質問: さくらVPS for Windows Serverというクラウドサービスを使い、IISでサイトを公開しています。 IISでは社内アプリのダウンロードサイトを公開しています。 そのサイト自体は、AzureADと連携させて、マイクロソフトアカウントでログインするようにしていますので、安全かと判断しています。 一方で、社内アプリ自体は、.NET Framework のClickOnceを使っていて、社内アプリのダウンロード時やアップデート時には、IISの仮想フォルダにアクセスしています。 IISではフォルダ階層が表示されないようにしていますので、正確なフォルダ名やファイル名が分からない限りアクセスできないとは思うのですが、何らかの方法でフォルダ名やファイル名を見つけられれば自由にアクセスできてしまうので、そこに不安を感じています。 ハッカー等が踏み台を探している中で、当社のこのサイトを見つけ、何らかの方法でフォルダ名やファイル名を見つけることは、現実としてあり得るのでしょうか? あり得るとしたら、AzureADとさくらVPSのActiveDirectoryの連携をして、権限設定すればできそうな気はするのですが、私の能力不足で全く理解が出来ません。 次善の策として、 ・ダウンロードサイトから社内アプリのClickOnceでのダウンロード時には、ダウンロードサイトのほうで各アプリの仮想フォルダのアクセス権限を書き換え、ダウンロード時だけIIS_IUSRSの権限を読み込み可にして、それが終わったら権限を無くす。 ・社内アプリのClickOnceでのアップデート時には、そのアプリ自体からその仮想フォルダのアクセス権限を書き換え、アップデート時だけIIS_IUSRSの権限を読み込み可にして、それが終わったら権限を無くす。 以上のようにすればできそうな気がするのですが、セキュリティ的にどうなのでしょうか? 教えてください。
回答: > > セキュリティ的にどうなのでしょうか > > > 「よくわからないけどこういう方法を思いついた」というのはセキュリティ的には論外だと思います。 Microsoftのドキュメントによれば > > ClickOnce アプリケーションを配置する場合、Windows 認証以外の認証シナリオはサポートされません。 > > > ということなので、ADと連携して認証させるか、ローカルのサーバに配置してください。