Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

S3 / Swiftクライアントのセキュリティ

共同作成者
PDF

StorageGRIDテナントアカウントは、S3またはSwiftクライアントアプリケーションを使用してオブジェクトデータをStorageGRIDに保存します。クライアントアプリケーションに実装されているセキュリティ対策を確認する必要があります。

まとめ

次の表は、S3およびSwiftのREST APIのセキュリティの実装方法をまとめたものです。

Security 問題 の略 REST API の実装

接続のセキュリティ

TLS

サーバ認証

システム CA によって署名された X.509 サーバ証明書、または管理者から提供されたカスタムサーバ証明書

クライアント認証
S3

S3アカウント（アクセスキーIDとシークレットアクセスキー）

Swift

Swiftアカウント（ユーザ名とパスワード）

クライアント許可
S3

バケットの所有権と適用可能なすべてのアクセス制御ポリシー

Swift

カンリシヤロオルアクセス

StorageGRIDによるクライアントアプリケーションのセキュリティの仕組み

S3およびSwiftクライアントアプリケーションは、ゲートウェイノードまたは管理ノード上のロードバランササービスに接続するか、またはストレージノードに直接接続できます。

  • ロードバランササービスに接続するクライアントは、状況に応じてHTTPSまたはHTTPを使用できます。 "ロードバランサエンドポイントの設定"。

    HTTPSはTLSで暗号化されたセキュアな通信を提供するため、推奨されます。エンドポイントにセキュリティ証明書を添付する必要があります。

    HTTPは安全性が低く、暗号化されていない通信を提供するため、非本番環境またはテストグリッドにのみ使用する必要があります。

  • ストレージノードに接続するクライアントは、HTTPSまたはHTTPも使用できます。

    デフォルトはHTTPSで、推奨されます。

    HTTPは安全性が低く、暗号化されていない通信を提供しますが、オプションで "有効" 非本番環境またはテスト用グリッドの場合。

  • StorageGRID とクライアント間の通信は、 TLS を使用して暗号化されます。

  • ロードバランササービスとグリッド内のストレージノードの間の通信は、ロードバランサエンドポイントが HTTP と HTTPS どちらの接続を受け入れるように設定されているかに関係なく暗号化されます。

  • REST API 処理を実行するには、クライアントが StorageGRID に HTTP 認証ヘッダーを提供する必要があります。を参照してください "要求を認証します" および "サポートされている Swift API エンドポイント"。

セキュリティ証明書とクライアントアプリケーション

いずれの場合も、クライアントアプリケーションは、グリッド管理者がアップロードしたカスタムサーバ証明書または StorageGRID システムが生成した証明書を使用して、 TLS 接続を確立できます。

  • ロードバランササービスに接続する場合、クライアントアプリケーションはロードバランサエンドポイント用に設定された証明書を使用します。各ロードバランサエンドポイントには独自の証明書があります。グリッド管理者がアップロードしたカスタムサーバ証明書、またはグリッド管理者がエンドポイントの設定時にStorageGRIDで生成した証明書のいずれかです。

    を参照してください "ロードバランシングに関する考慮事項"。

  • クライアントアプリケーションは、ストレージノードに直接接続する場合、StorageGRID システムのインストール時にストレージノード用に生成されたシステム生成のサーバ証明書（システム認証局によって署名されたもの）を使用します。 または、グリッド管理者がグリッド用に提供した単一のカスタムサーバ証明書。を参照してください "カスタムのS3 / Swift API証明書を追加する"。

TLS 接続の確立に使用する証明書に署名した認証局を信頼するよう、クライアントを設定する必要があります。

TLS ライブラリのハッシュアルゴリズムと暗号化アルゴリズムがサポートされます

StorageGRIDシステムでは、クライアントアプリケーションがTLSセッションを確立するときに使用できる一連の暗号スイートがサポートされています。暗号を設定するには、[設定]>*[セキュリティ設定]*に移動し、 TLSおよびSSHポリシー*を選択します。

サポートされる TLS のバージョン

StorageGRID では、 TLS 1.2 と TLS 1.3 がサポートされています。

メモ SSLv3 と TLS 1.1 （またはそれ以前のバージョン）はサポートされなくなりました。