Azure Websites や AppHarbor で HTTPS 経由のアクセスだけを許す

SSL付で0円から始められるASP.NET用PaaS

今日では ASP.NET Webアプリケーションを無償でインターネットに公開できる Windows Azure Websites や AppHarbor といった PaaS が気軽に利用できる。

さらにこれら、Azure Websites と AppHarbor では、SSL 通信による HTTPS アクセスも可能となっている。

例えば Azure Websites の無償枠で http://whois.azurewebsites.net というサイトを立ち上げたとする。
すると、https://whois.azurewebsites.net という URL で、HTTPS 経由で同じアプリにアクセスできるのだ。

独自ドメインは使えないとはいえ（Azure Websites も AppHarborも、有償プランを契約することで独自ドメインが利用可能になる）、SSL 通信が無償枠内で使えてしまうのはいい時代になった。

さてとろこで、こうして Azure Websites や AppHarbor 上に立てたWebサイト/アプリの種類や用途によっては、SSL による暗号化通信を必須としたいケースもあるだろう。

しかしながら、どうやら Azure Websites や AppHarbor では、そのサービス自体の機能・設定による HTTP 経由のアクセスを遮断する方法は用意されていないように見える。

つまりこのままでは、Webサイト/アプリの開発者、運用者の意図や希望とは関係なく、利用者自身の選択・自己責任によって、HTTPS 経由のアクセスをするよう注意するしかなくなる。

HTTPS でのアクセスを強制したい!

しかしどうしてもこのような状況を許容したくない・できない場合はどうするか。

そのような場合はアプリ自身のコードによって、HTTP 経由のアクセスに応答しないよう仕立てることができるだろう。

ASP.NET の現在要求を示す HttpRequestオブジェクトには、IsSecureConnection という bool 型のプロパティが公開されている。
このプロパティを参照すれば、現在 HTTP 経由でアクセスされているのか HTTPS 経由なのかをアプリ自身で判断するのは容易だ。

もしも HTTP 経由のアクセスだったら、たとえば HTTPステータス 404 Not Found を返してあたかもそのプロトコル経由ではサイトが存在しないように見せることもできる。

そのようなコードを自作するのは必ずしも困難・難解ではない。
だが今回は自分が作り置きしておいたHTTPモジュールを利用した例を示そう。

AppOfflineModule という名前で NuGet に公開しているモジュールである。

AppOfflineModule

http://nuget.org/packages/AppOfflineModule/

ソースコードはこちら。
https://github.com/jsakamoto/AppOfflineModule

このモジュールの標準機能は、web.config の appSettings 構成による指令にしたがって、そのWebサイト/アプリに対するいかななる要求に対しても HTTP 404 Not Found を返すようになる機能だ。

そしてこのモジュールはある程度動作をカスタマイズできる。
つまり、appSettings の設定ではなく、先述の IsSecureConnection が true か false かによって HTTP 404 を返すかどうかを切り替えるようにできる。

一般的な ASP.NET / ASP.NET MVC の Web アプリであれば、Global.asax にてアプリ起動時の初期化のタイミングで、判定コードを配線すればよい。

// Global.asax.cs

using Toolbelt.Web;

public class MyApplication : System.Web.HttpApplication

{

  protected void Application_Start()

  {

    ...

    AppOfflineModule.Filter.IsEnable = 

      () => HttpContext.Current.Request.IsSecureConnection == false;

  }

}

WebMatrix による ASP.NET Web Pages の場合は、_AppStart.cshtml という特別なファイル名の Web Page を用意し、この中で判定コードの配線を行う。

@using Toolbelt.Web

@{

  AppOfflineModule.Filter.IsEnable = 

    () => HttpContext.Current.Request.IsSecureConnection == false;

}

PHP なサイトにも使える!

さらに面白いのは Azure Websites だ。

Azure Websites では、特別な追加設定などしなくてもはじめから PHP も利用可能なのだ。

そして IIS の機能というか仕組みによって、PHP と ASP.NET の要求処理とが統合されている。

その結果、何がうれしいかというと、アプリの本質はすべて PHP で構築されている Web アプリを Azure Websites に配置するとして、今回紹介の AppOfflineModule も適用できる、ということだ。

アプリの本体は PHP で組みつつ、HTTPS アクセスの強制を行うのは ASP.NET 用の AppOfflineModule をインストールすることで実現、という言語混合が可能なのだ。

参考までに WebMatrix を使って作成したサンプルを Dropbox 上で公開する。

HttpsOnlySample
https://www.dropbox.com/sh/tfwvvg1vvgp9mpw/wNlgUjFsWp

Dropbox から Azure Websites へデプロイ

話は少し逸れるが、このサンプルは Azure Websites のちょっと面白い仕掛けを利用している。
実はこの Dropbox の内容、Azure Websites 上に発行・配置されるようになってるのだ。

で、Azure Websites 上に発行・配置した先の URL はこちら。
https://httpsonlysample.azurewebsites.net/index.php

アクセスすると phpinfo() の実行結果が表示され、たしかに PHP が動作していることがわかる。

同じサイトを HTTPS ではなく HTTP プロトコルでアクセスすると、AppOfflineModule によって 404 Not Found が返されるようになっている。

補足:パフォーマンス上の注意点

察しのよい読者諸氏はすでにお気づきかと思うが、この AppOfflineModule、処理速度の面では難がある。

ありとあらゆる要求について、オフラインモードを発動すべきかどうかの判定コードが実行されるからだ。

この点はご理解いただきつつ、適材適所でうまくご活用いただければ、作者冥利につきる。