Open LiteSpeed Web Serverユーザーズマニュアル - サーバーセキュリティ
Description: Open LiteSpeed Web Serverユーザーズマニュアル - サーバーセキュリティ.

ユーザーズマニュアル
Version 1.9 — Rev. 3

# サーバーセキュリティ

### シンボリックリンクに従う

#### 説明

静的ファイルを提供する際のシンボリックリンクのサーバーレベルのデフォルト設定を指定します。
選択肢はYes、オーナーと一致する場合 Noです。
Yesは、シンボリックリンクに常に従うようにサーバーを設定します。 所有者の一致がの場合は、リンクの所有者とターゲットの所有者が同じ場合にのみシンボリックリンクに従うようにサーバーを設定します。 Noは、サーバーがシンボリックリンクを決して辿らないことを意味します。 この設定はバーチャルホスト設定で上書きできますが、.htaccessファイルで上書きすることはできません。

#### 構文

ドロップダウンリストから選択

#### ヒント

[パフォーマンスとセキュリティ]最高のセキュリティを実現するには、NoまたはIf Owner Matchを選択します。 最高のパフォーマンスを得るには、Yesを選択します。

#### 参照

シンボリックリンクを確認する.

### シンボリックリンクを確認する

#### 説明

シンボリックリンクに従うがオンになっているときに、アクセスが拒否されたディレクトリに対するシンボリックリンクをチェックするかどうかを指定します。 有効にすると、URLで参照されるリソースのカノニカル実パスが、設定可能なアクセス拒否ディレクトリと照合されます。 アクセスが拒否されたディレクトリ内にある場合、アクセスは拒否されます。

#### 構文

ラジオボタンから選択

#### ヒント

[パフォーマンス & セキュリティ]最高のセキュリティを実現するには、このオプションを有効にします。 最高のパフォーマンスを得るには、無効にしてください。

#### 参照

シンボリックリンクに従う, アクセスが拒否されたディレクトリ

### 厳格な所有権チェックを強制する

#### 説明

厳密なファイル所有権チェックを実施するかどうかを指定します。 有効になっている場合、Webサーバーは、提供されるファイルの所有者がバーチャルホストの所有者と同じかどうかをチェックします。 異なる場合は、403アクセス拒否エラーが返されます。 これはデフォルトではオフになっています。

#### 構文

ラジオボタンから選択

#### ヒント

[セキュリティ]共有ホスティングの場合、このチェックを有効にしてセキュリティを強化します。

### 必要な許可マスク

#### 説明

サーバーが提供する静的ファイルに必要なアクセス許可マスクを指定します。 たとえば、全員が読み取り可能なファイルのみを処理できる場合は、値を0004に設定します。 すべての値についてman 2 statを参照してください

#### 構文

8進数

#### 参照

制限付き許可マスク.

### 制限付き許可マスク

#### 説明

サーバーが提供しない静的ファイルに対する制限付きのアクセス許可マスクを指定します。 たとえば、実行可能ファイルの配信を禁止するには、マスクを0111に設定します。
すべての値についてman 2 statを参照してください。

#### 構文

8進数

#### 参照

必要な許可マスク.

### スクリプトのアクセス許可マスクの制限

#### 説明

サーバーが提供しないスクリプトファイルに対する制限付きアクセス許可マスクを指定します。 たとえば、グループおよびワールド書き込み可能なPHPスクリプトの配信を禁止するには、マスクを022に設定します。 デフォルト値は000です。
すべての値についてman 2 statを参照してください。

#### 構文

8進数

#### 参照

スクリプトディレクトリのアクセス許可マスクの制限.

### スクリプトディレクトリのアクセス許可マスクの制限

#### 説明

サーバーが提供しないスクリプトファイルの親ディレクトリの制限付きアクセス許可マスクを指定します。 たとえば、グループおよびワールド書き込み可能なディレクトリでPHPスクリプトを処理することを禁止するには、マスクを022に設定します。 デフォルト値は000です。 このオプションを使用して、アップロードされたファイルのディレクトリ下でスクリプトを提供しないようにすることができます。
すべての値についてman 2 statを参照してください。

#### 構文

8進数

#### 参照

スクリプトのアクセス許可マスクの制限.

