Microsoft IIS 8の新機能【前編】

IIS 8で改良・強化されたCPU調整機能とSSL関連機能

Windows Server 2012に搭載されるIIS 8には、多くの強化点と新機能がある。今回はCPUサイクルの過剰消費を防ぐCPU調整機能と、管理性が向上したSSL機能について解説する。

公開 2012年06月27日 09時01分

更新 2012年09月10日 18時28分

著者

Serdar Yegulalp

[TechTarget]

印刷する連載新着通知を受け取る

　Windows Server 2012のβ版に付属するInternet Information Services（IIS） 8には、大規模なWebホストを構成する管理者向けの新機能が導入されている。しかし、規模の小さいホストや個々のサーバを管理する場合にも、これらの機能は役に立つ。

次世代の“CPUの調整”機能

　IIS 7には、ふるまいの悪いサイトによってCPUサイクルが過剰に消費されることを防ぐCPUの調整機能がある。しかし、残念ながら細かい構成ができないため、期待されるような有用性は得られない。

　まず、サイトに調整を適用すると、そのサイトのプロセス全体が一定の期間完全にブロックされる。CPUのしきい値とプロセスをブロックする期間を設定できるが、設定された期間はサイトが完全に無効になる。あるサイトでは、あるプロセッサ（または全プロセッサ）の90％のみを使用するといった細かい構成をすることは全くできない。

IIS 7のCPU調整機能は“オール・オア・ナッシング”：ターゲットのプロセスを完全にブロックするか、何もしないかのいずれかになる

　また、IIS 7では、CPUの調整が特定のアプリケーションプールにバインドされる。これは、Webサイトごとに専用のプールを構成しているのであれば、それほど問題ではない。そのような構成を前提に複数のCPUコアを用意している場合は、そのこと自体は悪い考えではない（1コアしかない場合でも、CPUの使用率が低いサイトであれば問題ではない）。しかし、複数のサイトが同一のアプリケーションプールを共有していて、そのうちの1サイトにCPU調整が適用された場合、全てのサイトがオフラインになる。

　この問題の解決策として、IIS 8ではCPUの調整機能に「Throttle（調整）」と「Throttle under load（負荷時の調整）」という2つの新しい操作を導入している。Throttleは特定のワーカープロセスと、そのプロセスから派生した子プロセスのCPU使用率を制限する。Throttle under loadの場合は、サイトは利用可能なだけCPUを消費できるが、他のプロセスとCPUの競合が始まると調整が適用される。

　これにより、プロセスを全面的にブロックしない調整が可能になり、マルチテナント環境での柔軟性が格段に上がる。ワーカープロセスのプロセッサの関係を明示的に設定しなくても、ワーカープロセスが互いを締め出し合うことなく、多数のサイトを並列実行できる。

　もう1つの機能強化は、サイトコード自体の初期化中に、サイトがページ要求を受け付け、フレンドリメッセージを返すことができる「アプリケーションの初期化モジュール」だ。この機能のおかげで、ライブラリが変更されて再コンパイルが発生しても、ユーザーがブラウザの更新ボタンを押さずに済む。

SSL関連の機能強化

　筆者は、これまでのIISのSSLの扱い方が好きになれなかった。「やぼったい」「扱いにくい」というのは、SSL証明書をIISに追加し管理するプロセス全体を表現するときに筆者が使っていた、比較的優しい形容詞である。ありがたいことに、IIS 8ではSSLの処理に関して、以下のような機能強化が施されている。

証明書の一元管理

　IIS 7では、IISの各インスタンスに個々の証明書をインポートする必要があり、ファーム全体のサーバを管理するような場合は頭痛の種になる。一方、IIS 8では、セントラル証明書ストア（CCS）を作成してファーム全体で必要な証明書を一カ所にまとめておける。証明書ファイルの名前を使って、自動的に目的のドメインに証明書をマップしてバインドできる。また、マルチドメイン証明書もこの機能を応用して実現できる（証明書のコピーを複数作り、適宜名前を変更するだけでよい）。

Server Name Indicationのサポート（ホストヘッダ利用サイトでのSSLの使用）

　少し前に筆者は、複数のサイトが同一のIPアドレスを共有し、ホストヘッダを使っているサーバでSSLを使うことがいかに難しいかを、“かなり”痛い思いをして理解した。Server Name Indicationという新しい機能を使うと、ホストヘッダ以外ではアクセスできないサイトでSSL使用できる。ただし、サーバとクライアントの両方がServer Name Indicationをサポートしている必要がある。IIS 8では、サーバ側のサポートが実装されている。また、最近のブラウザの大半がServer Name Indicationに対応している（ただし、Windows XPではどのバージョンのInternet ExplorerもServer Name Indicationをサポートしない）。