セキュリティ制御
データ暗号化
-
すべての機密データは暗号化され、Qntrlデータベースに保存されます。
-
機密データ。
-
タスクペイロード、レスポンス
-
認証情報
-
Bridgeへの接続に使用されるトークン
-
保存データの暗号化にはAESアルゴリズムが使用されます。
-
暗号化キーは組織ごとに異なり、機密として管理されます。当社の暗号化ポリシーの詳細については、こちらのリンクを参照してください。
-
すべての機密データは暗号化され、必要に応じて、ファイルシステムまたはBridgeデータベースに保存されます。
-
機密データ。
-
Bridge認証情報 - UIでBridgeにログインするため
-
OAuth認証情報 - Qntrlに接続するため
-
登録トークン
-
すべての認証情報はBridgeで作成されます。
-
データの暗号化にはAESアルゴリズムが使用されます。
-
Bridgeのインストール時に一意の暗号化キーが生成されます。そのため、暗号化されたデータが漏えいしても、元のデータを閲覧することは困難です。
-
タスクペイロードには機密情報が含まれる場合があります。そのため、プロトコルによる暗号化に加えて、元のデータの漏えいを防ぐためにペイロードも暗号化されます。
-
ペイロードの暗号化にはAES/SHA256アルゴリズムが使用されます。
-
ログ内の機密データは、Qntrl側とBridge側の両方でマスクされます。
認証情報
-
ユーザーはQntrlまたはBridgeで認証情報を作成できます。どちらの場合も、データは暗号化され、それぞれのデータベースに保存されます。
-
Qntrlで作成された認証情報は、当社のEARポリシーに従って暗号化されます。認証情報には、プロフィールレベルの権限を設定できます。また、認証情報を表示できるのは作成したユーザーのみです。
-
Bridgeで作成された認証情報は、AES/CBC/PKCS5PモードのAESアルゴリズムを使用して暗号化されます。
権限
- 設定権限を持つユーザーのみがBridgeをダウンロードしてインストールできます。
- また、適切な権限を持つユーザーは、Bridgeのタスクやコマンドを実行できます。
認証
-
Bridgeは、Qntrlとの通信にHTTPSおよびWSSプロトコルを使用します。
-
HTTPS呼び出しは、初回登録時とサーバー起動時に1回使用されます。この呼び出しは、Bridgeに同梱されている登録トークンによって認証されます。
-
この登録トークンは、認証に成功するとレスポンスを返し、そのレスポンスにはWebSocketを作成するためのキーが含まれます。そのレスポンスを使用してWebSocketが作成され、BridgeとQntrlの間に接続が確立されます。
-
以降の通信はWSSプロトコル経由で行われ、WebSocket経由のすべてのリクエストはQntrl側で検証されます。
ネットワークセキュリティ
-
受信リクエスト：受信リクエスト用にファイアウォールを設定する必要はありません。すべての受信リクエストはWebSocket通信経由で処理されます。
-
送信リクエスト：送信リクエスト用に、ファイアウォールで次のドメインを許可リストに登録する必要があります。特定のドメインはデータセンターの場所によって異なる場合があることにご注意ください。米国のデータセンターでは、次のドメインを許可する必要があります。
-
core.qntrl.com
-
accounts.zoho.com
-
bridgews.qntrl.com
リソース制限
-
ブリッジに設定されているJavaプロセスメモリーは、増減できます。負荷の高いタスクや長時間実行されるタスクを頻繁に実行する場合は、wrapper.java.maxmemory プロパティをwrapper-bridge.conf（confフォルダー内）で変更することで、上限を引き上げることができます。
-
値はMB単位で指定します。たとえば、プロセスメモリーとして1GBを設定する場合、値は1024にします。
-
プロパティを変更した場合は、ブリッジの再起動が必要です。
- ユーザーは、要件に応じて実行用のスレッド数を設定できます。詳細については、このリンクを参照してください。
- ユーザーは、スレッドプールごとに異なる値を設定できます。
- 要求プール - Qntrlからタスクを受信し、タスクプールに転送します。
- 応答プール - タスクの実行後に応答を受信し、その応答をQntrlに返します。
- 非同期プール - Qntrlからの非同期タスクを実行します。
- 同期プール - Qntrlからの同期タスクを実行します。
- SFTPプール - ファイル管理タスクはこのプールで実行されます。
- クラスターオプションでは、負荷分散やフェイルオーバーのために、同種のブリッジをグループ化できます。クラスターの詳細については、こちらを参照してください。
プロキシ
-
送信リクエスト用のプロキシを設定できます。プロキシを設定するには、Unix系システムではset_proxy.sh を実行し、Windowsシステムではset_proxy.bat を実行します。
-
プロキシを設定した後は、ブリッジの再起動が必要です。
-
プロキシを設定すると、WebSocketを含むすべてのリクエストはプロキシサーバー経由で送信されます。
その他のセキュリティ対策
-
登録トークンは、ダウンロードしたzip／インストーラーに同梱され、使用されると失効します。また、ダウンロード時点から14日以内に使用されない場合も無効になります。さらに、組織内の各ユーザーには一意のトークンが割り当てられます。
-
Register APIは、レスポンスとして接続情報と更新トークンを提供します。ブリッジが再起動されると、更新トークンを使用して接続情報が取得され、その接続情報を使用してWebSocketが作成されます。
-
更新トークンは暗号化され、ブリッジのインストールフォルダー内に保存されます。WebSocket接続の確立に使用される接続情報はどこにも保存されず、登録トークンまたは更新トークンを使用した場合にのみ取得できます。
-
登録トークンは初回登録時にのみ使用されます。以降の通信はWebSocket経由で行われます。通信には、セキュリティを確保するためにSecure WebSocket（WSS）プロトコルが使用されます。
-
ユーザーにはプロファイルレベルの権限が付与されており、タスク実行時に他のユーザーの認証情報を利用できます。認証情報のデータは機密として扱われ、作成したユーザー以外はアクセスできません。また、認証情報を変更または削除できるのは、最初に作成したユーザーのみです。特権管理者は認証情報を削除できますが、関連データの表示や変更はできません。
-
さらに、Qntrl側では、組織内でメッセージをトリガーする際のユーザーごとのしきい値制限と、組織レベルのAPI制限を利用できます。