### クライアント単位のスロットル

#### 説明

これらは、クライアントIPに基づいた接続制御設定です。 これらの設定は、DoS（サービス拒否）攻撃とDDoS（分散サービス拒否）攻撃を緩和するのに役立ちます。

### 静的リクエスト/秒

#### 説明

確立された接続の数に関係なく、1秒間に処理できる単一のIPアドレスからの静的コンテンツへの要求の最大数を指定します。
この制限に達すると、将来のすべての要求は次の秒までタールピットされます。 動的に生成されるコンテンツのリクエスト制限は、この制限とは関係ありません。 クライアントごとの要求制限は、サーバーまたはバーチャルホストレベルで設定できます。 バーチャルホストレベルの設定は、サーバーレベルの設定よりも優先されます。

#### 構文

整数

#### ヒント

[セキュリティ]信頼できるIPまたはサブネットワークは影響を受けません。

#### 参照

動的リクエスト/秒

### 動的リクエスト/秒

#### 説明

確立された接続の数に関係なく、1秒ごとに処理できる単一のIPアドレスからの動的に生成されるコンテンツへの要求の最大数を指定します。 この制限に達すると、今後のすべての動的コンテンツへのリクエストは、次の秒までタールピットされます。
静的コンテンツの要求制限は、この制限とは関係ありません。 このクライアントごとの要求制限は、サーバーまたはバーチャルホストレベルで設定できます。 バーチャルホストレベルの設定は、サーバーレベルの設定よりも優先されます。

#### 構文

整数

#### ヒント

[セキュリティ]この制限によって、信頼できるIPまたはサブネットワークは制限されません。

#### 参照

静的リクエスト/秒

### 送信帯域幅（バイト/秒）

#### 説明

確立された接続の数に関係なく、単一のIPアドレスへの最大の送信スループット。 実際の帯域幅は効率上の理由からこの設定よりわずかに高くなることがあります。 帯域幅は4KB単位で割り当てられます。 スロットルを無効にするには、0に設定します。 クライアント単位の帯域幅制限（バイト/秒）は、バーチャルホストレベルの設定がサーバーレベルの設定を上回るサーバーまたはバーチャルホストレベルで設定できます。

#### 構文

整数

#### ヒント

[パフォーマンス]パフォーマンスを向上させるため、帯域幅を8KB単位で設定します。.
[セキュリティ]信頼できるIPまたはサブネットワークは影響を受けません。

#### 参照

受信帯域幅（バイト/秒）

### 受信帯域幅（バイト/秒）

#### 説明

確立された接続の数に関係なく、単一のIPアドレスからの最大許容着信スループット。 実際の帯域幅は効率上の理由からこの設定よりわずかに高くなることがあります。 帯域幅は1KB単位で割り当てられます。 スロットルを無効にするには、0に設定します。 クライアント単位の帯域幅制限（バイト/秒）は、バーチャルホストレベルの設定がサーバーレベルの設定を上回るサーバーまたはバーチャルホストレベルで設定できます。

#### 構文

整数

#### ヒント

[セキュリティ]信頼できるIPまたはサブネットワークは影響を受けません。

#### 参照

送信帯域幅（バイト/秒）

### 接続ソフトリミット

#### 説明

1つのIPから許可される同時接続のソフト制限を指定します。 このソフトリミットは、猶予期間（秒）の間に接続ハードリミット以下になると一時的に超過することができますが、接続の数が限界よりも少なくなるまで、キープアライブ接続はできるだけ早く閉じられます。 猶予期間（秒）の後に接続数がまだ制限を超えている場合、そのIPは禁止期間（秒）でブロックされます。
例えば、ページに多数の小さなグラフが含まれている場合、ブラウザは、特にHTTP/1.0クライアントの場合、同時に多くの接続を設定しようとする可能性があります。 これらの接続を短期間で許可する必要があります。
HTTP/1.1クライアントは、複数の接続を設定してダウンロード速度を上げることができ、SSLにはSSL以外の接続とは別の接続が必要です。 通常のサービスに悪影響を及ぼさないように、制限値が適切に設定されていることを確認してください。 推奨される制限は、5〜10です。

