Cross-Site Request Forgery(CSRF;クロスサイト リクエスト フォージェリ)トークンを使用してクッキーによる認証を強化すると、StorageGRIDに対するCSRF攻撃を防ぐことができます。Grid ManagerとTenant Managerでは、このセキュリティ機能が自動的に有効になっています。他のAPIクライアントでは、この機能を有効にするかどうかをサインインの際に選択できます。
攻撃者が(たとえばHTTPのPOSTを使用して)別のサイトへの要求をトリガーできる場合、サインインしているユーザのクッキーを使用して特定の要求を送信することができます。
StorageGRIDでは、CSRFトークンを使用してCSRF攻撃を防ぐことができます。この機能が有効な場合、特定のクッキーの内容が特定のヘッダーまたは特定のPOSTパラメータの内容と一致する必要があります。
curl -X POST --header "Content-Type: application/json" --header "Accept: application/json" -d "{ \"username\": \"MyUserName\", \"password\": \"MyPassword\", \"cookie\": true, \"csrfToken\": true }" "https://example.com/api/v3/authorize"
trueに設定すると、Grid Managerへのサインインに対してはGridCsrfTokenクッキーが、Tenant Managerへのサインインに対してはAccountCsrfTokenクッキーが、それぞれランダムな値を使用して設定されます。
その他の例および詳細については、オンラインのAPIドキュメントを参照してください。