サーバーの自動ロックダウン

検索

最終更新日 : 2024年4月5日

ColdFusion

アプリを開く

サーバー自動ロックダウンを使用すると、管理者は ColdFusion サーバーのインストールを保護できます。サーバー自動ロックダウンを使用すると、脆弱性に対するサーバーのセキュリティが高まります。

注意：

サーバーの自動ロックダウンのインストーラーをダウンロードするには、サーバーのロックダウンのダウンロードを参照してください。

現時点では、ColdFusion サーバーをロックダウンする手順は手動です。このドキュメントでは、サーバーのロックダウン（サーバーのロックダウンを自動化する機能）をインストールする手順を説明します。

サーバーを手動でロックダウンする手順は次のとおりです。

IIS をインストール
IIS を設定
ユーザーアカウントを作成
webroot フォルダー構造を設定
webroot の権限を設定
ColdFusion インストーラーを実行
ColdFusion のアップデートをインストール
Web サーバー設定ツール（wsconfig.exe）を実行
ファイルシステムの権限を設定
cf_scripts エイリアスを設定（Linux）
レジストリの権限を変更（Windows）
ColdFusion サービスのログインユーザーを指定
uniworkermap.properties を設定（Windows）
/jakarta 仮想ディレクトリをロックダウン（Windows）
ColdFusion Administrator の設定を変更

手動ではなく、サーバーの自動ロックダウンのインストーラーを使用する場合は、手順やメリットは次のようになります。

すべての手順を自動的に実行
設定要約を表示
インストーラーでエラーが発生した場合は元の設定にロールバックする
サイレントインストール
どのプラットフォームで（Windows および Linux）も使用可能
手動の場合と比べ、大幅に短い時間で設定可能

サーバーをロックダウンする前に、特に次の条件を満たす必要があります。

ColdFusion を本番プロファイルまたは本番プロファイル（セキュア）にインストールして実行する。
Web サーバーをインストールして実行する。
インストール後に ColdFusion Administrator にアクセスしている。

次の前提条件も満たしておくことをお勧めします。

ファイアウォールが有効になっている。
ColdFusion、 Web サーバーおよび webroot が別々のディレクトリにある。
ColdFusion の最新のアップデートがインストールされている。
ファイルシステムが NTFS である。
Apache の web サーバーを使用している UNIX OS の場合は、bin ファイル（httpd）ではなくコントロールスクリプト（apachectl ）を使用して Apache を実行したことを確認してください。
ColdFusion のインストール中に Administrator のリモートコンポーネントを有効にしないでください。

注意：

IIS Windows 2019 で、ロックダウンインストーラーが web サーバーへの接続を試みたときに、MSVCR110.DLL が見つからないことが原因で例外が発生する可能性があります。

この問題を回避するには、 Microsoft Visual C++ 再頒布可能パッケージ 2011 のインストールが必要な場合があります。

Windows - IIS

次の手順に沿ってサーバーのロックダウンをインストールします。

インストーラーを起動するために、セットアップファイルをダブルクリックします。続行するには、「次へ」をクリックし、使用許諾契約に同意します。
インストールの前提条件を確認します。
インストーラーを実行すると、ColdFusion のインストールディレクトリを指定するよう求められます。場所を指定し、「次へ」をクリックします。
画面に表示されるオプションから、ColdFusion を最新バージョンにアップデートするかどうかを選択します。このオプションは、インターネットに接続されており、最新のアップデートをダウンロードできる場合のみ選択します。インターネットに接続されていない場合は、アップデート jar ファイルの場所を指定します。

ColdFusion に最新のアップデートを適用してから、サーバーの自動ロックダウンプロセスを開始することをお勧めします。
ドロップダウンリストから、ロックダウンする ColdFusion インスタンスを選択します。インスタンスごとに、サーバーのロックダウンのインストーラーを別々に実行します。

既にロックダウンされているインスタンスは、「利用可能なインスタンス」ドロップダウンリストに表示されます。
Web サーバーを選択し、「次へ」をクリックします。
IIS の場合は、指定したインスタンスとのコネクタとして実行する必要がある各 web サイトを選択します。この web サイトは、選択した ColdFusion インスタンスとともにロックダウンされます。

複数の web サイトを選択するには、Shift + Alt + Ctrl キーを押しながら各 web サイトをクリックします。

手順 5 で選択したインスタンスとのコネクタとして既に設定されている web サイトは、事前に選択されています。
選択した web サイトのアプリケーションプールの詳細が正しいことを確認します。

