このドキュメントでは、WAF 用 reCAPTCHA Enterprise と Fastly を統合する方法について説明します。
統合を完了するには、WAF 用 reCAPTCHA Enterprise の 1 つ以上の機能を実装し、reCAPTCHA ファイアウォール ポリシーを作成して、Fastly コンピューティング サービスと統合する必要があります。
始める前に
Google Cloud Console の [プロジェクト セレクタ] ページで、Google Cloud プロジェクトを選択または作成します。
後で使用できるように、Google Cloud プロジェクト ID を記録します。reCAPTCHA Enterprise API を有効にします。
認証用の API キーを作成します。
Google Cloud コンソールで、[認証情報] ページに移動します。
[認証情報を作成] をクリックし、[API キー] を選択します。
後で使用できるように、API キーを記録します。
ウェブサイトを保護するために、WAF 用 reCAPTCHA Enterprise の機能を実装する方法を計画します。
- ユースケースに最も適した WAF 機能を 1 つ以上選択します。
- 保護するページと、そのページで実装する WAF 機能のタイプを特定します。
- アクセスを許可またはブロックする条件を特定します。
- reCAPTCHA ファイアウォール ポリシーの作成に役立つ reCAPTCHA ファイアウォール ポリシー コンポーネントとその属性を把握します。例については、reCAPTCHA ファイアウォール ポリシーの例をご覧ください。
Fastly
recaptcha_fastly_client_0.1.0.tar.gz用の reCAPTCHA パッケージをダウンロードします。Compute@Edge の機能を使用して Fastly アカウントを作成します。
WAF 用 reCAPTCHA Enterprise の機能を実装する
要件に応じて、1 つのアプリケーションで WAF 用 reCAPTCHA Enterprise の 1 つ以上の機能を使用できます。
1 つ以上の機能を使用する場合は、これらの機能ごとに reCAPTCHA キーを作成し、アプリケーションで使用する必要があります。たとえば、reCAPTCHA アクション トークンと reCAPTCHA による確認ページを使用する場合は、アクション トークンキーと確認ページキーを作成してアプリケーションで使用する必要があります。
アクション トークン
アクション トークンを生成するには、reCAPTCHA Enterprise をウェブページで実行する必要があります。checkout などのユーザー アクションを保護する必要がある場合、reCAPTCHA Enterprise がアクション トークンを生成したら、事前定義されたリクエスト ヘッダーにアクション トークンを添付します。デフォルトでは、アクション トークンは 30 分間有効ですが、トラフィックによって異なる場合があります。Fastly がトークン属性を評価できるように、トークンが期限切れになる前にアクション トークンを事前定義されたリクエスト ヘッダーに添付する必要があります。
reCAPTCHA アクション トークンを実装するには、次の手順を実行します。
ウェブサイトのアクション トークンキーを作成します。
gcloud
reCAPTCHA キーを作成するには、gcloud recaptcha keys create コマンドを使用します。
後述のコマンドデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
scoreまたはcheckboxを指定します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
複数のドメインをカンマ区切りのリストとして指定します。 省略可:
--allow-all-domainsを指定して、ドメインの所有権の証明を無効にします。サイトの制限はないため、ドメインの所有権の証明の無効化はセキュリティ リスクとなります。したがって、reCAPTCHA キーは誰でもアクセスして使用できます。
- WAF_FEATURE: WAF 機能の名前。
action-tokenを実行します。 -
WAF_SERVICE: WAF サービス プロバイダの名前。
Fastly には
fastlyを指定します。
gcloud recaptcha keys create コマンドを実行します。
Linux、macOS、Cloud Shell
gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows（PowerShell）
gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows（cmd.exe）
gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
レスポンスには、新しく作成された reCAPTCHA キーが含まれます。
REST
キーの種類と統合タイプに関する API リファレンス情報については、鍵と統合タイプをご覧ください。リクエストのデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
scoreまたはcheckboxを指定します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
複数のドメインをカンマ区切りのリストとして指定します。 省略可:
--allow-all-domainsを指定して、ドメインの所有権の証明を無効にします。サイトの制限はないため、ドメインの所有権の証明の無効化はセキュリティ リスクとなります。したがって、reCAPTCHA キーは誰でもアクセスして使用できます。
- WAF_FEATURE: WAF 機能の名前。
action-tokenを実行します。 -
WAF_SERVICE: WAF サービス プロバイダの名前。
Fastly には
fastlyを指定します。
HTTP メソッドと URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
リクエストの本文（JSON）:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }リクエストを送信するには、次のいずれかのオプションを選択します。
curl
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"PowerShell
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content次のような JSON レスポンスが返されます。
