Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID キー管理サーバの要件と考慮事項

PDF

外部キー管理サーバー（KMS）を設定する前に、考慮事項と要件を理解しておく必要があります。

どのバージョンのKMIPがサポートされていますか？

StorageGRID は KMIP バージョン 1.4 をサポートしています。

"鍵管理相互運用性プロトコル仕様バージョン1.4"

ネットワークに関する考慮事項は何ですか？

ネットワークファイアウォールの設定では、各アプライアンスノードがキー管理相互運用プロトコル（KMIP）通信に使用されるポートを介して通信できるようにする必要があります。KMIPのデフォルトポートは5696です。

ノード暗号化を使用する各アプライアンスノードが、そのサイト用に設定した KMS または KMS クラスタへのネットワーク アクセスを持つことを確認する必要があります。

サポートされているTLSのバージョンはどれですか？

アプライアンスノードと設定済みのKMS間の通信には、安全なTLS接続が使用されます。StorageGRIDは、KMSまたはKMSクラスタへのKMIP接続を行う際に、KMSがサポートする内容と使用している"TLSおよびSSHポリシー"に基づいて、TLS 1.2またはTLS 1.3プロトコルのいずれかをサポートできます。

StorageGRID は、接続時に KMS とプロトコルおよび暗号（TLS 1.2）または暗号スイート（TLS 1.3）についてネゴシエートします。利用可能なプロトコル バージョンと暗号/暗号スイートを確認するには、グリッドのアクティブな TLS および SSH ポリシーの `tlsOutbound`セクションを参照してください（構成 > セキュリティ セキュリティ設定）。

どの機器がサポートされていますか？

キー管理サーバー（KMS）を使用して、グリッド内の StorageGRID アプライアンスのうち、*ノード暗号化*設定が有効になっているものの暗号化キーを管理できます。この設定は、StorageGRID Appliance Installer を使用したアプライアンスのインストール時のハードウェア構成段階でのみ有効にできます。

メモ アプライアンスをグリッドに追加した後では、ノード暗号化を有効にすることはできません。また、ノード暗号化が有効になっていないアプライアンスに対しては、外部キー管理を使用することはできません。

設定済みのKMSは、StorageGRIDアプライアンスおよびアプライアンスノードに使用できます。

構成済みのKMSは、以下のものを含むソフトウェアベース（アプライアンス以外）のノードには使用できません。

  • 仮想マシン（VM）としてデプロイされたノード

  • Linuxホスト上のコンテナエンジン内にデプロイされたノード

これらの他のプラットフォームに展開されたノードは、データストアまたはディスクレベルで StorageGRID の外部の暗号化を使用できます。

キー管理サーバーはいつ設定すべきですか？

新規インストールの場合、通常はテナントを作成する前に、Grid Managerで1つ以上のキー管理サーバーを設定する必要があります。この手順により、オブジェクトデータがノードに保存される前に、ノードが保護されることが保証されます。

アプライアンスノードをインストールする前でも後でも、Grid Managerでキー管理サーバーを設定できます。

鍵管理サーバーはいくつ必要ですか？

StorageGRID システムのアプライアンスノードに暗号化キーを提供する外部キー管理サーバーを 1 つ以上構成できます。各 KMS は、単一サイトまたは複数サイトのグループにある StorageGRID アプライアンスノードに単一の暗号化キーを提供します。

StorageGRID は KMS クラスタの使用をサポートしています。各 KMS クラスタには、構成設定と暗号化キーを共有する複数のレプリケートされたキー管理サーバーが含まれています。KMS クラスタをキー管理に使用することを推奨します。これにより、高可用性構成のフェイルオーバー機能が向上します。

例えば、StorageGRIDシステムに3つのデータセンターサイトがあるとします。データセンター1のすべてのアプライアンスノードにキーを提供するKMSクラスタを1つ構成し、他のすべてのサイトのすべてのアプライアンスノードにキーを提供するKMSクラスタをもう1つ構成することができます。2つ目のKMSクラスタを追加すると、データセンター2とデータセンター3のデフォルトKMSを設定できます。

アプライアンス以外のノード、またはインストール時に「ノード暗号化」設定が有効になっていなかったアプライアンスノードには、KMSを使用できないことに注意してください。

サイトごとのKMS

キーをローテーションするとどうなりますか？

セキュリティのベストプラクティスとして、設定済みの各KMSで使用される"暗号化キーをローテーションする"を定期的に実施する必要があります。

新しいキーバージョンが利用可能になった場合：

  • これは、KMSに関連付けられたサイトにある暗号化されたアプライアンスノードに自動的に配布されます。キーのローテーションから1時間以内に配布が行われます。

  • 新しいキーバージョンが配布される際に暗号化アプライアンスノードがオフラインの場合、ノードは再起動後すぐに新しいキーを受信します。

  • 何らかの理由で新しいキーバージョンを使用してアプライアンスボリュームを暗号化できない場合、アプライアンスノードに対して KMS暗号化キーのローテーション失敗 アラートがトリガーされます。このアラートの解決については、テクニカルサポートにお問い合わせください。

暗号化されたアプライアンスノードを再利用することはできますか？

暗号化されたアプライアンスを別の StorageGRID システムにインストールする必要がある場合は、まずグリッドノードを廃止して、オブジェクトデータを別のノードに移動する必要があります。その後、StorageGRID Appliance Installer を使用して "KMS構成をクリアする"ことができます。KMS 構成をクリアすると、*ノード暗号化*設定が無効になり、アプライアンスノードと StorageGRID サイトの KMS 構成との関連付けが削除されます。

メモ KMSの暗号化キーにアクセスできない場合、アプライアンスに残っているデータはすべてアクセス不能となり、永久にロックされます。