ランタイムセキュリティ
セキュリティはどのように扱われるか Mendix アプリ？
セキュリティがどのように扱われるかを理解する前に Mendix アプリケーションを理解するには、 Mendix ランタイム アーキテクチャ.
で Mendix アプリケーションでは、UIレイヤーは Mendix クライアントはブラウザで実行されるJavaScriptライブラリとして実装されます。ネイティブモバイルアプリケーションの場合、UIレイヤーはReact Nativeアプリケーションで実行されるJavaScriptアプリケーションバンドルとして実装されます。ロジックとデータレイヤーは Mendix ランタイム（ Mendix ランタイム自体は Java で開発され、Java 仮想マシン上で実行されます。
以内 Mendix クライアントでは、クロスサイトスクリプティングなどのJavaScriptベースのセキュリティ脅威に対する対策を実施しています。これにより、同じブラウザで実行されている他のウェブサイトやウェブアプリケーションがクライアントから機密情報を取得することを防ぎます。 Mendix アプリ（Cookie など）。
さらに、 Mendix ランタイムは、SQLインジェクションやコード実行などのサーバー側のセキュリティ脅威に対処します。デフォルトでは、任意のクライアント（ Mendix クライアントは信頼できないと認識されます。
Mendix アプリ開発者は、構築時に技術的なセキュリティ面を考慮する必要はありません。 Mendix プラットフォームがこれをサービスとして処理するため、アプリはセキュリティをまったく考慮する必要がありません。もちろん、これは開発者がセキュリティをまったく考慮する必要がないという意味ではありません。アプリケーション レベルの承認とアクセス権は、開発者がアプリケーション モデルで構成する必要があります。これは、ほとんどの技術的なセキュリティの側面は汎用的に解決できる一方で、データへのアクセスの前提条件となるビジネス ルールと要件は、アプリケーションやビジネスごとに異なる可能性があるためです。
各操作は Mendix 実行時間は「アクション」と呼ばれます。 Mendix ランタイムは、ワークフローのトリガーと実行、ビジネスルールの評価など、多くの定義済みアクションを提供します。技術的なセキュリティメカニズムのバイパスを防ぐために、これらのアクションは、 Mendix これらはランタイムであり、アプリ開発者が変更することはできません。
のコアインターフェースは Mendix ランタイム (すべてのアクションの実行を担当) には、ユーザー ロールごとに実行可能なすべてのアクションとデータ アクセス ルールを含むセキュリティ マトリックスがあります。データ アクセス ルールは、クエリがデータベースに送信されたときに実行時に適用されます。これにより、アクセス ルール制約の境界内にあるデータのみが取得されます。
私の Mendix アプリは既知のセキュリティ脅威に対処しますか?
この Mendix ランタイムと Mendix クライアントは、すぐに使えるセキュリティ対策を備えており、 Mendix アプリケーションは既知のセキュリティ脅威（SQLインジェクション、XSS、CSRF、認証の不備などを含むがこれらに限定されない）から保護されます。これらのセキュリティ対策は毎月外部の侵入テストを受けます。 Mendix ランタイムと Mendix クライアントは、業界リーダーが提供する最新の静的解析およびソフトウェア構成解析技術を使用して毎日スキャンされ、未緩和の脆弱性が残っていないことを確認します。 Mendix アプリケーションは、 Mendix アプリケーション開発環境では、顧客は静的解析やソフトウェア構成解析対策を実装する必要がありません。
私のですか Mendix アプリは OWASP Top 10 に準拠していますか?
この Mendix ランタイムはモデルに従ってアプリケーションとデータを保護しますが、 Mendix クラウドはインフラストラクチャレベルでセキュリティを処理します。 Mendix ランタイムは、ほとんどの既知のセキュリティ脅威に対処します（OWASP トップ 10 および OWASP ローコード/ノーコード セキュリティ リスク) は、最も一般的なセキュリティ ミスの原因となる機能が開発者から抽象化されているため、すぐに使用できます。
保管に関する詳細については、 Mendix アプリケーションを攻撃者から保護するには、 アプリセキュリティのベストプラクティスを実装する方法 会場は Mendix Studio Proの使い方.