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "SCORE", }, "wafSettings": { "wafService": "fastly", "wafFeature": "ACTION_TOKEN" } }後で使用するために、アクション トークン サイトキーを記録します。
-
ウェブページの reCAPTCHA JavaScript を、作成したアクション トークン キーと統合します。手順については、アクション トークンキーの統合タイプに対応するドキュメントをご覧ください。
SCORE統合タイプについては、スコアベース キーをフロントエンドに統合するをご覧ください。CHECKBOX統合タイプについては、フロントエンドで reCAPTCHA ウィジェットをレンダリングするをご覧ください。
-
reCAPTCHA Enterprise からトークンを受信したら、次の形式の事前定義されたリクエスト ヘッダーにトークンを添付します。
X-Recaptcha-Token: value-of-your-action-token
XHR、Ajax、Fetch API などの言語および Fetch API を使用して、事前定義されたリクエスト ヘッダーにトークンを添付できます。
次のサンプル スクリプトは、JavaScript と XHR を使用して、
executeアクションを保護し、事前定義されたリクエスト ヘッダーにトークンを添付する方法を示しています。<script> src="https://www.google.com/recaptcha/enterprise.js?render=ACTION_TOKEN_KEY"></script> <script> function onSuccess(action_token) { const xhr = new XMLHttpRequest(); xhr.open('GET','YOUR_URL', false); // Attach the action-token to the predefined request header xhr.setRequestHeader("X-Recaptcha-Token", action_token); xhr.send(null); } function onError(reason) { alert('Response promise rejected: ' + reason); grecaptcha.enterprise.ready(function () { document.getElementById("execute-button").onclick = () => { grecaptcha.enterprise.execute('ACTION_TOKEN_KEY', { }).then(onSuccess, onError); }; }); } </script>
セッション トークン
reCAPTCHA JavaScript は、評価後に reCAPTCHA セッション トークンをエンドユーザーのブラウザの Cookie として設定します。エンドユーザーのブラウザには Cookie が添付され、reCAPTCHA JavaScript がアクティブである限り、その Cookie は更新されます。
セッション トークンを Cookie として提供するには、保護の必要なページの前にエンドユーザーが閲覧するウェブページの少なくとも 1 つにセッション トークン キーをインストールします。たとえば、購入手続きページを保護するには、ホームページまたは商品ページにセッション トークン キーをインストールします。
セッション トークン キーをウェブページにインストールする方法については、スコアベース キーをフロントエンドに統合するをご覧ください。
この Cookie を使用すると、エンドユーザーの後続のリクエストや特定のドメインでのページの読み込みを保護できます。セッション トークンはデフォルトで 30 分間有効です。ただし、エンドユーザーがセッション トークンを実装したページに留まる場合、reCAPTCHA Enterprise はセッション トークンを定期的に更新して期限切れになるのを防ぎます。
reCAPTCHA Enterprise で保護する必要がある各ページにセッション トークンをインストールします。 reCAPTCHA Enterprise ですべてのページを保護し、Google Cloud Armor ルールを使用して、エンドユーザーが閲覧する最初のページを除くすべてのページへのアクセスを適用することをおすすめします。
reCAPTCHA セッション トークンの例を次に示します。recaptcha-ca-t=value-of-your-session-token;domain=domain;expires=expiration_time
reCAPTCHA セッション トークンを実装するには、次の手順を行います。
- ウェブサイトのセッション トークンキーを作成します。
gcloud
reCAPTCHA 鍵を作成するには、gcloud recaptcha keys create コマンドを使用します。
後述のコマンドデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
scoreを実行します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
複数のドメインをカンマ区切りのリストとして指定します。 省略可:
--allow-all-domainsを指定して、ドメインの所有権の証明を無効にします。サイトの制限はないため、ドメインの所有権の証明の無効化はセキュリティ リスクとなります。したがって、reCAPTCHA キーは誰でもアクセスして使用できます。
- WAF_FEATURE: WAF 機能の名前。
session-tokenを実行します。 -
WAF_SERVICE: WAF サービス プロバイダの名前。
Fastly には
fastlyを指定します。
gcloud recaptcha keys create コマンドを実行します。
Linux、macOS、Cloud Shell
gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows（PowerShell）
gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows（cmd.exe）
gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
レスポンスには、新しく作成された reCAPTCHA キーが含まれます。
REST
キーの種類と統合タイプに関する API リファレンス情報については、鍵と統合タイプをご覧ください。リクエストのデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
