クロスサイト リクエスト フォージェリ（CSRF）の防止

Cross-Site Request Forgery（CSRF;クロスサイト リクエスト フォージェリ）トークンを使用してクッキーによる認証を強化すると、StorageGRIDに対するCSRF攻撃を防ぐことができます。Grid ManagerとTenant Managerでは、このセキュリティ機能が自動的に有効になっています。他のAPIクライアントでは、この機能を有効にするかどうかをサインインの際に選択できます。

攻撃者が（たとえばHTTPのPOSTを使用して）別のサイトへの要求をトリガーできる場合、サインインしているユーザのクッキーを使用して特定の要求を送信することができます。

StorageGRIDでは、CSRFトークンを使用してCSRF攻撃を防ぐことができます。この機能が有効な場合、特定のクッキーの内容が特定のヘッダーまたは特定のPOSTパラメータの内容と一致する必要があります。

curl -X POST --header "Content-Type: application/json" --header "Accept: application/json" -d "{
  \"username\": \"MyUserName\",
  \"password\": \"MyPassword\",
  \"cookie\": true,
  \"csrfToken\": true
}" "https://example.com/api/v3/authorize"

trueに設定すると、Grid Managerへのサインインに対してはGridCsrfTokenクッキーが、Tenant Managerへのサインインに対してはAccountCsrfTokenクッキーが、それぞれランダムな値を使用して設定されます。

その他の例および詳細については、オンラインのAPIドキュメントを参照してください。