Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRIDでセキュリティ証明書を管理する

PDF

セキュリティ証明書は、StorageGRIDコンポーネント間、およびStorageGRIDコンポーネントと外部システム間の安全で信頼できる接続を確立するために使用される小さなデータファイルです。

StorageGRIDは2種類のセキュリティ証明書を使用します。

  • HTTPS接続を使用する場合は、*サーバー証明書*が必要です。サーバー証明書は、クライアントとサーバー間の安全な接続を確立するために使用され、クライアントに対してサーバーの身元を認証し、データの安全な通信経路を提供します。サーバーとクライアントはそれぞれ証明書のコピーを保持しています。

  • *クライアント証明書*は、クライアントまたはユーザーの身元をサーバーに対して認証し、パスワードのみの場合よりも安全な認証を提供します。クライアント証明書はデータを暗号化しません。

クライアントがHTTPSを使用してサーバーに接続すると、サーバーは公開鍵を含むサーバー証明書で応答します。クライアントは、サーバーの署名と、自身が所有する証明書のコピーに記載されている署名を比較します。署名が一致した場合、クライアントは同じ公開鍵を使用してサーバーとのセッションを開始します。

StorageGRID は、一部の接続（ロード バランシング エンドポイントなど）のサーバーとして機能し、他の接続（CloudMirror レプリケーション サービスなど）のクライアントとして機能します。

デフォルトのGrid CA証明書

StorageGRIDには、システムのインストール時に内部グリッドCA証明書を生成する組み込みの認証局（CA）が備わっています。Grid CA証明書は、デフォルトでStorageGRIDの内部トラフィックを保護するために使用されます。外部認証局（CA）は、組織の情報セキュリティポリシーに完全に準拠したカスタム証明書を発行できます。

非本番環境では、Grid CA証明書を使用してください。本番環境では、外部認証局によって署名されたカスタム証明書を使用してください。証明書のないセキュリティ保護されていない接続はサポートされていますが、推奨されません。

  • カスタムCA証明書は内部証明書を削除するものではありませんが、サーバー接続の検証にはカスタム証明書を指定する必要があります。

  • すべてのカスタム証明書は、"サーバー証明書のシステム強化ガイドライン"を満たす必要があります。

  • StorageGRIDは、CAからの証明書を単一のファイルにバンドルする機能（CA証明書バンドルと呼ばれる）をサポートしています。

メモ StorageGRIDには、すべてのグリッドで共通のオペレーティングシステムCA証明書も含まれています。本番環境では、オペレーティングシステムのCA証明書の代わりに、外部の認証局によって署名されたカスタム証明書を指定してください。

サーバー証明書とクライアント証明書の種類のバリエーションは、いくつかの方法で実装されています。システムを設定する前に、特定の StorageGRID 構成に必要な証明書をすべて準備しておく必要があります。

アクセスセキュリティ証明書

すべての StorageGRID 証明書に関する情報に1か所からアクセスでき、各証明書の設定ワークフローへのリンクも提供されます。

手順

  1. Grid Manager から、Configuration > Security > Certificates を選択します。

    証明書ページ

  2. 証明書ページでタブを選択すると、各証明書カテゴリに関する情報が表示され、証明書の設定にアクセスできます。タブにアクセスするには、"適切な許可"が必要です。

    • グローバル：StorageGRID へのウェブブラウザおよび外部 API クライアントからのアクセスを保護します。

    • Grid CA：内部のStorageGRIDトラフィックを保護します。

    • クライアント：外部クライアントと StorageGRID Prometheus データベース間の接続を保護します。

    • ロード バランシング エンドポイント：S3クライアントとStorageGRID ロード バランシング間の接続を保護します。

    • テナント：IDフェデレーションサーバーへの接続、またはプラットフォームサービスエンドポイントからS3ストレージリソースへの接続を保護します。

    • その他：特定の証明書が必要なStorageGRID接続を保護します。

      各タブの説明と、証明書の詳細情報へのリンクを以下に示します。

    グローバル

    グローバル証明書は、ウェブブラウザおよび外部S3 APIクライアントからのStorageGRIDへのアクセスを保護します。2つのグローバル証明書は、インストール時にStorageGRID認証局によって最初に生成されます。本番環境のベストプラクティスは、外部の認証局によって署名されたカスタム証明書を使用することです。

    • [管理インターフェイス証明書]：クライアントのウェブブラウザ接続をStorageGRIDの管理インターフェイスに対してセキュリティで保護します。

    • S3 API証明書：S3クライアントアプリケーションがオブジェクトデータのアップロードとダウンロードに使用する、ストレージノード、管理ノード、およびゲートウェイノードへのクライアントAPI接続を保護します。

    インストールされているグローバル証明書に関する情報は以下のとおりです。

    • 名前：証明書名と、証明書の管理ページへのリンク。

    • 概要

    • タイプ：カスタムまたはデフォルト。+ グリッドのセキュリティを向上させるには、常にカスタム証明書を使用することをお勧めします。

    • 有効期限：デフォルトの証明書を使用している場合、有効期限は表示されません。

    次の操作を実行できます。

    グリッドCA

    StorageGRIDのインストール時にStorageGRID認証局によって生成されたグリッドCA証明書は、すべてのStorageGRID内部トラフィックを保護します。

    証明書情報には、証明書の有効期限と証明書の内容が含まれます。

    "Grid CA証明書をコピーまたはダウンロード"ことはできますが、変更することはできません。

    クライアント

    クライアント証明書外部認証局によって生成されたこれらの証明書は、外部監視ツールとStorageGRID Prometheusデータベース間の接続を保護します。

    証明書テーブルには、設定済みのクライアント証明書ごとに1行があり、証明書の有効期限とともに、その証明書がPrometheusデータベースへのアクセスに使用できるかどうかを示します。