アプリケーションプールのユーザーは、IIS webroot および [CF_Home]\config\wsconfig\[コネクタ番号] のコネクタフォルダーに適切な権限を付与するために使用されます。名前が正しいことを確認します。名前が間違っていると、ColdFusion アプリケーションにアクセスできません。アプリケーションプールにマッピングするパスを選択します。

続行するには、「次へ」をクリックします。
選択した web サイトの web サーバーの webroot が正しいことを確認します。

このフォルダーに webroot ファイルが含まれている必要があります。これらのファイルはコネクタのポートを使用して配信されます。
以下に入力した値は、インストーラーによって、ロックダウンガイドで推奨されている ColdFusion Administrator の設定に変更を加える際に使用されます。

このポートは ColdFusion の内部ポートです。コネクタのポートではありません。例えば、ポート 8500 などです。

パスワードは変更および保存されません。このパスワードがそのまま使用されます。ポートが開いていることと、ロックする ColdFusion インスタンスがこのポートを使用して配信されていることを確認します。
OS の管理者ユーザーアカウントの詳細を指定します。この情報は、インストーラーがファイルシステムに変更を加える際に必要になります。このユーザーアカウントは、インストーラーを実行するシステムの管理者アカウントである必要があります。例えば Windows では、Administrator などになります。

このケースでは、ドメインは、管理者アカウントがあるドメインか、ローカルアカウントの場合はマシン名になります。

パスワードは変更および保存されません。このパスワードは、インストール時にエラーが発生した場合に、レジストリおよびサービスに対する変更をロールバックする際に必要になります。
ColdFusion サービスを実行するユーザーが既にいる場合は、「はい」を選択し、ユーザーの情報を入力します。まだユーザーがいない場合は、「いいえ」を選択し、ユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。

注意：

ColdFusion サービスの新しい所有者となるユーザーは、ColdFusion へのアクセスが制限されるように、低い特権を持つユーザーでなければなりません。
シャットダウンポートを入力します。続行するには、「次へ」をクリックします。

注意：

このポートは、ロックダウンする ColdFusion サーバーがイントラネット上にある場合にのみ変更します。ネットワーク内の他のユーザーがこのシャットダウンポートを使用する可能性があります。マシンが独立している場合は、シャットダウンポートを変更する必要はありません。
プリインストールの要約を確認してから、「インストール」をクリックしてサーバーの自動ロックダウンを開始します。

注意：

ロックダウンが終わったら、<CF_HOME>/lockdown/<INSTANCE_TO_LOCKDOWN>/logs/ フォルダーのインストールログを確認します。このログファイルには、アクションと各アクションのステータスが一覧表示されます。

Windows - Apache

次のインストール画面は Apache の場合のものです。最初のいくつかの画面は、IIS と Apache の両方で共通です。

インストーラーがチェックする web サーバーの設定を指定する際に、「Apache」を選択します。「インストール」をクリックします。
以下に入力した値は、インストーラーによって、ロックダウンガイドで推奨されている ColdFusion Administrator の設定に変更を加える際に使用されます。

このポートは ColdFusion の内部ポートです。コネクタのポートではありません。例えば、ポート 8500 などです。

パスワードは変更および保存されません。このパスワードがそのまま使用されます。ポートが開いていることと、ロックする ColdFusion インスタンスがこのポートを使用して配信されていることを確認します。
OS の管理者ユーザーアカウントの詳細を指定します。この情報は、インストーラーがファイルシステムに変更を加える際に必要になります。このユーザーアカウントは、インストーラーを実行するシステムの管理者アカウントである必要があります。例えば Windows では、Administrator などになります。

このケースでは、ドメインは、管理者アカウントがあるドメインか、ローカルアカウントの場合はマシン名になります。

パスワードは変更および保存されません。このパスワードは、インストール時にエラーが発生した場合に、レジストリおよびサービスに対する変更をロールバックする際に必要になります。
ColdFusion サービスを実行するユーザーが既にいる場合は、「はい」を選択し、ユーザーの情報を入力します。まだユーザーがいない場合は、「いいえ」を選択し、ユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。

注意：

ColdFusion サービスの新しい所有者となるユーザーは、ColdFusion へのアクセスが制限されるように、低い特権を持つユーザーでなければなりません。
Web サーバーを実行するユーザーが既にいる場合は、「はい」を選択し、ユーザーの情報を入力します。まだユーザーがいない場合は、「いいえ」を選択し、ユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、Apache サービスの実行に使用されるローカルシステムにユーザーが作成されます。

ColdFusion サービスと Apache サービスを実行するユーザーは、同一にしないことをお勧めします。

注意：

ColdFusion サービスの新しい所有者となるユーザーは、ColdFusion へのアクセスが制限されるように、低い特権を持つユーザーでなければなりません。
Apache の conf ディレクトリへのパスを指定します。
Apache のバイナリファイルのパスを指定します。
Apache の webroot へのパスを指定します。
Web サイトにファイルをアップロードする場合は、「はい」を選択し、これらのファイルをアップロードするフォルダーを指定します。

