オリジン HTTP ヘッダーの必須の検証

オリジン間リソース共有 (CORS) に関連する攻撃に対する保護を強化するために、HTTP ヘッダー オリジン（HTTP 要求に存在する場合）は、デフォルトで Horizon 設定の許可されたオリジンの許可リストに対して検証されます。このリストには、以下が含まれます。

• ネットワーク構成、Horizon 設定、高可用性設定に基づいて動的に計算されるオリジン。これらのオリジンはすべて自動的に許可されます。
• 管理者が明示的に構成できるオリジン。

自動許可リスト

Horizon 設定を保存すると、以下の項目が自動的に許可リストに追加されます。自動許可リストの項目は、管理者が削除することはできません。

• 個々のネットワーク インターフェイスの IP アドレス
• システム構成に記載されている UAG 名
• 高可用性仮想 IP アドレス
• Tunnel 外部 URL と Tunnel URL
• Blast 外部 URL および Blast URL（ポートが指定されていないか 8443 に等しくない場合）。

次のオリジン ヘッダー形式の受信要求はすべて許可されます。

• https://<ホスト名または IP アドレス>
• https://<ホスト名または IP アドレス>:443
• <ホスト名または IP アドレス>
• <ホスト名または IP アドレス>:443
• http://<ホスト名または IP アドレス>
• http://<ホスト名または IP アドレス>:80

明示的に構成されたリスト

HTTP 要求が Unified Access Gateway に到達可能で、オリジン ヘッダーに動的に計算された値以外の値が設定される場合は、次のいずれかの方法を使用して、管理者が明示的にこれらの値を許可リストに追加する必要があります。

• 管理ユーザー インターフェイスの [Edge サービスの設定] > [Horizon 設定] で [自動許可リスト] 設定を使用する。
• PowerShell スクリプトを使用してデプロイするときに .ini ファイルを使用する。このリストの構成に役立つサンプルの INI ファイルがデプロイ スクリプトに含まれています。

サンプル構成

[Horizon]
....
originCheckEnabled=true
originHeaderDetailsList=1,2,3

[OriginHeaderDetails1]
origin=userorigin.com
rewriteEnabled=true

[OriginHeaderDetails2]
origin=tunnelurl.com
rewriteEnabled=false

[OriginHeaderDetails3]
origin=https://uag-origin.test.com:443
rewriteEnabled=true

デフォルトでは、自動許可リスト内のすべてのエントリに対して、[オリジンの書き換え] トグル（管理ユーザー インターフェイス）または .ini ファイルの rewriteEnabled フィールドが無効になっています。これが特定のオリジンに対して有効になっていて、HTTP 要求の HTTP ヘッダー オリジンにこの値が含まれている場合、この HTTP ヘッダー値は、Unified Access Gateway が Horizon Connection Server に要求を送信するときに Connection Server URL で指定された値に書き換えられます。

HTTP 要求のオリジン ヘッダー値がこの許可リストに含まれていない場合、HTTP 404 で応答します。

旧バージョンから 25.03 以降へのアップグレード

アップグレード後に Unified Access Gateway への HTTP 要求に自動許可リストに含まれていないオリジン値がある場合、管理者は手動で追加する必要があります。「明示的に構成されたリスト」を参照してください。