Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

サーバ証明書のセキュリティ強化ガイドライン

共同作成者
PDF

インストール時に作成されたデフォルトの証明書を独自のカスタム証明書に置き換える必要があります。

多くの組織では、 StorageGRID Web アクセス用の自己署名デジタル証明書が、情報セキュリティポリシーに準拠していません。本番用システムでは、 StorageGRID の認証に使用する CA 署名デジタル証明書をインストールする必要があります。

具体的には、次のデフォルト証明書ではなくカスタムサーバ証明書を使用する必要があります。

  • 管理インターフェイスのサーバ証明書：Grid Manager、テナントマネージャ、Grid管理API、テナント管理APIへのアクセスを保護するために使用されます。

  • * Object Storage API Service Endpoints Server Certificate *：ストレージノードおよびゲートウェイノードへのアクセスを保護するために使用します。これらのノードは、S3およびSwiftクライアントアプリケーションがオブジェクトデータをアップロードおよびダウンロードするために使用します。

メモ StorageGRID では、ロードバランサエンドポイントに使用する証明書は別に管理されます。ロードバランサ証明書を設定するには、 StorageGRID の管理手順でロードバランサエンドポイントの設定手順を参照してください。

カスタムサーバ証明書を使用する場合は、次のガイドラインに従ってください。

  • 証明書にはが必要です subjectAltName StorageGRID のDNSエントリと同じです。詳細については、のセクション 4.2.1.6 「 Subject Alternative Name 」を参照してください "RFC 5280: PKIX 証明書と CRL プロファイル"。

  • 可能であれば、ワイルドカード証明書は使用しないでください。このガイドラインの例外は、 S3 仮想ホスト形式のエンドポイントの証明書です。バケット名が事前に不明な場合は、ワイルドカードを使用する必要があります。

  • 証明書にワイルドカードを使用する必要がある場合は、リスクを軽減するために追加の手順を実行する必要があります。などのワイルドカードパターンを使用します *.s3.example.com`を使用せずに、を使用してください `s3.example.com その他のアプリケーションのサフィックス。このパターンは、などのパス形式のS3アクセスでも機能します dc1-s1.s3.example.com/mybucket。

  • 証明書の有効期限を短く（ 2 カ月など）設定し、グリッド管理 API を使用して証明書のローテーションを自動化します。これは、ワイルドカード証明書で特に重要です。

また、クライアントは StorageGRID との通信に厳密なホスト名チェックを使用する必要があります。