IT 部門向け

IT 部門の方へ

スタジオで Bernard Review を使うために、何をインストールするか、どの権限が必要か、ネットワークで何を開けるかを説明します。

インストールするもの

  • Windows：インストーラー。
  • Linux：Rocky Linux、AlmaLinux、RHEL 8、9、10 用の RPM パッケージ。
  • Linux：Ubuntu 用の DEB パッケージ。
  • Linux：ポータブルアーカイブ。管理者権限は不要です。
  • ゲストは何もインストールしません。ウェブブラウザから参加します。

プレーヤーはダウンロードページから無料でダウンロードできます（アカウント不要）。

管理者権限

  • Windows インストーラー、RPM パッケージ、DEB パッケージは管理者がインストールします。
  • ポータブルアーカイブは、ユーザーが展開して起動します。管理者権限は不要です。
  • ワークステーションのファイアウォールでポートを開ける作業は管理者が行います。これが必要なのは、スタジオのネットワーク内でホストするセッションだけです（下記参照）。
  • ブラウザで参加するゲストには、権限もアカウントも不要です。

ネットワーク：オンラインセッション

オンラインセッションはリレーを経由します。ワークステーションは外向きの接続だけを行います。スタジオ側に向けて開けるものはありません。

宛先ポートプロトコル用途開放
review.bernardengine.com443TCPHTTPS と WSS：API、同期、ゲスト用ウェブページ、映像のシグナリング必要
turn.review.bernardengine.com443TCPTURN over TLS：ほかの経路が通らない場合の映像と音声必要（443 番ポートだけが開いている場合）
review.bernardengine.com50000-50100UDP映像と音声、直接接続（最良の経路）推奨
review.bernardengine.com7881TCPUDP が閉じている場合の映像と音声の代替経路UDP が閉じている場合に推奨
turn.review.bernardengine.com3478UDPTURN over UDP任意
  • 両方のホスト名への外向き TCP 443 があれば、すべての機能が動作します。その場合、映像は TURN over TLS を使い、遅延が少し増えます。
  • スタジオのサインイン（SSO）は、システムのブラウザからスタジオの ID プロバイダーへ、443 番ポートの HTTPS で接続します。
  • スタジオ内にリレーを設置する場合（エンタープライズプラン）は、その運用担当者から伝えられたホスト名を使ってください。

スタジオのワークステーションから確認するには：

curl -sS https://review.bernardengine.com/api/v1/health

期待される結果："status":"ok" を含む JSON の応答。

ネットワーク：スタジオのネットワーク内のセッション

ローカルネットワークでホストするセッションは、リレーもインターネットも使いません。ほかのプレーヤーは、ホストのワークステーションの TCP 9000 番ポート（既定値、変更可能）に接続します。

このポートは、ホストのワークステーションだけで、内部ネットワークからの受信接続用に開けてください。オンラインセッションには不要です。

  • Windows：インストーラーは、ドメインとプライベートのプロファイルにファイアウォール規則を追加します。パブリックのプロファイルには追加しません。
  • グループポリシー（GPO）が Windows ファイアウォールを管理し、ローカルの規則を無視する場合は、ポリシーに規則を追加してください：受信 TCP 9000、ドメインとプライベートのプロファイル。

firewalld（Rocky Linux、AlmaLinux、RHEL）：

sudo firewall-cmd --permanent --zone=<zone> --add-service=bernard-review
sudo firewall-cmd --reload

ufw（Ubuntu）：

sudo ufw allow from <subnet> to any port 9000 proto tcp

<zone> は内部ネットワークのゾーンに、<subnet> はスタジオのサブネットに置き換えてください。

プロキシと認証局

  • HTTP プロキシは、リレーの両方のホスト名に対する 443 番ポートの CONNECT を許可する必要があります。
  • 両方のホスト名を TLS インスペクションの対象から外してください。通信を復号するプロキシは TURN over TLS を動作不能にします。
  • アイドル状態の接続を 120 秒未満で切断しないでください。
  • HTTP プロキシは UDP を通しません。プロキシだけの環境では、映像は TURN over TLS を使います。
  • スタジオ内に設置したリレーは、スタジオ自身の認証局の証明書と、内部 DNS の名前を使うことができます。

秘密情報

  • プレーヤーは、サインイン用の秘密情報をオペレーティングシステムの資格情報ストアに保存します。
  • リレーは、セッションのパスワード、トークン、コードをハッシュとして保存します。平文では保存しません。

プレーヤーが行わないこと

  • 単体で、ローカルまたはスタジオのネットワーク内で使う場合、プレーヤーは AArts Lab にデータを送信しません。
  • 現在のバージョンのサービスでは、スタジオのメディアファイルは AArts Lab に送信されません。スタジオのマシンに残ります。
  • 映像、音声、チャットは録画・録音されません。ストリームはセッション中だけ存在します。

セキュリティに関する連絡先

セキュリティに関するご質問、またはセキュリティ資料のご請求は： お問い合わせフォーム