CORS/CSP の設定

Amazon および Azure のストレージバケットへの Web ブラウザーアクセスは、クロスオリジンリソース共有 (CORS) とコンテンツセキュリティポリシー (CSP) の設定により制限される場合があります。

Orchestrator のストレージが Azure または Amazon を使用するよう設定されている場合、Orchestrator のバケットにもこの制限が適用されます。

Orchestrator の UI からバケットのコンテンツにアクセスする際に不具合が発生する操作は以下のとおりです。

ストレージバケットへファイルをアップロードする
ストレージバケットからファイルをダウンロードする
バケットに保存された画像を使用する、ドキュメント検証アクションまたはフォームアクションを開く

注: CORS や CSP のポリシーはブラウザー固有のもので、ブラウザーレベルでのみ検証/適用されるため、アクティビティを使用してストレージファイルへアクセスする場合はこれらのポリシーの影響を受けません。

CORS と CSP の両方で、Web アプリケーションで識別されるエンティティをホワイトリストに登録できます。それぞれの詳細については以下をご覧ください。

CORS

CORS は、ドメインの境界を越えて Web ページ上のリソースにアクセスできるようにするメカニズムです。

Orchestrator による Amazon や Azure のストレージバケットへの Web ブラウザーアクセスは、プロバイダー側の同一オリジンポリシーにより制限される可能性があります。Orchestrator の UI から上記のバケットのコンテンツに正常にアクセスするには、Orchestrator からのクロスオリジン要求を許可するように各プロバイダーを設定する必要があります。

注:

フロントエンドの DNS を変更する場合は、すべてのストレージバケット (S3 またはそれに対応するもの)、または Orchestrator がアクセスするすべての Azure Storage アカウントの CORS 設定を更新する必要があります。

Amazon S3

Orchestrator からの GET および PUT 要求を許可するルールを追加します。たとえば、次のようになります。

[
    {
        "AllowedHeaders": [
            "*"
        ],
        "AllowedMethods": [
            "GET",
            "PUT"
        ],
        "AllowedOrigins": [
            "https://your.orchestrator.dns.name"
        ],
        "ExposeHeaders": []
    }
][
    {
        "AllowedHeaders": [
            "*"
        ],
        "AllowedMethods": [
            "GET",
            "PUT"
        ],
        "AllowedOrigins": [
            "https://your.orchestrator.dns.name"
        ],
        "ExposeHeaders": []
    }
]

クロスオリジンリソース共有についての Amazon S3 の公式ドキュメントは、こちらからご確認ください。

Azure

Orchestrator からの要求に対する GET および PUT 操作を有効化します。たとえば、次のようになります。

<Cors>
<CorsRule>
<AllowedOrigins>http://your.orchestrator.dns.name</AllowedOrigins>
<AllowedMethods>PUT,GET</AllowedMethods>
<AllowedHeaders>*</AllowedHeaders>
<ExposedHeaders>*</ExposedHeaders>
</CorsRule>
</Cors><Cors>
<CorsRule>
<AllowedOrigins>http://your.orchestrator.dns.name</AllowedOrigins>
<AllowedMethods>PUT,GET</AllowedMethods>
<AllowedHeaders>*</AllowedHeaders>
<ExposedHeaders>*</ExposedHeaders>
</CorsRule>
</Cors>

注: URL の最後にスラッシュを入れないでください。

クロスオリジンリソース共有についての Azure の公式ドキュメントはこちらからご確認ください。

CSP

コンテンツセキュリティポリシーは、信頼されたホスト一式の外部で Web アプリが要求を行わないようにするためのセキュリティレイヤーです。

ストレージバケットを使用する際、Azure または Amazon S3 が有効化されている、または Orchestrator の複合ストレージが Azure または Amazon S3 を使用するよう設定されている場合は、Orchestrator はこれらのプロバイダーに対する呼び出しを自動的に許可します。

重要: CSP の問題を回避するには、コンテナーに対して Azure や Amazon の正規の名前を使用し、バニティ URL は避けてください。

CSP で発生する可能性のある問題を解決するには、アプリの設定の Buckets.ContentSecurityPolicy を追加し、その値として、許可されるすべてのドメインをコンマ区切りのリストで設定します。このパラメーターは Azure や AWS に関する Orchestrator の設定を上書きするため、必要に応じて Azure および/または AWS も追加するようにします。