#### 構文

整数

#### ヒント

[セキュリティ]数字が小さいほど、より明確なクライアントに対応できます。
[セキュリティ]信頼できるIPまたはサブネットワークは影響を受けません。
[パフォーマンス]多数の同時クライアントマシンでベンチマークテストを実行する場合は、高い値に設定します。

### 接続ハードリミット

#### 説明

単一のIPアドレスから同時に許可される接続の最大数を指定します。 この制限は常に強制され、クライアントはこの制限を超えることはできません。 HTTP/1.0クライアントは通常、埋め込みコンテンツを同時にダウンロードするのに必要な数の接続を設定しようとします。 この制限は、HTTP/1.0クライアントが引き続きサイトにアクセスできるように十分に高く設定する必要があります。 接続ソフトリミットを使用して、目的の接続制限を設定します。

#### 構文

整数

#### ヒント

[セキュリティ]数字が小さいほど、より明確なクライアントに対応できます。
[セキュリティ]信頼できるIPまたはサブネットワークは影響を受けません。
[パフォーマンス]多数の同時クライアントマシンでベンチマークテストを実行する場合は、高い値に設定します。

### 不良リクエストブロック

#### 説明

不正な形式のHTTPリクエストを禁止期間（秒）の間送信し続けるIPをブロックします。デフォルトはYesです。 これは、不要なリクエストを繰り返し送信するボットネット攻撃のブロックに役立ちます。

#### 構文

ラジオボックスから選択

### 猶予期間（秒）

#### 説明

1つのIPから確立された接続の数が接続ソフトリミットを超えた後に新しい接続が受け入れられる期間を指定します。 この期間内に、総接続数が接続ハードリミット未満の場合は、新しい接続が受け入れられます。 この期間が経過した後、まだ接続数が接続ソフトリミットよりも高い場合、問題のIPは禁止期間（秒）でブロックされます。

#### 構文

整数

#### ヒント

[パフォーマンス & セキュリティ]ダウンロードに十分な大きさに設定してください。 完全なページですが、故意の攻撃を防ぐのに十分な低さです。

### 禁止期間（秒）

#### 説明

猶予期間（秒）経過後、接続数がまだ接続ソフトリミット以上の場合、新しい接続がIPから拒否される期間を指定します。 IPが繰り返し禁止されている場合は、禁止期間を延長して虐待のペナルティを強化することをお勧めします。

#### 構文

整数

### CGI設定

#### 説明

次の設定は、CGIプロセスを制御します。 これらのアプリケーションに対して制限が明示的に設定されていない場合は、メモリおよびプロセスの制限も他の外部アプリケーションのデフォルトとして機能します。

### CGIデーモンソケット

#### 説明

CGIデーモンとの通信に使用される一意のソケットアドレス。 LiteSpeedサーバーは、スタンドアロンのCGIデーモンを使用して、最高のパフォーマンスとセキュリティを実現するCGIスクリプトを生成します。 デフォルトソケットはuds://$SERVER_ROOT/admin/lscgid/.cgid.sock "です。 別の場所に配置する必要がある場合は、ここにUnixドメインソケットを指定します。

#### 構文

UDS://path

#### 例

UDS://tmp/lshttpd/cgid.sock

### 最大CGIインスタンス

#### 説明

サーバーが開始できる同時CGIプロセスの最大数を指定します。 CGIスクリプトに対する各要求に対して、サーバーはスタンドアロンCGIプロセスを開始する必要があります。 Unixシステムでは、並行プロセスの数が制限されています。 過度の並行処理は、システム全体のパフォーマンスを低下させ、DoS攻撃を実行する1つの方法です。 LiteSpeedサーバーはCGIスクリプトへの要求をパイプライン処理し、同時のCGIプロセスを制限して最適なパフォーマンスと信頼性を確保します。 上限は2000です。

