2015年1月24日　MT長野イベントのプレゼンテーション資料です

1. 2015年1月24日
シックス・アパート株式会社
長内 毅志
あらためて今、Movable Type。

2. アジェンダ(4部構成)
•あらためて今、MT 6 の紹介
•あらためて今、MTの優位性
•あらためて今、バージョンアップの重要
性
•あらためて今、MTを使った事例

3. 第1部
あらためて今、
Movable Type 6 の紹介

4. Movable Typeとは
• 10年以上利用されているブログ・CMS(通称MT)
• MTタグ組み合わせでロジック生成
• テンプレートとDBが完全に分離している
(MVCライク)
• プラグインで拡張可能
• どんなコードも生成可能

5. 最新10件のブログ記事をリンク付きで生成
<ul>
<MT:Entries limit="10">
<li>
<a href="<MT:EntryPermalink>">
<MT:EntryTitle>
</a>
</li>
</MT:Entries>
</ul>

6. 特徴1
•静的生成でhtmlを出力
(スタティックパブリッシング)
•動的生成も対応可能
(ダイナミックパブリッシング)

7. •動的、静的生成どちらも対応することで、
様々なサーバー構成に対して柔軟に対応
できる

8. 基本的な構成
公開サーバー兼
CMSサーバー
管理者
閲覧者
(サイト訪問者)

9. ステージング環境
ステージング
サーバー兼
CMSサーバー
公開
サーバー
管理者 閲覧者
(サイト訪問者)

10. 冗長構成
CMS
サーバー
公開
サーバー
（冗長構成）
ロード
バランサ

11. クラウド環境
–CMSサーバーをVMイメージで構築(Amazon EC2な
ど)
–公開ページはコンテンツサーバーで構築
–AmazonS3 (Azure Webサイト) など
VMサーバー
AmazonEC2など
Amazon S3など

12. CDNを利用した構成
–CMSサーバーはVMイメージ n個で冗長構成
–公開コンテンツをストレージサーバーへ出力
–CDNを利用して世界各地にキャッシュ
DBサーバー
CDNサーバー

13. 特徴2
•柔軟なテンプレートタグ
–四則計算なども可能
•Data API で拡張可能
–データはJSON形式で出力、RESTで取得可能

14. 特徴3
•中小企業から中-大規模企業、官公庁まで
幅広い導入実績

15. Movable Type の基本構造

16. ウェブサイトとブログ
• ウェブサイト…
「サイト」「ホームページ」全体を管理する仕組み
• ブログ…
ウェブサイトの中にある、更新頻度の高いコンテンツを管理
する仕組み
「ブログ」「ニュースリリース」「IR情報」
「新製品紹介」など
参考リンク3：
http://www.movabletype.jp/documentation/mt6/websites/

17. 1つのWebサイトを構成する例

18. 複数のWebサイトを構成する例

19. ウェブサイトとブログの使い分け
•サイト全体を構造的に管理できる
•コンテンツごとに更新・管理体系を分ける
こと事ができる
•シングルユーザーでの利用も、もちろん可
能

20. 最新バージョン
Movable Type 6.0.6

21. パフォーマンス改善

22. 5つの新機能
•Data API
•Chart API
•非公開日指定
•Google Analyticsとの連携
•メッセージセンター

23. Movable Type の Data API

24. CMSの基本構造
DB
管理画面からデータ入力
テンプレートに従ってデータ出力

25. APIの利用
DB
管理画面、テンプレートを使わず
データの入出力できる
API API

26. 拡張性に富む
•開発言語を問わずデータ出力
•管理画面をつかわずデータ登録

27. Data API
•REST形式でMTのデータを入出力
–GET https://your-host/your-mt-api.cgi/
v1/sites/{blog_id}/entries
•MTの認証をつかうため、新たに認証シ
ステムをつくる必要がない
•コンテンツの可搬性

28. ウェブに限らず、あらゆるコンテンツを管理
ウェブサイト
スマホアプリ
Webサービス

29. Data APIの活用例
http://makanai.sixapart.jp

30. Data APIの活用例

31. Google Analyticsの連携
• Google Analyticsと連携してアクセスデータをダッシュ
ボード上に表示

32. JSONデータで取得可能
•JSON形式でデータを取得可能
•PHP、JavaScriptなどで任意の形で
加工、利用

33. プラグイン
•more-analytics
https://github.com/miyanaga/
mt-more-analytics/
• MITライセンス
• 近日商用版リリース予定

