Gestione dei domini attendibili e della sicurezza di rete

Potrà utilizzare questo articolo per proteggere gli URL esterni utilizzati dalle Sue estensioni "custo-manifest". Scoprirà come dichiarare i domini attendibili, configurare il CORS o l’accesso alla rete locale quando necessario e individuare le richieste bloccate.

Panoramica

Le estensioni con manifesto personalizzato possono accedere a URL esterni: chiamate alle API REST, applicazioni web incorporate in un frame Rainbow o caricamento di contenuti dinamici. Per controllare quali server di terze parti possano essere contattati, Rainbow applica un elenco di domini attendibili configurato nella console di amministrazione di Rainbow.

Qualsiasi dominio non dichiarato in tale elenco viene bloccato. A seconda del tipo di estensione coinvolta, il blocco si manifesta in modo diverso: ecco perché comprendere questo meccanismo è Essential prima di distribuire un manifesto.

Configurazione dei domini attendibili

L’elenco viene gestito nella console di amministrazione di Rainbow:

Azienda → Informazioni → Personalizzazione → Domini manifest personalizzati

Console Rainbow — Personalizzazione → scheda Domini del manifesto personalizzato

Aggiunga una voce per ogni origine da autorizzare. Ogni voce deve seguire il seguente formato:

<protocollo>://<dominio>[:<porta>]

Esempi validi

Esempi non validi

Ambito del dominio attendibile

Il controllo del dominio attendibile si applica in modo coerente agli URL utilizzati dalle estensioni Rainbow su Web e Desktop.

Impatto sulle chiamate all’API REST

Le estensioni che richiamano un’API REST (commandType: "rest") passano attraverso il browser. Si applicano due livelli di sicurezza indipendenti:

Verifica del dominio attendibile (lato Rainbow)

Se l’origine del server REST non è dichiarata nella console Rainbow, Rainbow visualizza un avviso al momento del caricamento del manifesto. Se l’avviso viene ignorato, la chiamata fallirà silenziosamente in fase di esecuzione — all’interno di Rainbow non verrà visualizzato alcun messaggio di errore.

Soluzione: dichiarare l’origine in Azienda → Personalizzazione → Domini del manifesto personalizzato.

CORS (lato server REST)

Anche se il dominio è considerato attendibile da Rainbow, il browser applica comunque le regole CORS. Il server REST deve restituire le seguenti intestazioni nelle proprie risposte:

Access-Control-Allow-Origin: https://web.openrainbow.com
Access-Control-Allow-Methods: GET, POST, OPTIONS
Access-Control-Allow-Headers: Content-Type, Authorization

Se non è necessario limitare l’accesso a un’origine specifica, è possibile utilizzare il carattere jolly:

Access-Control-Allow-Origin: *

Se il server non restituisce queste intestazioni, il browser blocca la chiamata senza visualizzare alcun messaggio in Rainbow. Se avete il controllo del server, aggiungete le intestazioni CORS. In caso contrario, chiedete al proprietario del server di aggiornare la sua configurazione.

Accesso alla rete locale (LNA)

Se il server REST è in esecuzione su una rete locale o privata (ad es. http://192.168.1.100:3300), il browser potrebbe bloccare la chiamata in base alla politica di accesso alla rete locale.

Quando il browser rileva una richiesta diretta a una rete privata, invia innanzitutto una richiesta OPTIONS di preflight con:

Access-Control-Request-Private-Network: true

Il server deve rispondere aggiungendo Access-Control-Allow-Private-Network: true alle proprie intestazioni CORS:

Access-Control-Allow-Origin: https://web.openrainbow.com
Access-Control-Allow-Methods: GET, POST, OPTIONS
Access-Control-Allow-Private-Network: true

Se questa intestazione è assente, il browser blocca la richiesta anche se le intestazioni CORS standard sono corrette.

Soluzioni a seconda del contesto:

Impatto sulle applicazioni integrate

L’estensione on-main-window-actions visualizza un’applicazione web di terze parti all’interno dell’interfaccia di Rainbow. Sono disponibili due modalità a seconda del valore di Popup.

Senza Popup — applicazione all’interno del frame di Rainbow

L’applicazione viene caricata in un <IFRAME> all’interno di Rainbow. Si applicano tre livelli di sicurezza:

Domini attendibili

L’URL dell’applicazione deve essere dichiarato nella console di Rainbow. In caso contrario, il frame viene visualizzato ma la pagina rimane vuota oppure mostra un errore di sicurezza del browser.

CSP / X-Frame-Options dell’applicazione

L’applicazione di destinazione potrebbe a sua volta rifiutarsi di essere incorporata in un iframe:

Come verificare: Strumenti di sviluppo → scheda Rete → risposta dall’URL dell’applicazione → ispezionare le intestazioni.

Risoluzione: se si ha il controllo sull’applicazione, autorizzare l’origine Rainbow in frame-ancestors. In caso contrario, impostare Popup: true (vedere §3.2).

Flusso SSO / OAuth attraverso un dominio di terze parti

Se l’applicazione utilizza un flusso di autenticazione (SSO, OAuth 2.0, SAML…), il provider di identità (IdP) risiede in genere su un dominio diverso da quello dell’applicazione. Rainbow carica questi reindirizzamenti all’interno dello stesso frame; pertanto, tutti i domini presenti nel flusso devono essere dichiarati:

https://app.example.com ← l’applicazione
https://login.microsoftonline.com ← IdP di Microsoft
https://login.example.com ← il vostro IdP interno

Con Popup: true — applicazione in una finestra dedicata

Quando è impostato Popup: true, l’URL si apre in una finestra del browser dedicata, al di fuori del frame di Rainbow. In questa modalità:

• il controllo del dominio attendibile di Rainbow è disabilitato per quell’URL.
• Le restrizioni X-Frame-Options e CSP relative ai frame-ancestors dell’applicazione non sono rilevanti.
• I flussi SSO / OAuth funzionano normalmente nella propria finestra.

"on-main-window-actions": [{
"name": "My App",
"icon": "${custo.path}\\app.png",
"Popup": true,
"command": {
"url": "https://app.example.com/",
"params": "user=${localUser.email}"
}
}]

Caso particolare di esecuzione locale

L’esecuzione locale di applicazioni o script con commandType: "file" su Rainbow Desktop non è soggetta alle restrizioni CORS del browser, all’accesso alla rete locale né alle intestazioni di sicurezza degli iframe.

Problemi comuni e risoluzione dei problemi

Viene visualizzato un avviso durante il caricamento del manifesto

Il manifesto fa riferimento a uno o più URL la cui origine non è dichiarata nella console.

Soluzione: aggiunga l’origine mancante in Azienda → Personalizzazione → Domini del manifesto personalizzato.

Una chiamata REST non produce alcun risultato

Il riquadro rimane vuoto

Lista di controllo diagnostica

• L'origine è dichiarata in Azienda → Personalizzazione → Domini del manifesto personalizzato
• Il server REST restituisce le intestazioni CORS (Access-Control-Allow-Origin)
• Il server non si trova su una rete locale/privata (LNA — Solo Web)
• L’app incorporata non restituisce valori restrittivi per X-Frame-Options o CSP: frame-ancestors
• Per SSO / OAuth: anche i domini IdP sono dichiarati come affidabili
• Se nessun’altra soluzione funziona: Popup: true testato per i frame; Desktop testato per le chiamate REST locali