Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRIDでキー管理サーバーを追加する

PDF

StorageGRID キー管理サーバーウィザードを使用して、各 KMS または KMS クラスタを追加します。

開始する前に
タスク概要

可能であれば、他のKMSで管理されていないすべてのサイトに適用されるデフォルトのKMSを設定する前に、サイト固有のキー管理サーバーを設定してください。最初にデフォルトのKMSを作成すると、グリッド内のすべてのノード暗号化アプライアンスは、デフォルトのKMSによって暗号化されます。後でサイト固有のKMSを作成する場合は、まずデフォルトのKMSから新しいKMSに現在のバージョンの暗号化キーをコピーする必要があります。詳細については、"サイトのKMSを変更する際の考慮事項"を参照してください。

ステップ1：KMSの詳細

キー管理サーバーの追加ウィザードのステップ 1 （KMS の詳細）では、KMS または KMS クラスタに関する詳細情報を入力します。

手順

  1. Configuration > Security > Key management server を選択します。

    キー管理サーバーページが表示され、「構成の詳細」タブが選択された状態になっています。

  2. *Create*を選択します。

    キー管理サーバーの追加ウィザードのステップ 1（KMS の詳細）が表示されます。

  3. KMS と、そのKMS で設定した StorageGRID クライアントの情報を入力します。

    フィールド 説明

    KMS name

    このKMSを識別するのに役立つ、わかりやすい名前です。1文字から64文字の間で入力してください。

    キー名

    KMS 内の StorageGRID クライアントの正確なキーエイリアス。1～255文字である必要があります。

    注：KMS製品を使用してキーを作成していない場合は、StorageGRID にキーを作成するよう求められます。

    キーを管理する対象

    このKMSに関連付けられるStorageGRIDサイト。可能であれば、他のKMSで管理されていないすべてのサイトに適用されるデフォルトのKMSを設定する前に、サイト固有のキー管理サーバーを設定してください。

    • このKMSが特定のサイトのアプライアンスノードの暗号化キーを管理する場合は、サイトを選択してください。

    • 「他の KMS で管理されていないサイト（デフォルト KMS）」を選択すると、専用の KMS がないサイト、および後続の拡張で追加するすべてのサイトに適用されるデフォルト KMS が設定されます。

      注: デフォルトの KMS で以前に暗号化されたサイトを選択したが、元の暗号化キーの現在のバージョンを新しい KMS に提供しなかった場合、KMS 構成を保存する際に検証エラーが発生します。

    ポート

    KMSサーバーがKey Management Interoperability Protocol（KMIP）通信に使用するポート番号。デフォルトは5696番ポートで、これはKMIPの標準ポートです。

    Hostname

    KMSの完全修飾ドメイン名またはIPアドレス。

    注: サーバー証明書のサブジェクト代替名 （SAN） フィールドには、ここで入力する FQDN または IP アドレスを含める必要があります。さもないと、StorageGRID は KMS または KMS クラスタ内のすべてのサーバーに接続できなくなります。

  4. KMS クラスタを設定する場合は、別のホスト名を追加 を選択して、クラスタ内の各サーバーのホスト名を追加してください。

  5. *続行*を選択します。

ステップ2：サーバー証明書をアップロードする

キー管理サーバーの追加ウィザードのステップ 2 （サーバー証明書のアップロード）で、KMS 用のサーバー証明書（または証明書バンドル）をアップロードします。サーバー証明書により、外部 KMS が StorageGRID に対して自身を認証できるようになります。

手順

  1. 「手順2（サーバー証明書のアップロード）」から、保存済みのサーバー証明書または証明書バンドルの場所を参照してください。

  2. 証明書ファイルをアップロードしてください。

    サーバー証明書のメタデータが表示されます。

    メモ 証明書バンドルをアップロードした場合、各証明書のメタデータはそれぞれ別のタブに表示されます。

  3. *続行*を選択します。

ステップ3：クライアント証明書をアップロードする

キー管理サーバーの追加ウィザードの手順 3 （クライアント証明書のアップロード）で、クライアント証明書とクライアント証明書の秘密鍵をアップロードします。クライアント証明書により、StorageGRID は KMS に対して自身を認証できます。

手順

  1. 「手順 3（クライアント証明書のアップロード）」から、クライアント証明書の場所を参照してください。

  2. クライアント証明書ファイルをアップロードしてください。

    クライアント証明書のメタデータが表示されます。

  3. クライアント証明書の秘密鍵の保存場所を参照してください。

  4. 秘密鍵ファイルをアップロードしてください。

  5. 「テストして保存」を選択します。

    キーが存在しない場合は、StorageGRID にキーを作成するよう求められます。

    キー管理サーバーとアプライアンスノード間の接続がテストされます。すべての接続が有効で、KMS上で正しいキーが見つかった場合、新しいキー管理サーバーがキー管理サーバーページのテーブルに追加されます。

    メモ KMSを追加するとすぐに、キー管理サーバーのページで証明書の状態が「不明」と表示されます。StorageGRIDが各証明書の実際のステータスを取得するのに、最大30分かかる場合があります。最新の状況を確認するには、ウェブブラウザを更新してください。

  6. 「テストして保存」を選択した際にエラーメッセージが表示された場合は、メッセージの詳細を確認してから「OK」を選択してください。

    例えば、接続テストが失敗した場合、422: Unprocessable Entity エラーが表示されることがあります。

  7. 外部接続をテストせずに現在の設定を保存する必要がある場合は、*強制保存*を選択してください。

    注意 Force save を選択すると、KMS の設定は保存されますが、各アプライアンスからその KMS への外部接続はテストされません。構成に問題がある場合、影響を受けるサイトでノード暗号化が有効になっているアプライアンスノードを再起動できない可能性があります。問題が解決するまで、データにアクセスできなくなる可能性があります。

  8. 確認の警告を確認し、設定を強制的に保存する場合は OK を選択してください。

    KMSの設定は保存されますが、KMSへの接続はテストされません。