2005年10月3日(月曜日)

Project 2002 と信頼済みサイトゾーンの微妙な関係

Microsoft Project 2002 (www.amazon.co.jp) という、プロジェクト管理のためのソフトウェアがあります。これ自体は普通のクライアントツールで、リソースの情報などを全社的に共有するためには Project Server と呼ばれるサーバが必要です。

その Project 2002 を Project Server と連携させて使おうとすると、少々驚くべき事が起きます。そのサーバのドメインを「信頼済みサイトゾーン」に追加するように求めてくるのです。必要性が理解できませんが、追加しないと使えないようなので、指示に屈して「信頼済みサイトゾーン」にドメインを登録して接続します。すると……パスワードを求めるダイアログが何度も出てきて、何を入れても駄目。結局接続できませんでした。

何が起きたのかは明白です。私は「信頼済みサイトゾーン」のセキュリティレベルを、デフォルトよりも高くしてくして使っています。設定はほぼ「中」のレベルになっていて、これは「インターネットゾーン」の初期値と同じです。そしてイントラネットゾーンは初期状態に近いレベルで使用していて、ほぼ「中低」です。つまり、初期状態では

信頼済みサイトゾーン …… 低
イントラネットゾーン …… 中低

であるので信頼済みサイトゾーンよりもイントラネットゾーンの方がセキュリティレベルが高いのですが、私の場合は

信頼済みサイトゾーン …… 中
イントラネットゾーン …… 中低

ですので、信頼済みサイトゾーンの方がイントラネットゾーンよりもセキュリティレベルが高いという逆転現象が起きています。

そして、私のところの Project Server にアクセスするためには、「ユーザー認証」-「ログオン」の項目が「現在のユーザー名とパスワードでログオンする」になっている必要があるのでした。デフォルトの信頼済みサイトゾーンならそういう設定になっているのでアクセスできるのですが、私のところではそうなっていないのでアクセスできないわけです。

しかし考えてみると、この Project Server はイントラネットゾーン上に存在しているので、「イントラネットゾーンでのみ自動的にログオンする」でも問題ないように思えます。しかし「イントラネットゾーンでのみ自動的にログオンする」では駄目なのです。なぜなら、信頼済みサイトゾーンに登録したことによって、イントラネットゾーンのサイトではなくなっているからです。では、信頼済みサイトゾーンから外してイントラネットゾーンにすればアクセスできるのでしょうか。

理論上は、認証は通るはずです。しかしなんと、Project 2002 はターゲットが信頼済みサイトゾーンに登録されているかどうかをチェックしていて、登録していないと「登録しろ」というダイアログが出てアクセスできないようになっているのでした。

何のためにそんなチェックをしているのか全く理解できないのですが、八方ふさがりです。何か打つ手はないかと探してみると、こんなリソースが見つかりました……「[PRJ2003] Project Professional 2003 でイントラネットゾーンの Project Server に接続するときに、Project Server を信頼済みサイトに追加するよう求めるメッセージが表示されないようにする方法 (support.microsoft.com)」。どうも困っているのは私だけではないようで、いちおう無効にする方法が用意されているのですね。

……Project 2003 では、ですが。Project 2002 では、そのようなレジストリ設定をしても何も起きないようです。もうね……。

「Project 2002 と信頼済みサイトゾーンの微妙な関係」へのコメント (6件)

関連する話題: セキュリティ / Microsoft

ドメイン乗っ取り話

「正しいアドレスなのに別サイト　ドメイン乗っ取り、注意 (www.asahi.com)」。

「DNSサーバの乗っ取り」と「ドメインの期限切れ」は微妙に違うような気がしますけれども……期限が切れたドメインを取得することによって偽セカンダリ DNS サーバを立て、それでドメインを乗っ取るという話もありますのでややこしいですね。ドメイン失効から乗っ取りが起きるパターンは二つあります。

本体のドメインが有効期限切れとなり、それを他人に取得されれば別のサイトになるという当たり前の話。pukiwiki.org がこのタイプ。
セカンダリ DNS サーバのドメインが有効期限切れとなり、他人に取得されて偽の DNS サーバを立てられれば一定確率で偽のサイトに誘導される。fdma.go.jp に起こりかねなかったのがこのタイプ。

警察庁の「ドメイン名の有効期限に注意 (www.cyberpolice.go.jp)」は前者の話、IPA の「ドメイン名の登録と DNS サーバの設定に関する注意喚起 (www.ipa.go.jp)」は後者の話ですね。

乗っ取りの実例は知られていないが、経済産業省系の独立行政法人・情報処理推進機構（ＩＰＡ）には、乗っ取られると影響の大きいドメインの権利切れなどの報告が、これまで７件寄せられた。関係者によると公的機関も含まれていた。

公的機関も……って思わせぶりですが、これは「消防庁など政府系4サイトに“ドメインハイジャック”の危険性 IPA、民間企業にも警告 (internet.watch.impress.co.jp)」の話ではないかと。

「ドメイン乗っ取り話」にコメントを書く

関連する話題: セキュリティ / IPA / DNS

前(古い): 2005年9月30日(Friday)のえび日記
次(新しい): 2005年10月4日(Tuesday)のえび日記