34. レスポンシブウェブデザインテーマ
•Rainier
–ブログ向けテーマ
•Eiger
–企業サイト向けテーマ

35. Apex
•追加テーマ「Apex」
http://plugins.movabletype.jp/movable_type/apex.ht
ml

36. RainierとEiger、Apexのライセンス
•MITライセンス(オープンソース)
–自由にカスタマイズ、再頒布可能
–ビジネス利用も可能、オープンソース頒布も

37. カスタマイズ例
http://plugins.movabletype.jp/drk7jp/seo-tuning-eiger.html

38. 5.Xの機能も引き継いでいます
• スマホ対応の管理画面
• 定型文機能
• PSGI対応
• セキュリティ強化機能
–連続した不正アクセスユーザーのIDをロックアウトする
–パスワードポリシーの設定変更
• リスティングフレームワーク

39. Movable Type のラインアップ
•Movable Type
•Movable Type クラウド
•MovableType.net

40. Movable Type クラウド版
•クラウド環境でMTを提供
•サーバー保守、メンテナンスはシックス・ア
パートが担当
•月額5000円～

41. サーバー配信機能
•外部サーバーへhtml送信
•ステージング構成が簡単

42. バックアップ機能
•1日に1度データをバックアップ
•いつでも復旧可能

43. 2つの新機能
•IP制限
–管理画面、公開サイトへのアクセス制限が可能
•マルチドメイン対応
–S4i、S4g以上、10ドメインまで利用可能

44. MovableType.net
•Webサービス型CMS
•カスタムフィールドが利用可能
•GitHub上のテーマと連携可能
•低価格(2500円/月～)

45. パブリックベータ絶賛公開中

46. 自由度低
(ウェブサービス型)
高
(ソフトウェア型)
手軽さ
複
雑
容
易

47. MT on AWS
•AWS marketplace で提供
•microインスタンスは無料
–(AWS使用料別)

48. HVMインスタンスに対応
•T2インスタンスに対応
•再構築時に力を発揮

49. 第1部のまとめ
•Movable Type は多種多様なサーバー環
境に対応できるCMS・ブログソフト
•最新バージョンは6.x、API機能を強化
•多彩なラインアップ展開

50. 第2部
あらためて今、
Movable Type の優位性

51. 一言で言うと
•MTのノウハウを身につけると、小規模から
中大規模案件まで幅広くカバーできる

52. 構築の実例
•中-大規模案件のウェブサイトのCMS化を
モデルケースとして考えてみる
•MTと、それ以外のCMSを導入する場合で
比較

53. 中-大規模案件の定義
• 中-大規模のクライアントのウェブサイト
(上場企業、ワールドワイド企業)
• 専用サーバー、複数台構成などのスケーラ
ビリティを必要とするサイト
• 複数関係者が運用に携わるサイト

54. 3つのキーワード
•動的生成
•静的生成
•責任分界点

55. 動的生成
•データベース＋PHPなどで、プログラム
的にhtmlを生成表示する仕組
•実際のファイルは生成しない

56. 動的生成型CMSの例
•代表例
–WordPress
–Drupal
–Joomla
•オープンソースCMSは、ほとんどこのタイ
プ

57. 静的生成
•CMSから、実際のhtmlを出力、生成して表示
させる仕組み
•DreamWeaverやホームページビルダーで作
成するようなhtmlファイルが出力される

58. • 代表例
–Movable Type
–WebRelease
–NOREN
• 中大規模向けCMSに多いタイプ
(動的配信も可、が多い)

59. 責任分界点とは
• システム導入・サポートの責任分担を切り分
ける境界線

60. 責任分界点の例
Apache
PHP
データベース
ライブラリ(PEAR、CPAN)
CMSシステム その他
インターネットへ
CMS導入業者 クライアント
システム部門
責任分界点

61. •ステージングサーバーを利用した
サイトのCMS化

62. ステージングサーバーとは
• 実際のシステムを稼働させる前に，実環境に近い状
況で評価・確認すること。
• 例えばWebコンテンツの場合，正式にアップロードする
前に，「ステージング・サーバー」にアップロードして動
作確認する
ITPro「ネットワーク大辞典」より
http://itpro.nikkeibp.co.jp/word/page/10010396/