アプリケーション レベルでのセキュリティはどのように処理されますか?
完全なセキュリティを提供するために Mendix アプリケーションでは、フォーム、エンティティ、マイクロフローへのアクセス権をユーザー ロールに明示的に付与する必要があります。エンド ユーザーがアクセスするには、このロールが必要です。デフォルトでは、エンド ユーザーは何もアクセスできません。プロトタイプやデモを簡単に作成できるように、実稼働システムに必要なセキュリティ設定よりも少ないセキュリティ設定で済むセキュリティ レベルが用意されています。
セキュリティはどのように管理されていますか？ Mendix データレイヤー?
データセキュリティ Mendix エンティティのデータ アクセス ルールを定義することで処理されます。エンティティごとに、誰がどのデータを表示できるか、誰がデータを作成または削除できるかを定義できます。
これらのルールは、アプリケーションがエンティティを使用するたびに適用されます。ルールは、モデルで実行される XPath 取得に自動的に適用されます。エンティティに XPath 制約を定義できます。つまり、ユーザー ロールまたは組織に応じてアクセス ルールを定義できます。これを使用して、マルチテナント アプリケーションで厳密なデータ分離を確保できます。
パスワードはどのように保存されますか？ Mendix アプリ？
のパスワード Mendix ハッシュ形式でのみ保存できます。 Mendix 複数のハッシュ アルゴリズムをサポートします。
どのように Mendix Web サービス、REST サービス、API を使用してシステムとサービス インターフェイスを認証しますか?
システムおよびサービス インターフェイスも、関連付けられたロールのコンテキストで認証される必要があります。デフォルトのオプションはユーザー名とパスワードですが、トークンなどの他のオプションも使用できます。API の承認は、アプリケーション モデルで定義された承認から取得されます。
認証については、 Mendix 以下の技術実装をサポートします。
- HTTP認証
- Webサービスセキュリティ標準
- Javaを含むカスタム定義の認証メカニズム
これらのオプションにより、アイデンティティ伝播を適用できるようになります。
私の Mendix アプリはマルチテナントをサポートしていますか?
Mendix マルチテナントアプリケーションの開発をすぐにサポートします。 Mendix 同じデータベース、アプリケーション ロジック、およびユーザー インターフェイスを共有します。アプリケーション ロジックはテナント固有のロジックで拡張でき、UI はテナントごとにスタイル設定できます。
テナント オブジェクトは次の目的で使用されます。
- 定義する テナント対応オブジェクトモデル アプリケーションの場合 – ドメイン オブジェクトへのテナント レベルのアクセスは XPath 定義を使用して構成され、エンド ユーザーが所属する会社のアプリケーション オブジェクト インスタンスへのアクセスが制限されます。
- 定義する テナント固有のマイクロフロー テナントレベルのアプリケーションとプロセスロジックを実装するためのアクセス権を構成する
- 一緒にお仕事をしてみたい方はこちらまで テナント固有のスタイル UIのCSSをMxIDで定義された企業に依存させることで
部門、国、サイトなどの識別子を使用して、アプリケーション内でテナントをカスタム定義することもできます。
私のサイトではどのような暗号化が利用できますか？ Mendix アプリ？
保存時および転送時のデフォルトの暗号化に加えて、ユーザーは列暗号化またはアップロードされたファイルの暗号化を実装できます。列暗号化とアップロードされたファイルの暗号化は、 Encryption モジュールを Mendix AES 暗号化を使用するマーケットプレイス。
アプリケーションユーザーのアイデンティティとアクセス管理機能（シングルサインオンやユーザーロールの割り当てなど）については、以下で説明します。 アプリユーザーのリスクをコントロール.