匿名フォームのAPIアクセスを制限

AgilePoint NX v8.0のリリースに関する発表の一環として、次に匿名フォームの高度なセキュリティ管理機能について見ていきたいと思います。すでにご存知かもしれませんが、匿名フォーム機能は、アプリケーション作成者が顧客向けアプリを作成し、組織外のユーザーに公開するために使用され、それぞれに別々のログインIDを作成する必要はありません。

しかし、これらのフォームは組織外からアクセスできるため、非常に厳格なセキュリティ機能が望まれます。二要素認証、ファイアウォール設定、IPアドレス範囲の許可、暗号化を利用したトークン化URLなど、多くのセキュリティ機能が初めから存在していましたが、我々はそれをさらに一歩進めて、アプリ作成者がこの外部トークンで使用できるAPIを明確にホワイトリスト化できるようにしています。

この機能の主な使用例は、アプリケーション作成者が誤って匿名フォームのアクセストークンで使用されるサービスアカウントに必要以上の権限を与えてしまい、フォーム上で必要以上のAPIを呼び出してしまった場合のセキュリティを提供することです。ベストプラクティスとして、匿名フォームのアクセストークンには最小権限ユーザーを使用することを強くお勧めします。これにより、制限されたAPIにのみアクセスすることができ、既存のすべてのセキュリティメカニズムと組み合わせることで、堅牢なセキュリティを得ることができます。しかし、誤って、もしくはユースケースのために故意に高権限ユーザーを使用する必要があり、高権限ユーザーができることにセキュリティを追加したい場合もあるでしょう。APIの制限機能が、まさにそれを提供します。

実際にこの機能について見てみましょう。