セッション管理に関するセキュリティ設定

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• セッション管理に関して、いくつかのセキュリティ設定要件がある。
  
  

Environment

• Liferay DXP 7.4

解決策

• アプリケーションは'referrer' ヘッダーを補助的なチェックとしてのみ使用する。
  • 多くのブラウザはこのヘッダーを送信しないので、安全でも信頼できるものでもありません。 この注釈により、'referrer'ヘッダーが認可チェックに使用されないことが確認された。
• 長時間認証されたセッションが許可されている場合、アプリケーションは定期的にユーザの権限を再検証し、権限が変更されていないことを確認し、変更されている場合、ユーザはログアウトされ、再認証が強制される。
  • 認証されたユーザーの権限変更はリアルタイムで適用され、ログアウトして再認証する必要はない。
• アプリケーションは、アカウントの無効化をサポートし、認可が停止されたときにセッションを終了する(例えば、役割の変更)。
  • Liferay は、 your account with login [e-mail] is not active というメッセージとともに、リアルタイムでアカウントを無効にします。 詳しくは管理者にお問い合わせください。 管理者ユーザーによってユーザーが無効化された場合でも、セッションは有効ですが、無効化されたユーザーは何も実行できません。

追加情報

• これ以上の情報が必要な場合は、HCチケットを提出してください。