デフォルトでは、「いいえ」オプションが選択されています。
/cf_scripts/scripts のエイリアスを入力し、/cf_scripts/scripts へのすべての呼び出しをブロックします。
シャットダウンポートを入力します。続行するには、「次へ」をクリックします。

Linux

サーバーの自動ロックダウンのインストーラーを起動するために、セットアップファイルをダブルクリックします。
インストールの前提条件を確認します。
インストーラーを実行すると、ColdFusion のインストールディレクトリを指定するよう求められます。場所を指定し、「次へ」をクリックします。
画面に表示されるオプションから、ColdFusion を最新バージョンにアップデートするかどうかを選択します。このオプションは、インターネットに接続されており、最新のアップデートをダウンロードできる場合のみ選択します。インターネットに接続されていない場合は、アップデート jar ファイルの場所を指定します。

ColdFusion に最新のアップデートを適用してから、サーバーの自動ロックダウンプロセスを開始することをお勧めします。
ドロップダウンリストから、ロックダウンする ColdFusion インスタンスを選択します。インスタンスごとに、サーバーのロックダウンのインストーラーを別々に実行します。

既にロックダウンされているインスタンスは、「利用可能なインスタンス」ドロップダウンリストに表示されます。
Web サーバー（この例では「Apache」）を選択します。
以下に入力した値は、インストーラーによって、ロックダウンガイドで推奨されている ColdFusion Administrator の設定に変更を加える際に使用されます。

このポートは ColdFusion の内部ポートです。コネクタのポートではありません。例えば、ポート 8500 などです。

パスワードは変更および保存されません。このパスワードがそのまま使用されます。ポートが開いていることと、ロックする ColdFusion インスタンスがこのポートを使用して配信されていることを確認します。
OS の管理者ユーザーアカウントの詳細を指定します。この情報は、インストーラーがファイルシステムに変更を加える際に必要になります。このユーザーアカウントは、インストーラーを実行するシステムの管理者アカウントである必要があります。例えば Windows では、Administrator などになります。

このケースでは、ドメインは、管理者アカウントがあるドメインか、ローカルアカウントの場合はマシン名になります。

パスワードは変更および保存されません。このパスワードは、インストール時にエラーが発生した場合に、レジストリおよびサービスに対する変更をロールバックする際に必要になります。

Linux では、パスワードはオプションです。
ColdFusion サービスを実行するユーザーが既にいる場合は、「はい」を選択し、ユーザーの情報を入力します。まだユーザーがいない場合は、「いいえ」を選択し、ユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。

Linux では、パスワードはオプションです。
Web サーバーを実行するユーザーが既にいる場合は、「はい」を選択し、ユーザーの情報を入力します。まだユーザーがいない場合は、「いいえ」を選択し、ユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。

Linux では、パスワードはオプションです。
Apache の conf ディレクトリへのパスを指定します。
Apache のバイナリファイルのパスを指定します。
Apache webroot へのパスを指定します。
Web サイトにファイルをアップロードする場合は、「はい」を選択し、これらのファイルをアップロードするフォルダーを指定します。
/cf_scripts/scripts への呼び出しを制限するために、その場所のエイリアスを入力します。
シャットダウンポートを入力します。続行するには、「次へ」をクリックします。

Mac OS

サーバーの自動ロックダウンのインストーラーを起動するために、セットアップファイルをダブルクリックします。
インストールの前提条件を確認します。
インストーラーを実行すると、ColdFusion のインストールディレクトリを指定するよう求められます。場所を指定し、「次へ」をクリックします。
画面に表示されるオプションから、ColdFusion を最新バージョンにアップデートするかどうかを選択します。このオプションは、インターネットに接続されており、最新のアップデートをダウンロードできる場合のみ選択します。インターネットに接続されていない場合は、アップデート jar ファイルの場所を指定します。

ColdFusion に最新のアップデートを適用してから、サーバーの自動ロックダウンプロセスを開始することをお勧めします。
ドロップダウンリストから、ロックダウンする ColdFusion インスタンスを選択します。インスタンスごとに、サーバーのロックダウンのインストーラーを別々に実行します。

既にロックダウンされているインスタンスは、「利用可能なインスタンス」ドロップダウンリストに表示されます。
Web サーバー（この例では「Apache」）を選択します。
以下に入力した値は、インストーラーによって、ロックダウンガイドで推奨されている ColdFusion Administrator の設定に変更を加える際に使用されます。