#### 構文

整数

#### ヒント

[セキュリティ & パフォーマンス]上限が高いと必ずしもパフォーマンスが向上するとは限りません。 ほとんどの場合、下限値を指定するとパフォーマンスとセキュリティが向上します。 上限は、CGI処理中にI / O待ち時間が過大になる場合にのみ役立ちます。

### 最小UID

#### 説明

外部アプリケーションの最小ユーザーIDを指定します。 ここで指定した値よりも小さいユーザーIDを持つ外部スクリプトの実行は拒否されます。 LiteSpeed Webサーバーが「root」ユーザーによって起動された場合、Apacheなどの「suEXEC」モードで外部アプリケーションを実行できます（Webサーバー以外のユーザー/グループIDに変更する）。

#### 構文

整数

#### ヒント

[セキュリティ]すべてのシステム/特権ユーザーを除外するのに十分な高さに設定します。

### 最小GID

#### 説明

外部アプリケーションの最小グループIDを指定します。 ここで指定した値よりも小さいグループIDを持つ外部の実行は拒否されます。 LiteSpeed Webサーバーが "root"ユーザーによって起動された場合、Apacheで見つかった "suEXEC"モードで外部アプリケーションを実行できます（Webサーバー以外のユーザー/グループIDに変更する）。

#### 構文

整数

#### ヒント

[セキュリティ]システムユーザーが使用するすべてのグループを除外するのに十分な高さに設定します。

### 強制GID

#### 説明

suEXECモードで起動したすべての外部アプリケーションに使用するグループIDを指定します。 ゼロ以外の値に設定すると、すべてのsuEXEC外部アプリケーション（CGI/FastCGI/LSAPI）がこのグループIDを使用します。 これにより、外部アプリケーションが他のユーザーが所有するファイルにアクセスするのを防ぐことができます。
たとえば、共有ホスティング環境では、LiteSpeedはユーザー "www-data"として実行され、グループ "www-data"として実行されます。 各docrootは、 "www-data"のグループと許可モード0750を持つユーザーアカウントによって所有されています。 強制GIDが "nogroup"（または 'www-data'以外のグループ）に設定されている場合、すべてのsuEXEC外部アプリケーションは特定のユーザーとして実行されますが、グループ "nogroup"に実行されます。 これらの外部アプリケーション・プロセスは（ユーザーIDのために）特定のユーザーが所有するファイルには引き続きアクセスできますが、他のユーザーのファイルにアクセスするためのグループ権限は持っていません。 一方、サーバは、（グループIDのために）どんなユーザのdocrootディレクトリ下でもファイルを提供することができます。

#### 構文

整数

#### ヒント

[セキュリティ]システムユーザーが使用するすべてのグループを除外するのに十分な高さに設定します。

### umask

#### 説明

CGIプロセスのデフォルトのumaskを設定します。 詳細は、man 2 umaskを参照してください。 これは、外部アプリケーションumaskのデフォルト値としても機能します。

#### 構文

有効範囲値[000]〜[777]。

#### 参照

ExtApp umask

### CGI優先度

#### 説明

外部アプリケーションプロセスの優先度を指定します。値の範囲は-20から20です。数値が小さいほど優先度は高くなります。
CGIプロセスはWebサーバーより高い優先度を持つことはできません。この優先度がサーバーの優先度より小さい数値に設定されている場合、サーバーの優先度がこの値に使用されます。

#### 構文

整数

#### 参照

Server プライオリティ

### CPUソフトリミット(秒)

#### 説明

CGIプロセスのCPU消費制限時間を秒単位で指定します。 プロセスがソフトリミットに達すると、シグナルによって通知されます。 値が存在しない場合、または0に設定されている場合は、オペレーティングシステムのデフォルト設定が使用されます。.

