Server-Konfiguration

Die Standardinstallation von Server verwendet HTTP (unverschlüsselt), um Installation und Konfiguration zu vereinfachen. Wir empfehlen die Bereitstellung von SSL/TLS-Zertifikaten und die Aktivierung von SSL/TLS (HTTPS) für Server, um die Kommunikation zwischen dem Client und Server zu verschlüsseln. Dies ermöglicht die Integrität und Vertraulichkeit von Benutzersitzungen und bestätigt die Identität von Server. Weitere Informationen zu den einzelnen Schritten finden Sie unter SSL/TLS für Server konfigurieren.

Die Einstellung des Standard-Ausführungsmodus kann erweiterte Sicherheitskontrollen über die Workflow-Ausführung potenziell schädlicher Aktionen bereitstellen. Standardmäßig ist der Standard-Ausführungsmodus auf „Uneingeschränkt“ gesetzt, was bedeutet, dass es keine Einschränkungen gibt und dass jeder Workflow ausgeführt werden kann. Wenn Sie diese Einstellung so konfigurieren, dass „Teilweise sicher“ oder „Sicher“ aktiviert ist, wird die Server-Umgebung weiter geschützt, indem verhindert wird, dass Workflows Daten lesen oder Daten in einen Speicherort schreiben, der sich nicht im Staging-Verzeichnis des Workflows befindet, oder Workflows ausführen, die eingeschränkte Tools enthalten. Dies ist eine globale Einstellung, die für die gesamte Server-Umgebung gilt. Sie kann jedoch auf der individuellen Workflow-Ebene von Administratoren überschrieben werden. Weitere Informationen zum Standard-Ausführungsmodus finden Sie auf der Hilfeseite Server-Benutzeroberfläche.

Als Administrator können Sie im Feld Zulässige Hosts diejenigen Hosts angeben, die Server bedienen soll.

Verwenden Sie dies als Sicherheitsmaßnahme, um sich vor HTTP-Host-Header-Angriffen zu schützen. Geben Sie einen voll qualifizierten Domänennamen (Host/Domäne) pro Zeile ein. Weitere Informationen finden Sie auf der Hilfeseite Server-Einstellungen.

Bearbeiten Sie %Programme%\Alteryx\bin\server\config\alteryx.config, um benutzerdefinierte Header hinzuzufügen, die CORS und andere Sicherheitsrichtlinien auf Header-Basis verschärfen.

<httpHeaders>
    <header name="Cache-Control" value="no-store; max-age=0" />
    <header name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" />
    <header name="X-Content-Type-Options" value="nosniff" />
    <header name="Content-Security-Policy" value="default-src 'self'; img-src 'self' data:; font-src 'self' data:; script-src 'self' 'unsafe-eval' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; frame-ancestors 'self'; form-action 'self'" />
    <header name="Access-Control-Allow-Origin" value="https://server.domain.tld" />
    <header name="Vary" value="Origin" />
    <header name="Referrer-Policy" value="no-referrer; strict-origin-when-cross-origin" />
</httpHeaders>