Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID でキー管理サーバーを管理する

PDF

キー管理サーバー（KMS）の管理には、詳細情報の表示や編集、証明書の管理、暗号化されたノードの表示、不要になったKMSの削除などが含まれます。

開始する前に

KMSの詳細を表示

StorageGRID システムの各キー管理サーバー（KMS）に関する情報（重要な詳細情報、サーバーおよびクライアント証明書の現在のステータスを含む）を表示できます。

手順

  1. Configuration > Security > Key management server を選択します。

    キー管理サーバーページが表示され、以下の情報が表示されます：

    • 「構成の詳細」タブには、構成されているキー管理サーバーが一覧表示されます。

    • 「暗号化されたノード」タブには、ノード暗号化が有効になっているノードが一覧表示されます。

  2. 特定のKMSの詳細を表示したり、そのKMSに対して操作を実行したりするには、KMSの名前を選択してください。KMSの詳細ページには、以下の情報が記載されています。

    フィールド 説明

    キーを管理する対象

    KMSに関連付けられたStorageGRIDサイト。

    このフィールドには、特定の StorageGRID サイトの名前、または「他の KMS で管理されていないサイト（デフォルト KMS）」が表示されます。

    Hostname

    KMSの完全修飾ドメイン名またはIPアドレス。

    2台のキー管理サーバーがクラスタ化されている場合、両方のサーバーの完全修飾ドメイン名またはIPアドレスが表示されます。クラスタ内に2台以上のキー管理サーバーが存在する場合、最初のKMSの完全修飾ドメイン名またはIPアドレスと、クラスタ内の追加のキー管理サーバーの数が表示されます。

    例えば（ 10.10.10.10 and 10.10.10.11`または `10.10.10.10 and 2 others）。

    クラスタ内のすべてのホスト名を表示するには、KMS を選択し、「編集」または「アクション」>「編集」を選択します。

  3. KMS詳細ページでタブを選択すると、以下の情報が表示されます：

    Tab フィールド 説明

    主な詳細

    キー名

    KMS 内の StorageGRID クライアントのキーエイリアス。

    キーUID

    最新バージョンのキーの一意の識別子。

    最終更新日

    キーの最新バージョンの日時。

    サーバ証明書

    メタデータ

    証明書のメタデータ（シリアル番号、有効期限日時、証明書 PEM など）。

    PEM証明書

    証明書のPEM（プライバシー強化メール）ファイルの内容。

    クライアント証明書

    メタデータ

    証明書のメタデータ（シリアル番号、有効期限日時、証明書 PEM など）。

  4. 組織のセキュリティ慣行で必要とされる頻度で、*キーのローテーション*を選択するか、KMSソフトウェアを使用して、キーの新しいバージョンを作成します。

    キーローテーションが成功すると、キー UID と最終更新日時のフィールドが更新されます。

    注意

    KMS ソフトウェアを使用して暗号化キーをローテーションする場合は、最後に使用したバージョンのキーから同じキーの新しいバージョンにローテーションしてください。まったく異なるキーにはローテーションしないでください。

    KMSのキー名（エイリアス）を変更してキーをローテーションしようとしないでください。StorageGRIDでは、以前使用されたすべてのキーバージョン（および将来のバージョン）が、同じキーエイリアスを使用してKMSからアクセスできる必要があります。設定済みのKMSのキーエイリアスを変更すると、StorageGRIDがデータを復号化できない可能性があります。

証明書の管理

サーバーまたはクライアントの証明書に関する問題は速やかに解決してください。可能であれば、証明書の有効期限が切れる前に交換してください。

注意 データへのアクセスを維持するためには、証明書に関する問題はできるだけ早く解決する必要があります。
手順

  1. Configuration > Security > Key management server を選択します。

  2. 表で、各KMSの証明書の有効期限の値を確認してください。

  3. いずれかのKMSの証明書の有効期限が不明な場合は、30分ほど待ってからWebブラウザを更新してください。

  4. 「証明書の有効期限」列に、証明書の有効期限が切れている、または有効期限が近づいていることが示されている場合は、KMS を選択して KMS の詳細ページに移動してください。

