アクセス制限の切り替え

IPアドレス制限とBASIC認証から、Cognito認証とクライアント証明書へ。AWSに接続しないモックで、操作の結果は画面の中だけで進む。

この画面は操作のイメージです。移行の順序と、管理者が見ておくものは、記事 IPアドレス制限とBASIC認証からの切り替えにあります。

制限の軸

制限は独立した2つの軸でできている。移行はこの2つを1つずつ動かすことで、動かす重さが違う。

到達範囲

どこから、または何から来たかで絞る。ネットワークと TLS の層で判定するため、アプリケーションに影響しない。2つの方式は効く層が違うので重ねられる。

制限しない絞らない。インターネットのどこからでも到達するIPアドレス制限回線の出口のアドレスで絞る。誰かは見ていないクライアント証明書秘密鍵を持つ端末で絞る。誰かは見ていないIPアドレス制限＋クライアント証明書両方を有効にする。AND として働く。移行の途中で使える

本人性

誰かを確かめる。HTTP の層で判定するため、SPA と API の作りに食い込む。

制限しない前段では確かめない。アプリケーション側の認証に委ねるBASIC認証共有のパスワード。識別の単位が無く、1人だけ止められないCognito認証利用者ごと。無効化すれば1人だけ止められる

手① 本人性を替える（BASIC認証 → Cognito認証）

個人を識別できるようになる。SPA と API の改修を伴うため、移行の重い方である。

手② 到達範囲を替える（IPアドレス制限 → クライアント証明書）

絞る対象が場所から端末へ移り、在宅でも通るようになる。アプリケーションには影響しない。

管理の画面を使う運用担当。条件は固定で、上の軸を動かしたときの差だけが出る。

相手	アクセス元	判定	内容

前段の関門は、画面のドキュメントと SPA が叩く XHR を区別しない。区別しないことが問題になる方式がある。

軸	内容	アプリの改修
影響はありません。

いまの選択を何で実現しているか。軸を動かすと、ここも入れ替わる。

軸	実現するもの	変えるときに触る場所

手当てが必要な端末を上に出す。端末の行を開くと、その端末の証明書が並ぶ。

端末・証明書	状態	有効期限
台帳に端末がありません。

いま到達範囲は「制限しない」のため、この台帳は接続の判定に効きません。到達範囲にクライアント証明書を入れると効くようになります。

台帳への操作と、配信側で起きたこと。

時刻	出どころ	種別	内容
読み込み中

この画面が参考になったかを教えてください。いただいた内容は、画面と記事の見直しに使います。

個別のご相談はお問い合わせのページからどうぞ。