IP 許可リストポリシー
ポリシー名 |
IP 許可リスト |
概要 |
IP アドレスのリストまたは範囲からのアクセス要求を許可する |
カテゴリ |
セキュリティ |
使用可能な最小 Mule バージョン |
v4.1.0 |
返される状況コード |
403 - IP は拒否されました |
概要
IP 許可リストポリシーは、ソース IP (ポリシーの設定時に指定します) が個別 IP のリストまたは IP 範囲と一致した場合に、指定された IP アドレスのリストまたは範囲に保護対象のリソースへのアクセスを許可します。
ビジネスのニーズに応じて、Mule 4 では DataWeave 2.0 式、Mule 3 では MEL 式を指定します。これらの式により、IP がポリシーの制約 IP リストに含まれているかどうかを確認するためにポリシーで使用されるソース IP を定義します。
ポリシーのパラメーターの設定
Mule ゲートウェイ
UI から IP 許可リストポリシーを API に適用する場合は、以下のパラメーターを設定します。
| パラメーター | 説明 |
|---|---|
IP 式 |
この API 要求から IP アドレスを抽出するために使用する DataWeave 2.0 または MEL 式。 |
許可リスト |
API へのアクセスを許可する IP アドレスのリスト。IP または IP 範囲は一度に 1 つずつ、必要なだけ何度も定義できます。 詳細は、「ポリシーで許可リスト登録する IP アドレスの指定」を参照してください。 |
Method & Resource conditions (メソッドとリソースの条件) |
API の一部またはすべてのメソッドおよびリソースに設定を追加するオプション。 |
ポリシーで許可リスト登録する IP アドレスの指定
次の情報に基づいてポリシーへのアクセスを許可する IP アドレスを指定します。
-
要求の IP アドレス。
-
特定の DataWeave 式または MEL 式を解決することで決定される発生元 IP アドレス ( x-Forwarded-For ヘッダーなど)。
-
その他のすべての発生元。
要求の IP アドレスに基づいてアクセスを許可リストに登録する
次のいずれかの方法で、要求の IP アドレスに基づいて許可リストにアクセスします。
-
特定の IP アドレスを定義するには、そのアドレスのみを [Allowlist (許可リスト)] 項目に指定します (例:
192.168.1.1)。 -
アドレスのサブセットを定義するには、サブセットマスクを指定します。たとえば、
192.168.3.1/30 など (これには、統合範囲 192.168.3.01 ～ 192.168.3.3 が含まれます)。 -
IP アドレスの範囲全体を定義するには、許可する IP アドレスの関連オクテットを指定します。たとえば、「
192.168>」と設定すると、192.168.0.0 ～ 192.168.255.255 の IP アドレスが含まれます。
x-Forwarded-For ヘッダーの発生元 IP アドレスに基づいてアクセスを許可リスト登録する
クライアントが HTTP プロキシまたはロードバランサーを介して API に接続している場合、要求に含まれるアドレスではなく、クライアントの特定の IP アドレス (要求の発生元 IP アドレス) を許可リスト登録できます。
たとえば、192.168.2.3 (非公開 IP) を許可リスト登録して、HTTP プロキシを介して接続しているクライアントのアドレスが 92.40.1.255 (公開 IP) である場合、クライアントの要求は、プロキシを使用した公開アドレスで表示されます。
通常、アプリケーションは X-Forwarded-For ヘッダーを使用して、エンドポイントにリダイレクトされた要求の発生元 IP アドレスを識別します。
ポリシーで DataWeave 2.0 または MEL 式を使用して (Mule 3 のみ)、サービスに x-Forwarded-For ヘッダー内の IP アドレスを探すように指示できます。
ポリシーパラメーターの [IP expression (IP 式)] 項目で IP アドレスを指定すると、Anypoint Platform は要求の x-Forwarded-For ヘッダーの連結値に含まれる最初の IP アドレスを参照するように指示されます。