共有環境における Web 用 Store Commerce のセキュリティ ベスト プラクティス

Web 用 Store Commerce は、Web ブラウザーのコンテキストで動作する Web アプリケーションです。 この記事では、共有環境で Web 用 Store Commerce をセキュリティ保護するための推奨事項について説明します。

Web 用 Store Commerce は、Web ブラウザーのコンテキストで動作する Web アプリケーションです。 したがって、ユーザーが Web アプリケーションのコンテキストで任意のスクリプトを実行できるときに攻撃するのは脆弱です。 このような攻撃の要件の 1 つは、個人またはリモート デスクトップ接続を使用して、ユーザーがコンピューターへ物理的にアクセスすることです。 攻撃の脆弱性は、開発者ツールを提供し、十分な特権制御なしでスクリプトを実行できるようにするほとんどのブラウザーの既存の問題です。 Web アプリケーションはホスティング環境にほとんど影響しないため、多層防御を追加することでセキュリティの問題を軽減できます。 ブラウザーとオペレーティング システムの両方の制限付きポリシーを利用することで、多層防御を構築できます。

Web コンピューターに対する Store Commerce の問題への指示

Web 用 Store Commerce のインスタンスがアクティブ化されているオペレーティング システムとブラウザーに関する多層防御の推奨事項を次に示します。 オペレーティング システムの高い特権を持つアカウントで、設定を有効または設定する必要があります。 これらの設定をオーバーライドできない低い特権のアカウントでは、Web 用 Store Commerce を使用する必要があります。 次のすべての設定を有効にします。 そうしないと、セキュリティの悪用を起こしやすいセキュリティ の抜け穴を作成できます。

• 必須 - ブラウザーのアドレス バーでスクリプトの実行を無効にします。
• 必須 - ブラウザーの開発者コンソールを無効にします。
• 必須 - 低い特権を持つユーザーを使用して Web 用の Store Commerce にアクセスします。
• 必須 - キオスク セッションを有効にするグループ ポリシーを設定します。
• 推奨 - セーフ リストに登録された Web サイトのみにアクセスするプロキシを設定します。

Web 用 Store Commerce を実行するブラウザのアドレスバーでスクリプトの実行を無効にする

Internet Explorer - スクリプトの実行を無効にする

Internet Explorer には、アドレス バーでスクリプトの実行を無効にするオプションはありません。 1 つの方法は、アドレス バー自体を非表示にすることです。

1. Web URL の Store Commerce のショートカットを作成し、各ストア ワーカーの Microsoft Windows デスクトップにコピーします。
2. regedit.exe を実行してレジストリを変更し、Internet Explorer アドレス バーを無効にします。 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Internet Explorer\ToolBars\Restrictions]"NoNavBar"=dword:00000001

Microsoft Edge - スクリプトの実行を無効にする

仕様上、Microsoft Edgeアドレス バーでスクリプトが実行されないようにします。 したがって、何もする必要はありません。

Web 用 Store Commerce を実行するブラウザーで開発者コンソールを無効にする

Internet Explorer - 開発者コンソールを無効にする

グループ ポリシー エディターを使用して、次のグループ ポリシーを有効にして、Internet Explorer開発者コンソールを無効にします:\管理用テンプレート\Windows コンポーネント\Internet Explorer\Toolbars\開発者ツールをオフにする="有効"

Microsoft Edge - 開発者コンソールを無効にする

regedit.exe を実行し、開発者コンソールを無効にするレジストリを変更します。 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MicrosoftEdge\F12] "AllowDeveloperTools"=dword:00000000

低い特権を持つユーザーとして Web の Store Commerce にアクセスする

POS (POS) ユーザーは、適用されたポリシーを変更する権限を持たない管理者以外のアカウントである必要があります。

キオスク セッションを有効にするグループ ポリシーを設定

Web ユーザーに対して Store Commerce に次の制限を適用します。

• ファイル システムへのアクセスを制限します。
• コントロール パネルへのアクセスを制限します。
• リムーバブル ドライブへのアクセスを制限します。
• コマンドを実行するシェルへのアクセスを制限します。
• レジストリへのアクセスを制限します。
• アプリケーション管理へのアクセスを制限します。

次のテーブルに、キオスク モードを有効にするグループ ポリシーを示します。 一連のポリシーでは、ログイン スクリプトでブラウザーを起動する必要があります。 これらのポリシーを要件に合わせて調整します。 セキュリティへの影響を常に評価するか、専門家に相談してください。

許可リストに含まれる Web サイトのみにアクセスするようにプロキシを設定する

日常業務で店員 (レジ担当者) が必要とする Web サイトの一覧を定義し、これらの Web サイトにのみアクセス権を持つ管理者制御のプロキシを設定することができます。 Web 用 Store Commerce には、次の Web サイトへのアクセスが必要です。

• Web 向け Store Commerce Web サイト
• Microsoft Entra IDサインイン ページ
• Commerce Scale Unit Web サイト
• Bing Maps リソース
• メディア リソース
• クレジット カード支払引受ページ (オプション)