63. ステージングサーバーを利用したサイトのCMS化
• 中大規模案件でよく見かける要件の一つ
• ステージングサーバーで確認
=>公開サーバーへ配信
ステージング
サーバー
公開
サーバー
Web
担当者
閲覧者
(サイト訪問者)

64. 実例
•動的CMS(オープンソース)でステージ
ングサーバーを構築する構成例

65. パターン1：動的オープンソースCMSで実装
動的CMS1
DB1 DB1’
PHP PHP
動的CMS1’
1.ステージングサーバーで確認
2.rsyncでDBを同期(sqlファイル)
・両サーバーに表示用プログラム(CMS本体)を設置
ステージング
サーバー
公開
サーバー

66. 問題点
•問題点
–ステージングサーバーを採用しているような案件の
場合、そもそもセキュリティ要件が厳しい

67. 問題点
①
②③
④

68. パターン1の懸念点
1. 公開サーバーへシステムを入れられるか
– PHPは？DBは？
2. 管理責任の分界線は？
– CMSのバージョンアップは誰が担当？
– それに伴うPHP系のバージョンアップは？
3. 2サーバー、2系統システムのメンテナンスコスト？
4. 障害時の復旧は？障害監視は？

69. パターン2：CMSを改造
動的CMS1
DB1
PHP PHP
動的CMS1’
ステージング
サーバー
公開
サーバー
1.CMSを改造
ステージ、本番ごとに公開日を設定
2.ステージング確認後、本番を公開
・両サーバーにCMSを設置
・全て同一に管理

70. ①
②
問題点

71. パターン2の問題点
1. DB通信用のポート開放が可能か？
2. CMSバージョンアップ時のメンテナンスは？
– コアハックの情報引継ぎは非常に困難
– フックポイント(コールバック)を利用した
プラグイン利用は必須
3. 両サーバーが常に同一でいられるか？

72. ステージングサーバー型案件の対応ポイント
• クライアントのセキュリティポリシーと見合うか
• ネットワーク、サーバーレベル
• メンテナンスコストを考慮に入れているか
• バージョンアップ時の互換性は？
• (本体＋プラグイン含め)

73. Movable Typeを利用した場合(静的配信)
DB
Perl(PHP)
・CMSはステージングサーバーのみ
・生成されたhtmlを本番サーバーへ配信

74. Movable Type 利用時のメリット
• システム導入はステージングサーバーのみで完結
• 管理責任の分界線が明確
• システム障害時でも、サイト表示に影響が無い
• 使用ポートはファイル配信(FTP、SSH)関連でOK
• 必要に応じて動的生成も可能

75. •冗長化構成サイトのCMS化

76. 冗長化とは
• システムに障害が発生した場合に備え、障害発生後でもシス
テム全体の機能を維持し続けられるように予備装置をバック
アップとして配置し運用しておくこと。
ロードバランサー
ウェブサーバー
(2台構成)

77. アクセス数が多く見込まれるウェブサイトのCMS化
ロードバランサー
ウェブサーバー
(3台構成)
Web担当者

78. CMS導入例(実際にあった構成)
ロードバランサー
ウェブサーバー
(3台構成)
DB
サーバー
(レプリケーション)
CMSサーバー
(件マスターDBサーバー)
マスターDB
(or スレーブDB)
スレーブDB

79. • 監視ポイント多数
• Webサーバー＋DBサーバーのメンテナンスが必要
CMS
CMS
CMS
DB
DB
CMS

80. アクセス増加とメンテナンスコストは比例する
DBサーバー
ウェブサーバー
CMS
CMS
CMS
DB
DB
DB
CMS
CMS
CMS

81. CMSを負荷分散型サーバーに導入する際の問題
• 監視対象が増加
• 動的生成の場合、DB、CMSに障害が起こると表示障害が
起こる
• 死活監視が非常に重要
• 公開、バックエンド含めた管理運用コストが増大
• アクセス数増加に伴うシステム構成変更コスト
• システムがより複雑化していく問題
•