scoreを実行します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
複数のドメインをカンマ区切りのリストとして指定します。 省略可:
--allow-all-domainsを指定して、ドメインの所有権の証明を無効にします。サイトの制限はないため、ドメインの所有権の証明の無効化はセキュリティ リスクとなります。したがって、reCAPTCHA キーは誰でもアクセスして使用できます。
- WAF_FEATURE: WAF 機能の名前。
session-tokenを実行します。 -
WAF_SERVICE: WAF サービス プロバイダの名前。
Fastly には
fastlyを指定します。
HTTP メソッドと URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
リクエストの本文（JSON）:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }リクエストを送信するには、次のいずれかのオプションを選択します。
curl
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"PowerShell
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content次のような JSON レスポンスが返されます。
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "SCORE", }, "wafSettings": { "wafService": "fastly", "wafFeature": "SESSION_TOKEN" } }後で使用できるように、セッション トークン キーを記録します。
- セッション トークン キーと
waf=sessionを reCAPTCHA JavaScript に追加します。次のサンプル スクリプトは、セッション トークンをウェブページに実装する方法を示しています。
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>reCAPTCHA WAF Session Token</title> <script src="https://www.google.com/recaptcha/enterprise.js?render=SESSION_TOKEN_KEY&waf=session" async defer></script> <body></body> </head> </html>
確認ページ
reCAPTCHA による確認ページを実装すると、reCAPTCHA Enterprise によって、インタースティシャル ページにリダイレクトされ、CAPTCHA による確認をユーザーに表示する必要があるかどうかを判断します。そのため、CAPTCHA による確認はすべてのユーザーには表示されない可能性があります。
reCAPTCHA 課題ページを実装するには、次の手順を行います。
- ウェブサイトの課題ページのキーを作成します。
gcloud
reCAPTCHA 鍵を作成するには、gcloud recaptcha keys create コマンドを使用します。
後述のコマンドデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
invisibleを実行します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
--allow-all-domainsを実行します。 - WAF_FEATURE: WAF 機能の名前。
challenge-pageを実行します。 -
WAF_SERVICE: WAF サービス プロバイダの名前。
Fastly には
fastlyを指定します。
gcloud recaptcha keys create コマンドを実行します。
Linux、macOS、Cloud Shell
gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows（PowerShell）
gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows（cmd.exe）
gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
レスポンスには、新しく作成された reCAPTCHA キーが含まれます。
REST
キーの種類と統合タイプに関する API リファレンス情報については、鍵と統合タイプをご覧ください。リクエストのデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
invisibleを実行します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
--allow-all-domainsを実行します。 - WAF_FEATURE: WAF 機能の名前。
challenge-pageを実行します。 -
WAF_SERVICE: WAF サービス プロバイダの名前。
Fastly には
fastlyを指定します。
HTTP メソッドと URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
リクエストの本文（JSON）:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }リクエストを送信するには、次のいずれかのオプションを選択します。
curl
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"PowerShell
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content次のような JSON レスポンスが返されます。
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "INVISIBLE", }, "wafSettings": { "wafService": "fastly", "wafFeature": "CHALLENGE_PAGE" } }後で使用できるように、確認ページのキーを記録します。
- ユーザーを reCAPTCHA による確認ページにリダイレクトして reCAPTCHA トークンを受け取るには、保護されたページで
redirectアクションを使用してファイアウォール ポリシーを作成します。
express
WAF Express 保護用 reCAPTCHA Enterprise を実装するには、express キーを作成します。
-
