StorageGRID の S3 クライアントのセキュリティ
変更を提案
PDF
StorageGRID テナントアカウントは、S3 クライアントアプリケーションを使用して StorageGRID にオブジェクトデータを保存します。クライアントアプリケーションに実装されているセキュリティ対策を確認してください。
サマリ
以下のリストは、S3 REST APIにおけるセキュリティの実装方法をまとめたものです：
- 接続セキュリティ
-
TLS
- サーバー認証
-
システムCAによって署名されたX.509サーバー証明書、または管理者によって提供されたカスタムサーバー証明書
- クライアント認証
-
S3アカウントのアクセスキーIDとシークレットアクセスキー
- クライアント許可
-
バケットの所有権および適用されるすべてのアクセス制御ポリシー
StorageGRID がクライアントアプリケーションにセキュリティを提供する方法
S3クライアントアプリケーションは、ゲートウェイノードまたは管理ノード上のロードバランサーサービス、あるいはストレージノードに直接接続できます。
-
ロードバランサーサービスに接続するクライアントは、"ロードバランサーエンドポイントを設定する"の設定方法に応じてHTTPSまたはHTTPを使用できます。
HTTPSはTLS暗号化による安全な通信を提供するため、推奨されます。エンドポイントにセキュリティ証明書を添付する必要があります。
HTTPはセキュリティが低く、暗号化されていない通信を提供するため、非本番環境またはテストグリッドでのみ使用してください。
-
ストレージノードに接続するクライアントは、HTTPSまたはHTTPのどちらでも使用できます。
HTTPSがデフォルトであり、推奨されています。
HTTPはセキュリティが低く暗号化されていない通信を提供しますが、非本番環境またはテスト用グリッドに対してオプションで"有効"することができます。
-
StorageGRID とクライアント間の通信は、TLS を使用して暗号化されます。
-
ロードバランサーサービスとグリッド内のストレージノード間の通信は、ロードバランサーのエンドポイントがHTTP接続を受け入れるように構成されているかHTTPS接続を受け入れるように構成されているかにかかわらず、暗号化されます。
-
クライアントは、REST API操作を実行するために"HTTP認証ヘッダー"をStorageGRIDに提供する必要があります。
セキュリティ証明書とクライアントアプリケーション
いずれの場合も、クライアント アプリケーションは、グリッド管理者がアップロードしたカスタム サーバー証明書、またはStorageGRID システムによって生成された証明書のいずれかを使用して TLS 接続を確立できます：
-
クライアントアプリケーションがロードバランサーサービスに接続する際、ロードバランサーエンドポイント用に構成された証明書を使用します。各ロードバランサーエンドポイントには独自の証明書があります—グリッド管理者がアップロードしたカスタムサーバー証明書、またはグリッド管理者がエンドポイントの設定時にStorageGRIDで生成した証明書のいずれかです。
"ロード バランシングに関する考慮事項"を参照してください。
-
クライアント アプリケーションがストレージ ノードに直接接続する場合、StorageGRID システムのインストール時にストレージ ノード用に生成されたシステム生成のサーバ証明書（システム認証局によって署名されたもの）、またはグリッド管理者によってグリッド用に提供される単一のカスタム サーバ証明書を使用します。"カスタムS3 API証明書を追加する"を参照してください。
クライアントは、TLS接続を確立するために使用する証明書に署名した認証局を信頼するように設定する必要があります。
TLSライブラリでサポートされているハッシュおよび暗号化アルゴリズム
StorageGRID システムは、クライアントアプリケーションが TLS セッションを確立する際に使用できる一連の暗号スイートをサポートしています。暗号を設定するには、設定 > セキュリティ > セキュリティ設定 に移動し、TLS および SSH ポリシー を選択します。
サポートされているTLSのバージョン
StorageGRID は TLS 1.2 および TLS 1.3 をサポートしています。
|
SSLv3およびTLS 1.1（またはそれ以前のバージョン）はサポートされなくなりました。 |