82. Movable Typeを利用した負荷分散型サイト管理
DB
責任分界点
CMSサーバー
(兼マスターDBサーバー)
ウェブサーバー
ロードバランサー

83. •責任分界点が明確
•管理対象はバックエンドのみ
•CMSに障害が起こっても表示に影響はな
い
•サーバー増加も容易

84. Movable Typeを利用するメリット
• 監視対象がバックエンドに絞れる
• DB、CMSに障害が起こっても表示障害はおきない
• 管理運用コストは動的システムに比べて限定的
• アクセス数増加に伴うシステム構成変更コスト
• システムがより複雑化していく問題を回避できる

85. 中-大規模サイトのCMS化を行うポイント
• サーバーの状況を把握
–モジュール、DBなど関係するシステムのバー
ジョン、状況

86. • 関係各者の役割把握
–サーバー、ネットワークの運用担当者は？
–すでに他のシステム会社がDB、プログラムを
利用している可能性あり
–運用ポリシー、セキュリティポリシーの把握

87. • 責任分解点の明確化
–障害対応を考えると整理は必須

88. 責任分界点を曖昧なまま進めた場合のトラブル例
• PHP＋MySQLのCMS導入
• 数年後、CMSが最新のPHPでないと動かなくなるバージョン
アップ
• PHPをバージョンアップ
=>他システムが動かなくなる(掲示板、アンケート集計システ
ムなど)
• 障害が発生したシステムのメンテナンス
• さらに障害発生

89. • ウェブサイトが建物だとすれば、サーバーは土
地
–建物は基礎が安定しないと建てられない
–サーバーの状況を把握せずにCMS、ウェブサ
イトを構築するのは、基礎工事をせずにビル
ディングを立てるようなもの

90. 動的・静的の使い分け
• 動的システムはインタラクティブなウェブシステムに欠
かせない
• 動的CMS、オープンソースのメリットは多数
–ただし導入する際は、事前のリスク見積をきっちりと
–「とりあえずオープンソース」は長期的に見てデメリットにつ
ながる可能性あり

91. • 必要な部分には適切に動的システムの導入
–それ以外は静的なファイルによる管理
–ケースの見極めが大事
• オープンソースの利用は見極めが肝心
–直近は良くても、数年以上の運用に耐えられるか
–プラグインのメンテナンスはできるか

92. Movable Type の優位点
• 動的システム、静的システムいずれも対応可能
• 商用サポート、商用ソリューションが充実
• 日本語のハウトゥが多い
• クリティカルな要件に際して「枯れた」ソリューション情
報が多い

93. 第2部のまとめ
•MTを覚えておくと、中小規模案件から大規
模案件まで、ノウハウの転用がしやすい
•案件対応の幅が広がる

94. 第3部
あらためて今、
バージョンアップの重要性

95. •ウェブに対するアタック、ハッキングは増加
、複雑化している

96. データ出典：JPCERT/CC インシデント報告対応レポート
グラフ：http://www.nca.gr.jp/2013/web201303/

97. ガンブラー
http://www.ipa.go.jp/security/txt/2013/07outline.html

98. 最近の改ざん手法
http://www.ipa.go.jp/security/txt/2013/07outline.html

99. http://cybermap.kaspersky.com/

100. •CMSの管理権限を奪取してウェブサイトを
改ざん
•CMSの公開ディレクトリに任意のファイル
をアップロードしてウェブサイトを改ざん

101. CMSに関するハッキングの傾向
•20%はCMSのコア部分にある脆弱性への
攻撃、80%はプラグインなど周辺プログラム
の脆弱性を狙った攻撃
BSI「Content Management Syttem」より
https://www.bsi.bund.de/DE/Publikationen/Studien/CMS/Studie_CMS.html
Via http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

102. どのような攻撃が存在するか

103. もっとも多いパターン
•使用されているCMSを識別して攻撃
http://phxsac.com/wp-content/uploads/2013/06/CMS-Hacking.pdf

104. ブルートフォースアタック(総当り攻撃)
イラスト：「2014年版 情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

105. ファイルアップロード攻撃(バックドア)
イラスト：「2014年版 情報セキュリティ10大脅威」より
http://www.ipa.go.jp/security/vuln/10threats2014.html