#### 構文

整数

### CPUハードリミット(秒)

#### 説明

CGIプロセスの最大CPU使用時間制限を秒単位で指定します。プロセスがCPU時間を消費してハードリミットに達すると、プロセスは強制終了されます。 値が存在しないか、0に設定されている場合は、オペレーティングシステムのデフォルト設定が使用されます。

#### 構文

整数

### メモリソフトリミット（バイト）

#### 説明

外部アプリケーション・プロセスまたはサーバーによって開始された外部アプリケーションのメモリー消費制限をバイト単位で指定します。
この制限の主な目的は、ソフトウェアのバグや意図的な攻撃のために過度のメモリ使用を防止し、通常の使用に制限を設けないことです。 十分なヘッドスペースを確保してください。そうしないと、アプリケーションが失敗し、503エラーが返される可能性があります。 サーバーレベルまたは個々の外部アプリケーションレベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。
オペレーティングシステムのデフォルト設定は、値が両方のレベルにないか、0に設定されている場合に使用されます。

#### 構文

整数

#### ヒント

[注意]この制限を過度に調整しないでください。 アプリケーションでより多くのメモリが必要な場合は、503のエラーが発生する可能性があります。

### メモリハードリミット

#### 説明

ソフトリミットをユーザープロセス内のハードリミットまで上げることができることを除けば、メモリソフトリミット（バイト）と同じくらい同じです。 ハード・リミットは、サーバー・レベルまたは個々の外部アプリケーション・レベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。
値が両方のレベルにないか、0に設定されている場合、オペレーティングシステムのデフォルトが使用されます。

#### 構文

整数

#### ヒント

[注意]この制限を過度に調整しないでください。アプリケーションがより多くのメモリを必要とする場合、503エラーが発生する可能性があります。

### プロセスソフトリミット

#### 説明

ユーザーに代わって作成できるプロセスの総数を制限します。 既存のすべてのプロセスは、開始される新しいプロセスだけでなく、この限度に対してカウントされます。 制限は、サーバーレベルまたは個々の外部アプリケーションレベルで設定できます。
サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。 この値が0または両方のレベルにない場合、オペレーティングシステムのデフォルト設定が使用されます。

#### 構文

整数

#### ヒント

Information PHPスクリプトはプロセスをフォークするために呼び出すことができます。 この制限の主な目的は、フォーク爆弾や他のプロセスを作成するPHPプロセスによって引き起こされる他の攻撃を防ぐための最終防衛線です。
この設定を低すぎると、機能が著しく損なわれる可能性があります。 この設定は特定のレベル以下では無視されます。
suEXECデーモンモードを使用する場合、親プロセスが制限されないように、実際のプロセス制限はこの設定よりも高くなります。

### プロセスハードリミット

#### 説明

ソフトリミットをユーザープロセス内のハードリミットまで上げることができることを除けば、プロセスソフトリミットとほとんど同じです。 ハードリミットは、サーバー・レベルまたは個々の外部アプリケーションレベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。 オペレーティングシステムのデフォルト値は、値が両方のレベルにないか、0に設定されている場合に使用されます。

#### 構文

整数

### cgroups

#### 説明

プロセス群のリソース使用量（CPU、メモリ、ディスクI/O、ネットワークなど）を制限、集計、分離するLinuxカーネル機能です。ファイル/sys/fs/cgroup/cgroup.controllersの存在で判定されるcgroups v2を実行している必要があります。
サーバーレベルでDisabledに設定すると、この設定はサーバー全体で無効になります。それ以外の場合、サーバーレベルの設定はバーチャルホストレベルで上書きできます。
デフォルト値：
サーバーレベル：Off
VHレベル：サーバーレベル設定を継承

