IEのゾーンと統合認証
今回はInternet Explorerの「ゾーン」と統合認証についての話です。 IEのゾーンとは IEの「ゾーン」とはセキュリティを高めるためにある仕組みで、信頼できるサイトでは、色々なことを許可し、信頼できないサイトでは極力できることを絞る･･･ということを自動的に行ってくれる仕組みです。 IEを立ち上げて、ウインドウ右下の「ゾーン」を確認してみましょう。以下はIE7でYahoo! Japanを表示したところですが、「インターネットゾーン」として認識されています。 このようにインターネット上のサイトは「インターネットゾーン」にあるものとして扱われ、できることを比較的絞った状態になっています。例えば未署名のActiveXコントロールはダウンロードできません。 ゾーンとしては以下の種類があります。 - インターネット - ローカルイントラネット - 信頼済みサイト - 制限つきサイト ぞれぞれのゾーンのレベルのカスタマイズ(できること、できないことを設定すること)は「ツール」→「インターネットオプション」→「セキュリティ」タブから行えます。 IEのシングルサインオン で、このゾーンの設定の中にシングルサインオンの設定があり、ゾーンの判定とあいまってなかなかわかりづらい挙動をしてくれます。今回はそこをお伝えしたいのです。 良くあるのが、Active Directory環境下で - IISでWebサイトを構築していてWindows統合認証に設定しているのに、アクセスするとIDとパスワードを求められてしまう - でも、IDとパスワードを求められないケース(端末、ユーザー)もある という問題です。 これは実は、セキュリティレベルの設定と、ゾーンの判定によって起こされています。 まず重要なのはそれぞれのゾーンにある、「ユーザー認証」の設定です。 規定の状態では、どのゾーンに関しても「イントラネットゾーンでのみ自動的にログオンする」という設定になっています。 なので、 - イントラネットゾーンであればWindows統合認証を使って、ドメインにログオンしているユーザーならそのIDで自動的にWebサイトにログオンする - イントラネットゾーン以外のゾーンではIDとパスワードを聞かれる という挙動になります。 どのサイトがどのゾーンに含まれるのか では、どのサイトがどのゾーンに含まれるのでしょうか?それは以下のようなルールになっています。 - 信頼済みサイト - 明示的にユーザーがアドレスを追加したサイト。 - 制限付きサイト - 明示的にユーザーがアドレスを追加したサイト。 - ローカルイントラネット - 自動判定。 - 明示的にユーザーがアドレスを追加することもできる。 - インターネット - 信頼済みサイト、制限付きサイトに含まれておらず、ローカルイントラネットと、自動判定されなかったサイト。 つまり、ローカルイントラネットの自動判定ロジックが肝になります。 ローカルイントラネットの判定基準 今回の話の一番重要なところです。ローカルイントラネットの判定基準は、規定の状態では - URLに.(ドット)が含まれるかどうか が判断基準になっています。URLに.(ドット)が含まれればそれはローカルイントラネットではなく、URLに.(ドット)が含まれなければそれはローカルイントラネットなのです。 ...