    1. 「サーバー証明書」を選択し、「有効期限」フィールドの値を確認してください。

    2. 証明書を交換するには、*証明書の編集*を選択して新しい証明書をアップロードしてください。

    3. これらのサブ手順を繰り返し、サーバー証明書の代わりに Client certificate を選択してください。

  5. KMS CA証明書の有効期限切れ、KMSクライアント証明書の有効期限切れ、および*KMSサーバー証明書の有効期限切れ*のアラートがトリガーされた場合は、各アラートの説明を確認し、推奨されるアクションを実行してください。

    StorageGRID が証明書の有効期限の更新を取得するまでに、最大 30 分かかる場合があります。最新の値を確認するには、ウェブブラウザを更新してください。

メモ サーバー証明書の状態が不明です というステータスが表示された場合は、KMS がクライアント証明書を必要とせずにサーバー証明書を取得できることを確認してください。

暗号化されたノードを表示する

*ノード暗号化*設定が有効になっているStorageGRIDシステムのアプライアンスノードに関する情報を表示できます。

手順

  1. Configuration > Security > Key management server を選択します。

    キー管理サーバーのページが表示されます。「構成の詳細」タブには、構成済みのキー管理サーバーが表示されます。

  2. ページ上部から「暗号化ノード」タブを選択します。

    「暗号化ノード」タブには、StorageGRID システム内で*ノード暗号化*設定が有効になっているアプライアンスノードが一覧表示されます。

  3. 各アプライアンスノードに関する表の情報を確認してください。

    列 説明

    ノード名

    アプライアンスノードの名前。

    ノード タイプ

    ノードの種類：Storage、Admin、またはGateway。

    サイト

    ノードがインストールされている StorageGRID サイトの名前。

    KMS name

    ノードに使用される KMS のわかりやすい名前。

    KMSが表示されていない場合は、「設定の詳細」タブを選択してKMSを追加してください。

    "キー管理サーバー（KMS）を追加する"

    キーUID

    アプライアンスノード上のデータの暗号化および復号化に使用される暗号化キーの固有IDです。キーUID全体を表示するには、テキストを選択してください。

    ダッシュ（--）は、キーのUIDが不明であることを示します。これは、アプライアンスノードとKMS間の接続の問題が原因である可能性があります。

    ステータス

    KMSとアプライアンスノード間の接続状態。ノードが接続されている場合、タイムスタンプは30分ごとに更新されます。KMSの設定変更後、接続状態が更新されるまでに数分かかる場合があります。

    注: 新しい値を確認するには、ウェブブラウザを更新してください。

  4. 「ステータス」列に KMS の問題が表示されている場合は、直ちにその問題に対処してください。

    通常の KMS 運用中は、ステータスは「KMS に接続済み」となります。ノードがグリッドから切断されている場合、ノードの接続状態（管理上ダウンまたは不明）が表示されます。

    その他のステータスメッセージは、同じ名前の StorageGRID アラートに対応しています：

    • KMS構成の読み込みに失敗しました

    • KMS接続エラー

    • KMS 暗号化キー名が見つかりません

    • KMS 暗号化キーのローテーションに失敗しました

    • KMSキーがアプライアンスボリュームの復号に失敗しました

    • KMSが設定されていない

    これらのアラートに対して推奨される対応策を実行してください。

注意 データが完全に保護されるよう、問題があれば直ちに対処する必要があります。

KMSの編集

例えば、証明書の有効期限が近づいている場合など、キー管理サーバーの設定を編集する必要がある場合があります。

開始する前に
手順

  1. Configuration > Security > Key management server を選択します。

    キー管理サーバーページが表示され、設定済みのすべてのキー管理サーバーが表示されます。

  2. 編集するKMSを選択し、「アクション」>「編集」を選択します。

    KMS を編集するには、表で KMS 名を選択し、KMS 詳細ページで 編集 を選択します。

  3. 必要に応じて、「キー管理サーバーの編集」ウィザードの「手順 1 （KMS の詳細）」で詳細を更新してください。

    フィールド 説明

    KMS name

    このKMSを識別するのに役立つ、わかりやすい名前です。1文字から64文字の間で入力してください。

    キー名

    KMS 内の StorageGRID クライアントの正確なキーエイリアス。1～255文字である必要があります。

    キー名を編集する必要があるのは、ごくまれなケースのみです。例えば、KMSでエイリアスの名前が変更された場合、または以前のキーのすべてのバージョンが新しいエイリアスのバージョン履歴にコピーされた場合は、キー名を編集する必要があります。

