   <クッキー-config>
    <name>PAMSESSIONID</name>
    </クッキー-config>
    </session-config>

4. これで、PAM360サービスを再起動して先に進みます。