#### 構文

ドロップダウンリストから選択

### CAPTCHA保護

#### 説明

CAPTCHA保護は、高いサーバー負荷を緩和する手段として提供されるサービスです。CAPTCHA保護は、以下のいずれかの状況に達すると有効化されます。有効化されると、信頼されていない（設定に基づく）クライアントからのすべてのリクエストはCAPTCHA検証ページにリダイレクトされます。検証後、クライアントは目的のページにリダイレクトされます。
次の状況でCAPTCHA保護が有効化されます：
1. サーバーまたはvhostの同時リクエスト数が、設定された接続数上限を超えた場合。
2. Anti-DDoSが有効で、クライアントが疑わしい方法でURLにアクセスしている場合。トリガーされると、拒否される前にクライアントはまずCAPTCHAにリダイレクトされます。
3. CAPTCHAをRewriteRulesで有効化するための新しいrewrite rule環境が提供されています。'verifycaptcha'を設定すると、クライアントをCAPTCHAにリダイレクトできます。特殊な値': deny'を設定すると、失敗回数が多すぎるクライアントを拒否できます。たとえば、[E=verifycaptcha]は検証されるまで常にCAPTCHAにリダイレクトします。[E=verifycaptcha: deny]は最大試行回数に達するまでCAPTCHAにリダイレクトし、その後クライアントを拒否します。

### CAPTCHAを有効にする

#### 説明

現在のレベルでCAPTCHA保護機能を有効にします。この機能を使用するには、サーバーレベルでこの設定をYesに設定する必要があります。
デフォルト値：
サーバーレベル：Yes
VHレベル：サーバーレベル設定を継承

#### 構文

ラジオボックスから選択

### サイトキー

#### 説明

reCAPTCHAまたはhCaptchaサービスによって割り当てられる公開キーです。
reCAPTCHAを使用する場合、設定されていなければデフォルトのサイトキーが使用されます（非推奨）。

### シークレットキー

#### 説明

reCAPTCHAまたはhCaptchaサービスによって割り当てられる秘密キーです。
reCAPTCHAを使用する場合、設定されていなければデフォルトのシークレットキーが使用されます（非推奨）。

### CAPTCHAの種類

#### 説明

キーペアで使用するCAPTCHAの種類を指定します。
キーペアが指定されておらず、この設定がNot Setに設定されている場合、CAPTCHA種類reCAPTCHA Invisibleのデフォルトキーペアが使用されます。
reCAPTCHA Checkboxは、訪問者が検証するためのチェックボックスCAPTCHAを表示します。 （サイトキー、シークレットキーが必要）
reCAPTCHA InvisibleはCAPTCHAを自動的に検証しようとし、成功した場合は目的のページにリダイレクトします。 （サイトキー、シークレットキーが必要）
hCaptchaは、CAPTCHAプロバイダー hCaptchaをサポートするために使用できます。 （サイトキー、シークレットキーが必要）
デフォルト値はreCAPTCHA Invisibleです。

#### 構文

ドロップダウンリストから選択

### 最大試行回数

#### 説明

最大試行回数は、訪問者を拒否する前に許可されるCAPTCHA試行の最大回数を指定します。
デフォルト値は3です。

#### 構文

整数

### 許可するロボットヒット数

#### 説明

「good bots」の通過を許可する10秒あたりのヒット数です。サーバーが高負荷状態の場合、ボットは引き続きスロットルされます。
デフォルト値は3です。

#### 構文

整数

### ボット許可リスト

#### 説明

アクセスを許可するカスタムユーザーエージェントのリストです。allowedRobotHitsを含む「good bots」の制限対象になります。

#### 構文

ユーザーエージェントのリストを1行に1つずつ指定します。Regexを使用できます。

### 接続数上限

#### 説明

CAPTCHAを有効化するために必要な同時接続数（SSLおよび非SSL）です。同時接続数がこの数値を下回るまで、CAPTCHAは引き続き使用されます。
デフォルト値は15000です。

#### 構文

整数

### SSL接続数上限

#### 説明

CAPTCHAを有効化するために必要な同時SSL接続数です。同時接続数がこの数値を下回るまで、CAPTCHAは引き続き使用されます。
デフォルト値は10000です。