    キーを管理する対象

    サイト固有の KMS を編集していて、デフォルトの KMS がまだ設定されていない場合は、必要に応じて「他の KMS で管理されていないサイト（デフォルトの KMS）」を選択してください。この選択により、サイト固有の KMS がデフォルトの KMS に変換されます。これは、専用の KMS を持たないすべてのサイト、および拡張で追加されたすべてのサイトに適用されます。

    注: サイト固有の KMS を編集している場合は、別のサイトを選択することはできません。デフォルトの KMS を編集している場合は、特定のサイトを選択することはできません。

    ポート

    KMSサーバーがKey Management Interoperability Protocol（KMIP）通信に使用するポート番号。デフォルトは5696番ポートで、これはKMIPの標準ポートです。

    Hostname

    KMSの完全修飾ドメイン名またはIPアドレス。

    注: サーバー証明書のサブジェクト代替名 （SAN） フィールドには、ここで入力する FQDN または IP アドレスを含める必要があります。さもないと、StorageGRID は KMS または KMS クラスタ内のすべてのサーバーに接続できなくなります。

  4. KMS クラスタを設定する場合は、別のホスト名を追加 を選択して、クラスタ内の各サーバーのホスト名を追加してください。

  5. *続行*を選択します。

    キー管理サーバーの編集ウィザードのステップ 2 （サーバー証明書のアップロード）が表示されます。

  6. サーバー証明書を交換する必要がある場合は、Browse を選択して新しいファイルをアップロードしてください。

  7. *続行*を選択します。

    キー管理サーバーの編集ウィザードのステップ 3 （クライアント証明書のアップロード）が表示されます。

  8. クライアント証明書とクライアント証明書の秘密鍵を交換する必要がある場合は、Browse を選択して新しいファイルをアップロードしてください。

  9. 「テストして保存」を選択します。

    影響を受けるサイトにある、鍵管理サーバーとすべてのノード暗号化アプライアンスノード間の接続がテストされます。すべてのノード接続が有効で、KMS上で正しい暗号化キーが見つかった場合、キー管理サーバーが「キー管理サーバー」ページのテーブルに追加されます。

  10. エラーメッセージが表示された場合は、メッセージの詳細を確認し、OK を選択してください。

    例えば、この KMS 用に選択したサイトが既に別の KMS によって管理されている場合、または接続テストが失敗した場合、422: Unprocessable Entity エラーが表示されることがあります。

  11. 接続エラーを解決する前に現在の設定を保存する必要がある場合は、Force save を選択してください。

    注意 Force save を選択すると、KMS の設定は保存されますが、各アプライアンスからその KMS への外部接続はテストされません。構成に問題がある場合、影響を受けるサイトでノード暗号化が有効になっているアプライアンスノードを再起動できない可能性があります。問題が解決するまで、データにアクセスできなくなる可能性があります。

    KMSの設定が保存されました。

  12. 確認の警告を確認し、設定を強制的に保存する場合は OK を選択してください。

    KMSの設定は保存されますが、KMSへの接続はテストされません。

キー管理サーバー（KMS）を削除する

場合によっては、キー管理サーバーを削除することが必要になる場合があります。たとえば、サイトを廃止した場合に、サイト固有の KMS を削除することができます。

開始する前に
タスク概要

次のような場合は、KMSを削除できます。

  • サイトが廃止された場合、またはサイトにノード暗号化が有効になっているアプライアンスノードが含まれていない場合は、サイト固有のKMSを削除できます。

  • アプライアンスノードのノード暗号化が有効になっている各サイトに、サイト固有のKMSが既に存在する場合は、デフォルトのKMSを削除できます。

手順

  1. Configuration > Security > Key management server を選択します。

    キー管理サーバーページが表示され、設定済みのすべてのキー管理サーバーが表示されます。

  2. 削除するKMSを選択し、「アクション」>「削除」を選択します。

    また、表から KMS 名を選択し、KMS 詳細ページで 削除 を選択することで、KMS を削除することもできます。

  3. 以下の内容が正しいことを確認してください：

    • ノード暗号化が有効になっているアプライアンスノードが存在しないサイトの、サイト固有のKMSを削除しようとしています。

    • デフォルトのKMSを削除しようとしていますが、ノード暗号化が有効なサイト固有のKMSが各サイトに既に存在します。

  4. 「はい」を選択します。

    KMSの設定が削除されました。