Google Cloud コンソールで、「Cloud Shell をアクティブにする」をクリックします。
Google Cloud コンソールの下部で Cloud Shell セッションが開始し、コマンドライン プロンプトが表示されます。Cloud Shell はシェル環境です。Google Cloud CLI がすでにインストールされており、現在のプロジェクトの値もすでに設定されています。セッションが初期化されるまで数秒かかることがあります。
-
gcloud
reCAPTCHA 鍵を作成するには、gcloud recaptcha keys create コマンドを使用します。
後述のコマンドデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
scoreを実行します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
--allow-all-domainsを実行します。 - WAF_FEATURE: WAF 機能の名前。
expressを実行します。 - WAF_SERVICE: WAF サービス プロバイダの名前。
gcloud recaptcha keys create コマンドを実行します。
Linux、macOS、Cloud Shell
gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows（PowerShell）
gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows（cmd.exe）
gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
レスポンスには、新しく作成された reCAPTCHA キーが含まれます。
REST
キーの種類と統合タイプに関する API リファレンス情報については、鍵と統合タイプをご覧ください。リクエストのデータを使用する前に、次のように置き換えます。
- DISPLAY_NAME: キーの名前。通常はサイトの名前です。
- INTEGRATION_TYPE: 統合の種類
scoreを実行します。 - DOMAIN_NAME: キーの使用を許可されたウェブサイトのドメインまたはサブドメイン。
--allow-all-domainsを実行します。 - WAF_FEATURE: WAF 機能の名前。
expressを実行します。 - WAF_SERVICE: WAF サービス プロバイダの名前。
HTTP メソッドと URL:
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
リクエストの本文（JSON）:
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }リクエストを送信するには、次のいずれかのオプションを選択します。
curl
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"PowerShell
リクエスト本文を
request.jsonという名前のファイルに保存して、次のコマンドを実行します。$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }
Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content次のような JSON レスポンスが返されます。
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "SCORE", }, "wafSettings": { "wafService": "fastly", "wafFeature": "EXPRESS" } }後で使用するために、express キーを記録します。
reCAPTCHA ファイアウォール ポリシーを作成する
ウェブサイト上で保護するすべてのページに対して、ルールを指定するファイアウォール ポリシーを作成する必要があります。WAF 用 reCAPTCHA Enterprise の 1 つ以上の機能を使用してファイアウォール ポリシーを作成できます。
reCAPTCHA ファイアウォール ポリシーで、目的の優先度の順にルールを追加します。最初のルールが最も高い順序になります。ReorderFirewallPoliciesRequest を使用して優先度を変更することもできます。受信リクエストの場合、指定されたパスに対してポリシー条件が一致すると、WAF サービス プロバイダは定義されたアクションを実装し、後続のルールは評価されません。
- 選択した機能に基づいて、次の操作を行います。
- 保護するパスを特定します。
- アクセスを許可、リダイレクト、またはブロックする条件を特定します。
- ルールに優先順位を付けます。
- ファイアウォール ポリシーのコンポーネントとその属性を確認します。
-
Google Cloud コンソールで、「Cloud Shell をアクティブにする」をクリックします。
Google Cloud コンソールの下部で Cloud Shell セッションが開始し、コマンドライン プロンプトが表示されます。Cloud Shell はシェル環境です。Google Cloud CLI がすでにインストールされており、現在のプロジェクトの値もすでに設定されています。セッションが初期化されるまで数秒かかることがあります。
- gcloud CLI をオーバーライドして、reCAPTCHA Enterprise API の公開プレビュー版にアクセスするには、次のコマンドを実行します。
gcloud config set api_endpoint_overrides/recaptchaenterprise https://public-preview-recaptchaenterprise.googleapis.com/ - reCAPTCHA ファイアウォール ポリシーを作成するには、gcloud recaptcha firewall-policies create コマンドを使用します。
reCAPTCHA ファイアウォール ポリシーで、目的の優先度の順にルールを追加します。最初に優先度が最も高いルールを追加する必要があります。受信リクエストの場合、ポリシー条件が指定されたパスと一致する場合、WAF サービス プロバイダは定義されたアクションを実装し、後続のルールは評価されません。デフォルトのルールではアクセスを許可します。
gcloud recaptcha firewall-policies create \ --actions=ACTION \ --condition=CONDITION \ --description=DESCRIPTION \ --path=PATH次の値を指定します。
