Skip to main content
Eine neuere Version dieses Produkts ist erhältlich.
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Härtungsrichtlinien für TLS und SSH in StorageGRID

Änderungen vorschlagen
PDFs

Sie sollten den SSH-Zugriff kontrollieren, die Standard-TLS-Zertifikate ersetzen und die geeignete Sicherheitsrichtlinie für TLS- und SSH-Verbindungen auswählen.

Härtungsrichtlinien für Zertifikate

Die während der Installation erstellten Standardzertifikate sollten durch eigene benutzerdefinierte Zertifikate ersetzt werden.

Für viele Organisationen entspricht das selbstsignierte digitale Zertifikat für den StorageGRID-Webzugriff nicht ihren Informationssicherheitsrichtlinien. Auf Produktivsystemen ist ein von einer Zertifizierungsstelle signiertes digitales Zertifikat zur Authentifizierung von StorageGRID zu installieren.

Insbesondere sollten benutzerdefinierte Serverzertifikate anstelle dieser Standardzertifikate verwendet werden:

  • Management Interface-Zertifikat: Dient zur Absicherung des Zugriffs auf den Grid Manager, den Tenant Manager, die Grid Management API und die Tenant Management API.

  • S3 API-Zertifikat: Dient zur Sicherung des Zugriffs auf Storage Nodes und Gateway Nodes, die von S3-Clientanwendungen zum Hoch- und Herunterladen von Objektdaten verwendet werden.

Weitere Details und Anweisungen sind unter "Sicherheitszertifikate verwalten" zu finden.

Hinweis StorageGRID verwaltet die für Load-Balancer-Endpunkte verwendeten Zertifikate separat. Zur Konfiguration von Load-Balancer-Zertifikaten siehe "Load Balancer-Endpunkte konfigurieren".

Bei der Verwendung benutzerdefinierter Serverzertifikate gelten folgende Richtlinien:

  • Zertifikate sollten ein subjectAltName enthalten, das mit den DNS-Einträgen für StorageGRID übereinstimmt. Einzelheiten finden sich in Abschnitt 4.2.1.6, „Subject Alternative Name“, in "RFC 5280: PKIX-Zertifikat und CRL-Profil".

  • Wenn möglich, sollte auf die Verwendung von Wildcard-Zertifikaten verzichtet werden. Eine Ausnahme von dieser Richtlinie ist das Zertifikat für einen S3 Virtual Hosted Style Endpoint, bei dem die Verwendung eines Wildcard-Zertifikats erforderlich ist, wenn die Bucket-Namen nicht im Voraus bekannt sind.

  • Wenn in Zertifikaten Wildcards verwendet werden müssen, sollten zusätzliche Maßnahmen ergriffen werden, um die Risiken zu minimieren. Ein Wildcard-Muster wie *.s3.example.com sollte verwendet werden, und das s3.example.com Suffix sollte für andere Anwendungen nicht verwendet werden. Dieses Muster funktioniert auch mit pfadbasierendem S3-Zugriff, wie dc1-s1.s3.example.com/mybucket.

  • Die Gültigkeitsdauer der Zertifikate sollte kurz sein (zum Beispiel 2 Monate), und die Grid Management API kann zur Automatisierung der Zertifikatsrotation verwendet werden. Dies ist besonders wichtig für Wildcard-Zertifikate.

Darüber hinaus wird empfohlen, dass Clients bei der Kommunikation mit StorageGRID eine strikte Hostnamenprüfung verwenden.

Härtungsrichtlinien für TLS- und SSH-Richtlinien

Sie können eine Sicherheitsrichtlinie auswählen, um festzulegen, welche Protokolle und Verschlüsselungsverfahren verwendet werden, um sichere TLS-Verbindungen mit Clientanwendungen und sichere SSH-Verbindungen zu internen StorageGRID Diensten herzustellen.

Die Sicherheitsrichtlinie steuert, wie TLS und SSH Daten während der Übertragung verschlüsseln. Als bewährte Methode sollten Verschlüsselungsoptionen deaktiviert werden, die für die Anwendungskompatibilität nicht erforderlich sind. Die Standardrichtlinie Modern sollte verwendet werden, es sei denn, das System muss Common Criteria-konform, FIPS 140-2-konform sein oder es müssen andere Verschlüsselungsverfahren verwendet werden.

Siehe "TLS- und SSH-Richtlinie verwalten" für Details und Anweisungen.

Externen SSH-Zugriff verwalten

Zur Erhöhung der Systemsicherheit ist der externe SSH-Zugriff standardmäßig blockiert. SSH-Zugriff sollte nur aktiviert werden, wenn Aufgaben ausgeführt werden müssen, die einen eingehenden SSH-Zugriff erfordern, wie beispielsweise zur Fehlerbehebung. Weitere Informationen und Anweisungen sind unter "Externen SSH-Zugriff verwalten" zu finden.