#### 構文

整数

### Bubblewrapコンテナ

#### 説明

CGIプロセス（PHPプログラムを含む）をbubblewrapサンドボックス内で起動する場合は、Enabledに設定します。bubblewrapの使用方法の詳細は次を参照してください。 https://wiki.archlinux.org/title/Bubblewrap この設定を使用する前に、システムにBubblewrapがインストールされている必要があります。
サーバーレベルで"Disabled"に設定されている場合、この設定をバーチャルホストレベルで有効にすることはできません。
デフォルト値：
サーバーレベル：Disabled
VHレベル：サーバーレベル設定を継承

#### 構文

ドロップダウンリストから選択

### Bubblewrapコマンド

#### 説明

bubblewrapプログラム自体を含む、完全なbubblewrap使用コマンドです。このコマンドの設定に関する詳細は次を参照してください。 https://openlitespeed.org/kb/bubblewrap-in-openlitespeed/ 。指定しない場合は、以下のデフォルトコマンドが使用されます。
デフォルト値： /bin/bwrap --ro-bind /usr /usr --ro-bind /lib /lib --ro-bind-try /lib64 /lib64 --ro-bind /bin /bin --ro-bind /sbin /sbin --dir /var --dir /tmp --proc /proc --symlink ../tmp var/tmp --dev /dev --ro-bind-try /etc/localtime /etc/localtime --ro-bind-try /etc/ld.so.cache /etc/ld.so.cache --ro-bind-try /etc/resolv.conf /etc/resolv.conf --ro-bind-try /etc/ssl /etc/ssl --ro-bind-try /etc/pki /etc/pki --ro-bind-try /etc/man_db.conf /etc/man_db.conf --ro-bind-try /home/$USER /home/$USER --bind-try /var/lib/mysql/mysql.sock /var/lib/mysql/mysql.sock --bind-try /home/mysql/mysql.sock /home/mysql/mysql.sock --bind-try /tmp/mysql.sock /tmp/mysql.sock --unshare-all --share-net --die-with-parent --dir /run/user/$UID ‘$PASSWD 65534’ ‘$GROUP 65534’

### Namespaceコンテナ

#### 説明

CGIプロセス（PHPプログラムを含む）をNamespaceコンテナサンドボックス内で起動する場合は、Enabledに設定します。BubblewrapコンテナがDisabledに設定されている場合にのみ使用されます。
サーバーレベルでDisabled以外に設定されている場合、この設定値はバーチャルホストレベルで上書きできます。
デフォルト値：
サーバーレベル：Disabled
バーチャルホストレベル：サーバーレベル設定を継承

#### 構文

ドロップダウンリストから選択

### Namespaceテンプレートファイル

#### 説明

マウントするディレクトリのリストと、それらをマウントする方法を含む既存の設定ファイルへのパスです。NamespaceコンテナがEnabledに設定され、この値が未設定の場合、次の安全なデフォルト設定が使用されます。
$HOMEDIR/.lsns/tmp /tmp,tmp
/usr,ro-bind
/lib,ro-bind
/lib64,ro-bind-try
/bin,ro-bind
/sbin,ro-bind
/var,dir
/var/www,ro-bind-try
/proc,proc
../tmp var/tmp,symlink
/dev,dev
/etc/localtime,ro-bind-try
/etc/ld.so.cache,ro-bind-try
/etc/resolv.conf,ro-bind-try
/etc/ssl,ro-bind-try
/etc/pki,ro-bind-try
/etc/man_db.conf,ro-bind-try
/usr/local/bin/msmtp /etc/alternatives/mta,ro-bind-try
/usr/local/bin/msmtp /usr/sbin/exim,ro-bind-try
$HOMEDIR,bind-try
/var/lib/mysql/mysql.sock,bind-try
/home/mysql/mysql.sock,bind-try
/tmp/mysql.sock,bind-try
/run/mysqld/mysqld.sock,bind-try
/var/run/mysqld.sock,bind-try
/run/user/$UID,bind-try
$PASSWD
$GROUP
/etc/exim.jail/$USER.conf $HOMEDIR/.msmtprc,copy-try
/etc/php.ini,ro-bind-try
/etc/php-fpm.conf,ro-bind-try
/etc/php-fpm.d,ro-bind-try
/var/run,ro-bind-try
/var/lib,ro-bind-try
/etc/imunify360/user_config/,ro-bind-try
/etc/sysconfig/imunify360,ro-bind-try
/opt/plesk/php,ro-bind-try
/opt/alt,bind-try
/opt/cpanel,bind-try
/opt/psa,bind-try
/var/lib/php/sessions,bind-try