106. •http://jvndb.jvn.jp/

107. その他
•SQLインジェクション
•CSRF
•XSS
–主にソフトウェアの脆弱性を付くもの

108. •CMSが特定できると、攻撃しやすい
•総当たり攻撃やファイルアップロード攻撃
など、攻撃者はCMSとプラグインの脆弱性
を狙って攻撃をおこなう

109. Movable Type の特徴

110. CMSサーバーと公開サーバーの分離

111. ロックアウト

112. アップロードファイルの制限設定
•AssetFileExtensions
–アップロードできるファイルの種類を制限
•DeniedAssetFileExtensions
–アップロードできないファイルを設定

113. ジェネレーター情報の消去

114. Movable Type の安全性を
さらに高めるために

115. 最新版を使う
•最新版を使う

116. 管理画面にBasic認証をかける
•管理画面にBasic認証をかける

117. CGIスクリプトの名称を変える
•CGIスクリプトの名称を変える
–AdminScript
•管理プログラムの CGI スクリプト名を設定します
–UpgradeScript
•アップグレードスクリプトを設定します

118. 使わないCGIスクリプトの権限を変える
•使わないCGIスクリプトの権限を変える
–MTのコメント機能を利用していない
•mt-comments.cgi の実行権限を無くす
–トラックバック機能を利用していない
•mt-tb.cgi の実行権限を無くす

119. 例
–Data API 機能を利用していない
•mt-data-api.cgi の実行権限を無くす
–ログフィード機能を利用していない
•mt-feed.cgi の実行権限を無くす
–公開サイトで MTの検索機能を利用していない
•mt-search.cgi, mt-ftsearch.cgi の実行権限を無くす

120. パスワードの強度を上げる
•パスワードの強度を上げる

121. ロックアウト設定をする

122. パスワードの桁数と組み合わせの種類
文字種の数 4桁 6桁 8桁
10種
(数字のみ)
1万 100万 1億
26種
(英小文字)
約46万 約3億 約2千億
62種
(英数字)
約1500万 約570億 約220兆
94種
(英数記号)
約7800万 約6900億 約6100兆
「Web担当者フォーラム」より
http://web-tan.forum.impressrd.jp/e/2014/05/09/17197/page%3D0,6

123. 参考
使用する文字の
種類
使用
できる
文字数
最大解読時間
入力桁数
4桁 6桁 8桁 10桁
英字（大文字、小文
字区別無)
26
約3秒 約37分 約17日 約32年
英字（大文字、小文
字区別有）＋数字
62
約2分 約5日 約50年 約20万年
英字（大文字、小文
字区別有）＋数字＋
記号
93
約9分 約54日 約1千年
約1千万
年
IPA 2008年発表の資料から http://www.ipa.go.jp/security/txt/2008/10outline.html

124. •Movable Type を
安全に利用するために
http://www.movabletype.jp/blog/
secure_movable_type.html

125. バージョンアップの方法
•http://www.movabletype.jp/documentatio
n/mt6/upgrade/
•http://knowledge.sakura.ad.jp/beginner/26
73/

126. CMSの情報、バージョン情報を消す
•ジェネレータータグをすべて削除する
•RSS、Atom、RDFファイルなども注意

127. CMSサーバーの場所を特定しづらくする
•検索、コメント、トラックバックなどを使って
いない場合、MTのアプリケーション・サー
バー情報は隠せる
•特定しづらい場所に配置する

128. 公開サーバーとCMSサーバーを分ける
•MTクラウドには標準機能でサーバー配信
機能が含まれている

129. 参考情報

130. IPA 「安全なウェブサイトの作り方」
• https://www.ipa.go.jp/security/vuln/websecurity.html

131. 第3部のまとめ
•常に最新版へアップデートすることが改善
防止につながる
•Movable Type の設定を調整することで、さ
らに安全性は高まる

132. 第4部
あらためて今、
Movable Type の事例

133. Movable Type の事例集
•http://www.sixaprt.jp/business

134. サイボウズ式

135. GIZMODO

136. できるネット

137. ローソン

138. 東京都現代美術館

139. ワンダードライビング

140. 番外
あらためて今、
MTコミュニティとイベント

141. •MT蝦夷
•MT東北
•MT東京
•MTなごや
•MT関西
•MT広島
•MT福岡
•MT長野

143. MTDDC Meetup TOKYO 2014

144. •これから、ぜひ長野のMTコミュニティを盛
り上げていきましょう
•シックス・アパートもサポートしていきます。