プロキシを介してルーティングされるカスタムドメインのセルフホスト DNS の設定

Marketing Cloud Engagement によってホストされるカスタムドメインは、デフォルトでエンゲージメントサーバーに直接転送され、Salesforce によってそれらのドメインのセキュリティが管理されます。セキュリティポリシーですべてのドメインのプロキシまたは Web アプリケーションファイアウォール (WAF) が必要な場合、DNS をセルフホストし、プロキシがドメイン固有のエンドポイント (DSE) を参照するようにして、Salesforce がドメインの SSL 証明書をプロビジョニングおよび更新できるようにします。

メモ すべてのドメインにプロキシまたは Web アプリケーションファイアウォール (WAF) が設定されている場合は、トラフィックがエンゲージメントに直接到達するようにエンゲージメントサーバーでホストされているカスタムドメインを例外にします。SSL 証明書のプロビジョニングや更新など、これらのドメインのセキュリティは Salesforce がユーザーに代わって管理します。

DNS をセルフホストするには、「Marketing Cloud Engagement カスタムドメインとメール送信の DNS レコードメンテナンス」を参照してください。DNS を委任するには、「カスタムサブドメイン委任」を参照してください。

セキュリティポリシーで WAF のバイパスが許可されていない場合、または他の理由でプロキシを使用する必要がある場合は、次の制約を理解します。

• DNS は Salesforce に委任できないため、DNS をセルフホストする必要があります。
• エンドツーエンドの接続とセキュリティを管理するには、2 つの個別の接続が必要です。
  • クライアントからプロキシへの接続: クライアントまたはブラウザーからプロキシへ
  • プロキシからオリジンへの接続: プロキシからエンゲージメントサーバー
• プロキシからオリジンへの接続を保護し、SSL 証明書を更新できるように、プロキシは DSE にルーティングする必要があります。プロキシの設定によって、UI ベースの SSL 証明書のインストールと更新が失敗する可能性があります。
• プロキシ-to-オリジン接続に Salesforce 提供の SSL 証明書を使用する場合、プロキシは DigiCert または Amazon Certificate Manager 認証機関 (CA) がエンゲージメントファイル共有を使用してトークンベースのドメイン制御検証 (DCV) を実行することをブロックしてはなりません。
• 操作の順序: クライアントからプロキシへの接続が保護され、トラフィックがエンドツーエンドでルーティングされる前に、プロキシからオリジンへの接続が保護されている必要はありません。この順序により、Salesforce はエンゲージメント UI でカスタムドメインを最初に設定したとき、または後で保護したときに、トラフィックがエンゲージメントサーバーに到達することを自動的に確認し、プロキシからオリジンへの接続を保護できます。まず、プロキシの SSL 証明書を使用してクライアントとプロキシ間の接続を保護し、トラフィックがエンゲージメントサーバーにルーティングされることを確認します。

1. エンドツーエンド接続の場合、プロキシ-to-オリジン接続で DSE を参照するようにプロキシを設定します。
   1. [設定] から、[クイック検索] ボックスに「ssl」と入力し、[ドメイン SSL 証明書] を選択します。
   2. ドメインの DSE を検索するには、ドメインの行のアクションドロップダウンメニューから、[View Self-Hosted DNS Settings] を選択します。
   3. CNAME レコードでカスタムドメインのドメイン固有エンドポイント (DSE) を参照します。
      正しく設定された A レコードでは DNS 状況エラーが報告されませんが、代わりに DSE を参照する CNAME レコードを使用することを強くお勧めします。Engagement サーバーの IP アドレスではなく DSE にルーティングすることで、エンドツーエンドのセキュリティとエンドツーエンドの接続のために信頼性の高い SSL 証明書のプロビジョニングと更新が可能になります。これにより、Salesforce は DNS を変更することなくホスティングサーバーを更新できます。
2. エンドツーエンドのセキュリティを確保するには、プロキシに SSL 証明書をインストールします。クライアントからプロキシへの接続を保護し、カスタムドメインに到達したときに顧客のクライアントとブラウザーに HTTPS を表示するには、ドメインの行で [インストールするこのドメインを保護] を選択します。
   1. クライアントとプロキシ間の接続を保護し、カスタムドメインに到達したときに顧客のクライアントとブラウザーに HTTPS を表示するには、プロキシに SSL 証明書をインストールします。
   2. カスタムドメインを保護するには、ドメインの行のアクションドロップダウンメニューから、[このドメインを保護] を選択します。
      プロキシがプロキシ-to-オリジン接続で HTTPS を試行していることを確認します。