Configurare l'accesso alla rete per Docebo

Introduzione

Questo articolo fornisce informazioni essenziali sulla configurazione di rete per i team di sicurezza e gli amministratori IT. Per garantire l'accesso continuo e il pieno funzionamento di Docebo dalla rete aziendale, è necessario consentire alcune connessioni in uscita verso l'infrastruttura di Amazon Web Services (AWS) attraverso il firewall o il proxy web.

Docebo sfrutta servizi AWS robusti e distribuiti a livello globale per fornire contenuti in modo efficiente e abilitare funzionalità specifiche. Per questo motivo, potrebbe essere necessario consentire esplicitamente gli endpoint o gli intervalli di indirizzi IP necessari nelle politiche di sicurezza della rete aziendale. Se non si consente il traffico verso questi servizi necessari, gli utenti possono riscontrare problemi di connessione, prestazioni lente, o non essere abilitati a utilizzare alcune funzionalità di Docebo.

Se si limitano gli indirizzi IP accettati dagli endpoint dei webhook, consultare le tabelle delle informazioni in uscita in Piattaforme di formazione per conoscere gli indirizzi utilizzati da Docebo per inviare i webhook.

Servizi esterni che richiedono l'accesso

La nostra piattaforma si basa principalmente su due servizi chiave di AWS che possono richiedere l'inserimento nell'elenco dei servizi consentiti:

• AWS CloudFront (Content Delivery Network o CDN): utilizziamo AWS CloudFront per distribuire i contenuti delle applicazioni a livello globale, garantendo un accesso veloce e affidabile agli utenti indipendentemente dalla loro posizione.
  Questi hostname si risolvono dinamicamente ai pool di server edge di AWS CloudFront più ottimali in base alla posizione dell'utente. Idealmente, le regole del firewall o del proxy dovrebbero essere configurate in modo da fidarsi di questi nomi DNS. Tuttavia, sappiamo che alcuni criteri di sicurezza impongono l'uso di intervalli di indirizzi IP anziché di nomi di host. In questi casi, la ricerca di CLOUDFRONT all'interno di questo file JSON (si apre in una nuova scheda) fornisce indicazioni su come ottenere gli intervalli IP AWS correnti per il servizio CloudFront.
• AWS S3 (Simple Storage Service): alcune funzionalità specifiche di Docebo, come il caricamento diretto di alcune risorse (come i file CSV per l'importazione dei dati), utilizzano un endpoint AWS S3 specifico. È possibile consultare la documentazione di AWS (si apre in una nuova scheda) per gli endpoint aggiornati. Tuttavia, sappiamo che alcuni criteri di sicurezza impongono l'uso di intervalli di indirizzi IP anziché di nomi di host. In questi casi, la ricerca di del termine S3 all'interno di questo file JSON (si apre in una nuova scheda) fornisce indicazioni su come ottenere gli intervalli IP AWS aggiornati per il servizio CloudFront.

Consentire le connessioni da e verso Docebo

Integrazioni e applicazioni specifiche richiedono che la piattaforma Docebo avvii connessioni a servizi ospitati all'interno della propria rete o ad altri endpoint esterni designati. Le tabelle seguenti forniscono le informazioni di rete necessarie dall'infrastruttura cloud di Docebo per abilitare queste connessioni in modo sicuro.

Per impostazione predefinita, i firewall aziendali sono tipicamente configurati per bloccare le connessioni in entrata non richieste. Pertanto, per consentire le connessioni legittime avviate da Docebo per le funzioni sopra elencate, è necessario configurare esplicitamente le regole del firewall per consentire il traffico proveniente da indirizzi IP specifici di Docebo.

Nota bene:

• Tutti gli indirizzi IP sono potenzialmente soggetti a modifiche. Docebo, quando possibile, comunicherà tempestivamente le modifiche.
• Le tabelle delle informazioni in uscita della sezione Piattaforme di formazione includono gli indirizzi IP utilizzati da Docebo per inviare i webhook HTTP e HTTPS, i cui domini DNS terminano con webhooks.docebo.net. Se l'endpoint dei webhook, il firewall o gli strumenti di sicurezza accettano solo il traffico proveniente da indirizzi IP approvati, aggiungere alla lista consentita entrambi gli indirizzi di consegna dei webhook della propria regione, poiché il traffico dei webhook si alterna tra i due. Mantenere nella lista consentita anche gli altri indirizzi in uscita della propria regione.
• Gli indirizzi di consegna dei webhook si applicano solo ai webhook HTTP e HTTPS. I webhook SQS ed EventBridge vengono consegnati all'ARN di destinazione configurato, pertanto le liste consentite basate sugli indirizzi IP non si applicano a questi webhook. Se l'endpoint rifiuta i webhook provenienti dai nuovi indirizzi, nei log dei webhook potrebbero comparire errori come le risposte 403.

Piattaforme di formazione

Europa

Canada

Stati Uniti

Asia Pacifico

Piattaforme sandbox

Europa

Canada

Stati Uniti

Asia Pacifico