このポートは、ColdFusion の内部ポートで、コネクタポートではありません。例えば、ポート 8500 などです。

パスワードは変更および保存されません。このパスワードがそのまま使用されます。ポートが開いていることと、ロックする ColdFusion インスタンスがこのポートを使用して配信されていることを確認します。
OS の管理者ユーザーアカウントの詳細を指定します。この情報は、インストーラーがファイルシステムに変更を加える際に必要になります。このユーザーアカウントは、インストーラーを実行するシステムの管理者アカウントである必要があります。例えば Windows では、Administrator などになります。

このケースでは、ドメインは、管理者アカウントがあるドメインか、ローカルアカウントの場合はマシン名になります。

パスワードは変更および保存されません。このパスワードは、インストール時にエラーが発生した場合に、レジストリおよびサービスに対する変更をロールバックする際に必要になります。
ColdFusion サービスを実行するユーザーが既にいる場合は、「はい」を選択し、ユーザーの情報を入力します。まだユーザーがいない場合は、「いいえ」を選択し、ユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。
Web サーバーを実行するユーザーが既にいる場合は、「はい」を選択し、ユーザーの情報を入力します。まだユーザーがいない場合は、「いいえ」を選択し、ユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。
Apache の conf ディレクトリへのパスを指定します。
Apache のバイナリファイルのパスを指定します。
Apache webroot へのパスを指定します。
Web サイトにファイルをアップロードする場合は、「はい」を選択し、これらのファイルをアップロードするフォルダーを指定します。
/cf_scripts/scripts への呼び出しを制限するために、その場所のエイリアスを入力します。
シャットダウンポートを入力します。続行するには、「次へ」をクリックします。
プリインストールの要約を確認して、「インストール」をクリックします。

Solaris

サーバーの自動ロックダウンのインストーラーを起動するには、コマンドラインでファイル名を入力します。
使用許諾契約に同意します。
インストールの前提条件を確認します。
インストーラーを実行すると、ColdFusion のインストールディレクトリを指定するよう求められます。場所を指定し、Enter キーを押します。
ColdFusion を最新バージョンにアップデートするかどうかを、オプション（「1-はい」または「2-いいえ」）で選択します。このオプションは、インターネットに接続されており、最新のアップデートをダウンロードできる場合のみ選択します。インターネットに接続されていない場合は、アップデート jar ファイルの場所を指定します。

ColdFusion に最新のアップデートを適用してから、サーバーの自動ロックダウンプロセスを開始することをお勧めします。
ロックダウンする必要がある ColdFusion インスタンスを入力します。インスタンスごとに、サーバーのロックダウンのインストーラーを別々に実行します。
Web サーバー（この例では「Apache」）を入力します。
以下に入力した値は、インストーラーによって、ロックダウンガイドで推奨されている ColdFusion Administrator の設定に変更を加える際に使用されます。

このポートは、ColdFusion の内部ポートで、コネクタポートではありません。例えば、ポート 8500 などです。

パスワードは変更および保存されません。このパスワードがそのまま使用されます。ポートが開いていることと、ロックする ColdFusion インスタンスがこのポートを使用して配信されていることを確認します。
OS の管理者ユーザーアカウントの詳細を指定します。この情報は、インストーラーがファイルシステムに変更を加える際に必要になります。このユーザーアカウントは、インストーラーを実行するシステムの管理者アカウントである必要があります。

このケースでは、ドメインは、管理者アカウントがあるドメインか、ローカルアカウントの場合はマシン名になります。

パスワードは変更および保存されません。このパスワードは、インストール時にエラーが発生した場合に、レジストリおよびサービスに対する変更をロールバックする際に必要になります。
実行中の ColdFusion サービスのユーザーが既にいる場合は、そのユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。
実行中の web サーバーのユーザーが既にいる場合は、そのユーザーの情報を入力します（ドメイン名はマシン名にします）。これらの情報を使用して、ColdFusion サービスの実行に使用されるローカルシステムにユーザーが作成されます。

パスワードを指定する際は、組織のパスワードポリシーに準拠してください。
Apache の conf ディレクトリへのパスを入力します。
Apache のバイナリファイルのパスを入力します。
Apache の webroot のパスを入力します。
Web サイトにファイルをアップロードする場合は、「1-はい」を選択し、これらのファイルをアップロードするフォルダーを入力します。
/cf_scripts/scripts への呼び出しを制限するために、その場所のエイリアスを入力します。
シャットダウンポートを入力する場合は、「1-はい」を選択するか、Enter キーを押します。
プリインストールの要約を確認し、Enter キーを押してインストールを開始します。