CSRFトークンを使用してクッキーによる認証を強化すると、StorageGRID Webscaleに対するクロスサイト リクエスト フォージェリ(CSRF)攻撃を防ぐことができます。グリッド管理インターフェイスとテナント管理インターフェイスでは、このセキュリティ機能が自動的に有効になっています。他のAPIクライアントでは、この機能を有効にするかどうかをサインインの際に選択できます。
攻撃者が(たとえばHTTPのPOSTを使用して)別のサイトへの要求をトリガーできる場合、サインインしているユーザのクッキーを使用して特定の要求を送信することができます。
StorageGRID Webscaleでは、CSRFトークンを使用してCSRF攻撃を防ぐことができます。この機能が有効な場合、特定のクッキーの内容が特定のヘッダーまたは特定のPOSTパラメータの内容と一致する必要があります。
curl -X POST --header "Content-Type: application/json" --header "Accept: application/json" -d "{ \"username\": \"MyUserName\", \"password\": \"MyPassword\", \"cookie\": true, \"csrfToken\": true }" "https://example.com/api/v2/authorize"
trueに設定すると、グリッド管理インターフェイスへのサインインに対してはGridCsrfTokenクッキーが、テナント管理インターフェイスへのサインインに対してはAccountCsrfTokenクッキーが、それぞれランダムな値を使用して設定されます。
その他の例および詳細については、オンラインのAPIドキュメントを参照してください。