#### 構文

絶対パス又は$SERVER_ROOTからの相対パス。

### アクセスが拒否されたディレクトリ

#### 説明

アクセスをブロックするディレクトリを指定します。 重要なデータを含むディレクトリをこのリストに追加して、誤って機密ファイルをクライアントに公開しないようにします。 すべてのサブディレクトリを含めるためにパスに「*」を追加します。 シンボリックリンクに従うとシンボリックリンクを確認するの両方を有効にすると、拒否されたディレクトリに対してシンボリックリンクがチェックされます。

#### 構文

ディレクトリのカンマ区切りリスト

#### ヒント

[セキュリティ]重要な点：この設定では、これらのディレクトリから静的ファイルを提供することができません。 これは、PHP/Ruby/CGIなどの外部スクリプトによるエクスポージャーを防ぐものではありません。

### アクセス制御

#### 説明

どのサブネットワークおよび/またはIPアドレスがサーバーにアクセスできるかを指定します。 サーバレベルでは、この設定はすべてのバーチャルホストに影響します。 バーチャルホストレベルで各バーチャルホストに固有のアクセス制御を設定することもできます。 バーチャルホストレベルの設定はサーバーレベルの設定を上書きしません。
ブロック/ IPの許可は、許可リストと拒否リストの組み合わせによって決まります。 特定のIPまたはサブネットワークのみをブロックする場合は、許可リストに*またはALLを入れ、ブロックされたIPまたはサブネットワークを拒否リスト。
特定のIPまたはサブネットワークのみを許可する場合は、拒否リストに*またはALLを入れ、許可されたIPまたはサブネットワークを許可リスト。
IPに適合する最小スコープの設定は、アクセスを決定するために使用されます。
サーバーレベル：信頼できるIPまたはサブネットワークは、許可リストに、末尾の "T"を追加することで指定する必要があります。 信頼できるIPまたはサブネットワークは、接続/スロットリング制限の影響を受けません。 信頼できるIP/サブネットワークは、サーバーレベルのアクセス制御でのみ設定できます。

#### ヒント

[セキュリティ]すべてのバーチャルホストに適用される一般的な制限については、サーバーレベルでこれを使用してください。

### 許可リスト

#### 説明

許可されるIPまたはサブネットワークのリストを指定します。 *またはALLが受け入れられます。

#### 構文

IPアドレスまたはサブネットワークのカンマ区切りリスト。 末尾の「T」は、192.168.1.*Tなどの信頼できるIPまたはサブネットワークを示すために使用できます。

#### 例

Sub-networks: 192.168.1.0/255.255.255.0, 192.168.1.0/24, 192.168.1, or 192.168.1.*
IPv6 addresses: ::1 or [::1]
IPv6 subnets: 3ffe:302:11:2:20f:1fff:fe29:717c/64 or [3ffe:302:11:2:20f:1fff:fe29:717c]/64

#### ヒント

[セキュリティ]サーバーレベルのアクセス制御で設定された信頼されたIPまたはサブネットワークは、接続/スロットリングの制限から除外されます。

### 拒否リスト

#### 説明

許可されていないIPまたはサブネットワークのリストを指定します。

#### 構文

IPアドレスまたはサブネットワークのカンマ区切りリスト。 *またはALLが受け入れられます。

#### 例

Sub-networks: 192.168.1.0/255.255.255.0, 192.168.1.0/24, 192.168.1, or 192.168.1.*
IPv6 addresses: ::1 or [::1]
IPv6 subnets: 3ffe:302:11:2:20f:1fff:fe29:717c/64 or [3ffe:302:11:2:20f:1fff:fe29:717c]/64