- ACTION: 受信リクエストに対して WAF サービス プロバイダが行う必要があるアクション。最大で 1 つのターミナル アクション（レスポンスを強制するアクション）を含めることができます。次のいずれかのアクションを指定します。
allow: リクエストされたページへのアクセスを許可します。これはターミナル アクションです。block: リクエストされたページへのアクセスを拒否します。これはターミナル アクションです。redirect: 受信したユーザー リクエストを reCAPTCHA による確認ページにリダイレクトします。これはターミナル アクションです。substitute: 不正なユーザー リクエストに対して、リクエストされたページ以外のページを表示します。これはターミナル アクションです。set_header: カスタム ヘッダーを設定し、受信したユーザー リクエストをバックエンドに続行できるようにします。その後、バックエンドはカスタマイズされた保護をトリガーできます。これはターミナル以外のアクションです。
- CONDITION: reCAPTCHA ファイアウォール ポリシーを受信したユーザー リクエストに適用するかどうかを指定する CEL（Common Expression Language）条件式。この条件が true と評価され、リクエストされたパスがパスパターンと一致する場合、関連するアクションが WAF サービス プロバイダによって実行されます。条件文字列は、作成時に CEL 構文の正確性が確認されます。言語定義の詳細については、CEL 言語の定義をご覧ください。
- DESCRIPTION: reCAPTCHA ファイアウォール ポリシーの目的の説明。説明は UTF-8 で 256 文字以内にする必要があります。
- PATH: reCAPTCHA ファイアウォール ポリシーが適用されるパス。 glob パターンとして指定する必要があります。glob の詳細については、マニュアル ページをご覧ください。
コマンドが正常に実行されると、次のような出力が表示されます。
Created [100].次の例では、スコアが 0.1 未満の場合に、「/example/page.html」に対するトラフィック ターゲティングをブロックする reCAPTCHA ファイアウォール ポリシーを作成します。
gcloud recaptcha firewall-policies create \ --description="example policy" \ --path="/example/page.html" \ --condition="recaptcha.score < 0.1" \ --actions="block" - ACTION: 受信リクエストに対して WAF サービス プロバイダが行う必要があるアクション。最大で 1 つのターミナル アクション（レスポンスを強制するアクション）を含めることができます。次のいずれかのアクションを指定します。
Fastly コンピューティング サービスと統合する
reCAPTCHA ファイアウォール ポリシーを使用するには、リクエストをインターセプトして処理するように Fastly コンピューティング サービスを設定する必要があります。
新しいコンピューティング サービスを作成して構成するか、チェーンによって reCAPTCHA ファイアウォール ポリシーを既存の Fastly サービスと統合します。チェーンを使用するには、正しい IP 検出を行うために、reCAPTCHA サービスを最も上流にある Fastly サービスまたはその他のプロキシにする必要があります。
コンピューティング サービスを作成するには、次の情報が必要です。
- ドメイン名
- FASTLY 用の reCAPTCHA パッケージ（zip 形式）
- バックエンド サーバーの送信元の名前
- reCAPTCHA Enterprise バックエンド サーバーの送信元名:
Recaptcha Enterprise - Google バックエンド サーバーの送信元名:
Google - 認証用に作成した API キー
- Google Cloud プロジェクト ID
- WAF 機能用に作成した reCAPTCHA キー
reCAPTCHA ファイアウォール ポリシーを使用して Fastly サービスを設定する手順は次のとおりです。
- Fastly にログインします。
コンピューティング サービスを作成するには、新しいコンピューティング サービスの作成の手順に従います。
コンピューティング サービスを作成する手順は次のとおりです。
reCAPTCHA Enterprise バックエンド サーバーの送信元を作成するには、次の値を指定します。
- 送信元の名前 = Recaptcha Enterprise
- 送信元サーバーの IP アドレス（またはホスト名）= public-preview-recaptchaenterprise.googleapis.com
Google バックエンド サーバーの送信元を作成するには、次の値を指定します。
- 送信元の名前 = Google
- 送信元サーバーの IP アドレス（またはホスト名）= www.google.com:443
バックエンド サーバーの送信元を作成するには、次の値を指定します。
- 送信元の名前 = バックエンド サーバーの意味のある名前。
- 送信元サーバーの IP アドレス（またはホスト名）= バックエンド サーバーのホスト名。
Fastly
recaptcha_fastly_client_0.1.0.tar.gz用の reCAPTCHA パッケージをアップロードします。辞書の名前として
recaptchaを使用し、次の情報を Key-Value ペアとして辞書に追加します。キー 値 customer_backend_name バックエンド サーバーの送信元の作成時に指定した名前。 recaptcha_backend_name reCAPTCHA Enterprise google_backend_name Google cloud_api_key 認証用に作成した API キー。 cloud_project_number Google Cloud プロジェクト ID。 action_site_key reCAPTCHA WAF アクション トークン キー。このキーは、ページを保護するためにアクション トークンを使用する場合に必要です。 session_site_key reCAPTCHA WAF セッション トークンキー。このトークンは、ページを保護するためにセッション トークンを使用する場合に必要です。 challengepage_site_key reCAPTCHA WAF 課題ページのキー。このキーは、ページを保護するために reCAPTCHA 課題ページを使用する場合に必要です。 express_site_key reCAPTCHA WAF express キー。このキーは、ページを保護するために reCAPTCHA WAF express を使用する場合に必要です。