Subdomain Isolationの有効化

Subdomain Isolationについて

Subdomain Isolationは、クロスサイトスクリプティングや関連するその他の脆弱性を緩和します。詳しくは、Wikipedia の「クロスサイトスクリプティング」をご覧ください。お使いの GitHub Enterprise Server インスタンスで Subdomain Isolation を有効にすることを強くお勧めします。

Subdomain Isolation が有効な場合、GitHub Enterprise Server はいくつかのパスをサブドメインで置き換えます。 Subdomain Isolation を有効にした後は、ユーザーが提供した何らかのコンテンツに対する以前のパス (http(s)://HOSTNAME/raw/ など) にアクセスしようとすると、404 エラーが返される場合があります。

Subdomain Isolationなしのパス	Subdomain Isolationされたパス
`http(s)://HOSTNAME/`	`http(s)://docker.HOSTNAME/`
`http(s)://HOSTNAME/_registry/npm/`	`https://npm.HOSTNAME/`
`http(s)://HOSTNAME/_registry/rubygems/`	`https://rubygems.HOSTNAME/`
`http(s)://HOSTNAME/_registry/maven/`	`https://maven.HOSTNAME/`
`http(s)://HOSTNAME/_registry/nuget/`	`https://nuget.HOSTNAME/`
`http(s)://HOSTNAME/assets/`	`http(s)://assets.HOSTNAME/`
`http(s)://HOSTNAME/avatars/`	`http(s)://avatars.HOSTNAME/`
`http(s)://HOSTNAME/codeload/`	`http(s)://codeload.HOSTNAME/`
`http(s)://HOSTNAME/gist/`	`http(s)://gist.HOSTNAME/`
`http(s)://HOSTNAME/media/`	`http(s)://media.HOSTNAME/`
`http(s)://HOSTNAME/notebooks/`	`http(s)://notebooks.HOSTNAME/`
`http(s)://HOSTNAME/pages/`	`http(s)://pages.HOSTNAME/`
`http(s)://HOSTNAME/raw/`	`http(s)://raw.HOSTNAME/`
`http(s)://HOSTNAME/reply/`	`http(s)://reply.HOSTNAME/`
`http(s)://HOSTNAME/uploads/`	`http(s)://uploads.HOSTNAME/`
`http(s)://HOSTNAME/viewscreen/`	`http(s)://viewscreen.HOSTNAME/`
サポートされていません	`https://containers.HOSTNAME/`

前提条件

Warning

Subdomain Isolation を無効にしている場合は、Enterprise の GitHub Pages も無効にすることをおすすめします。ユーザが提供するGitHub Pagesのコンテンツをその他のEnterpriseのデータから分離しておく方法はありません。詳しくは、「Enterprise 向けの GitHub Pages を設定する」を参照してください。

Subdomain Isolationを有効化する前に、新しいドメインに合わせてネットワークを設定しなければなりません。

有効なドメイン名を、IP アドレスではなくホスト名として指定します。詳しくは、「インスタンスのホストキーの構成」を参照してください。

Warning

初期セットアップ後に GitHub Enterprise Server のホスト名を変更しないでください。ホスト名を変更すると、インスタンスの停止やユーザーのセキュリティキーの無効化など、予期しない動作が生じます。インスタンスのホスト名を変更して問題が発生した場合は、GitHub Enterprise サポートまたは GitHub Premium Support に問い合わせてください。

上記のサブドメインに対して、ワイルドカードのドメインネームシステム (DNS) レコードまたは個々の DNS レコードをセットアップします。サブドメインごとに複数のレコードを作成する必要がないように、サーバーの IP アドレスを指す *.HOSTNAME の A レコードを作成することをお勧めします。
HOSTNAME とワイルドカードドメイン *.HOSTNAME の両方にサブジェクトの別名 (SAN) を使って、*.HOSTNAME に対するワイルドカードトランスポート層セキュリティ (TLS) 証明書を取得します。たとえば、ホスト名が github.octoinc.com の場合は、共通名の値を *.github.octoinc.com に設定し、SAN の値を github.octoinc.com と *.github.octoinc.com の両方に設定して、証明書を取得します。
アプライアンスで TLS を有効にします。詳しくは、「TLSの設定」を参照してください。