    次の操作を実行できます。

    ロード バランサ エンドポイント

    ロードバランサーエンドポイント証明書 S3クライアントとStorageGRIDのゲートウェイノードおよび管理ノード上のロードバランサーサービス間の接続を保護します。

    ロードバランサーエンドポイントテーブルには、設定済みのロードバランサーエンドポイントごとに1行があり、そのエンドポイントでグローバルS3 API証明書が使用されているか、カスタムロードバランサーエンドポイント証明書が使用されているかを示します。各証明書の有効期限も表示されます。

    メモ エンドポイント証明書の変更がすべてのノードに適用されるまでには、最大15分かかる場合があります。

    次の操作を実行できます。

    テナント

    テナントはIDフェデレーションサーバー証明書またはプラットフォームサービスエンドポイント証明書を使用して、StorageGRIDとの接続を保護できます。

    テナントテーブルにはテナントごとに1行があり、各テナントが自身のIDソースまたはプラットフォームサービスを使用する権限を持っているかどうかを示します。

    次の操作を実行できます。

    その他

    StorageGRID は、特定の目的のために他のセキュリティ証明書を使用します。これらの証明書は、機能名で一覧表示されています。その他のセキュリティ証明書には以下が含まれます。

    この情報には、関数が使用する証明書の種類、および該当する場合はサーバー証明書とクライアント証明書の有効期限が示されています。関数名を選択すると、ブラウザのタブが開き、そこで証明書の詳細を表示および編集できます。

    メモ 他の証明書の情報を表示およびアクセスできるのは、"適切な許可"がある場合のみです。

    次の操作を実行できます。

セキュリティ証明書の詳細

各セキュリティ証明書の種類について、実装手順へのリンクとともに以下に説明します。

管理インターフェイス証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

クライアントのウェブブラウザとStorageGRID 管理インターフェイス間の接続を認証し、ユーザーがセキュリティ警告なしにGrid ManagerとTenant Managerにアクセスできるようにします。

この証明書は、グリッド管理APIおよびテナント管理APIへの接続も認証します。

インストール時に作成されるデフォルトの証明書を使用することも、カスタム証明書をアップロードすることもできます。

Configuration > Security > Certificates を選択し、Global タブを選択してから、Management interface certificate を選択します。

"管理インターフェイス証明書の設定"

S3 API証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

ストレージノードおよびロードバランサーエンドポイントへの安全なS3クライアント接続を認証します（オプション）。

「設定」＞「セキュリティ」＞「証明書」を選択し、「グローバル」タブを選択してから、「S3 API 証明書」を選択します。

"S3 API証明書の設定"

グリッドCA証明書

デフォルトのGrid CA証明書の説明を参照してください。

管理者クライアント証明書

証明書の種類 説明 ナビゲーション位置 詳細

クライアント

各クライアントにインストールされ、StorageGRID が外部クライアントのアクセスを認証できるようにします。

  • 承認された外部クライアントが StorageGRID の Prometheus データベースにアクセスできるようにします。

  • 外部ツールを使用して StorageGRID を安全に監視できます。

「構成」＞「セキュリティ」＞「証明書」の順に進み、「クライアント」タブを選択します。

"クライアント証明書の設定"

ロードバランサーエンドポイント証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

S3クライアントとStorageGRIDのゲートウェイノードおよび管理ノード上のロードバランサーサービス間の接続を認証します。ロードバランサーエンドポイントを設定する際に、ロードバランサー証明書をアップロードまたは生成できます。クライアントアプリケーションは、StorageGRIDに接続してオブジェクトデータを保存および取得する際に、ロードバランサー証明書を使用します。

グローバルのS3 API証明書証明書のカスタムバージョンを使用して、ロードバランサーサービスへの接続を認証することもできます。ロードバランサー接続の認証にグローバル証明書を使用する場合、各ロードバランサーエンドポイントに個別の証明書をアップロードまたは生成する必要はありません。

注: ロードバランサー認証に使用される証明書は、通常の StorageGRID 運用時に最もよく使用される証明書です。

設定 > ネットワーク > ロードバランサーエンドポイント

クラウドストレージプールエンドポイント証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

StorageGRID クラウドストレージプールから S3 Glacier や Microsoft Azure Blob ストレージなどの外部ストレージ場所への接続を認証します。クラウド プロバイダの種類ごとに異なる証明書が必要です。

ILM > ストレージプール

"クラウドストレージプールを作成する"

メールアラート通知証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバーとクライアント

アラート通知に使用される SMTP メールサーバーと StorageGRID 間の接続を認証します。

  • SMTPサーバーとの通信にトランスポート層セキュリティ（TLS）が必要な場合は、メールサーバーのCA証明書を指定する必要があります。

  • SMTPメールサーバーが認証にクライアント証明書を必要とする場合にのみ、クライアント証明書を指定してください。

アラート > メール設定

"アラートのメール通知を設定する"

外部のsyslogサーバー証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

StorageGRID でイベントをログに記録する外部 syslog サーバーとの TLS または RELP/TLS 接続を認証します。

注: 外部 syslog サーバーへの TCP、RELP/TCP、および UDP 接続には、外部 syslog サーバー証明書は不要です。

設定 > 監視 > 監査とsyslogサーバ

"外部syslogサーバを使用する"

グリッドフェデレーション接続証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバーとクライアント

現在の StorageGRID システムとグリッドフェデレーション接続内の別のグリッドとの間で送信される情報を認証および暗号化します。

設定 > システム > グリッド連携

IDフェデレーション証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

StorageGRID と、Active Directory、OpenLDAP、Oracle Directory Server などの外部 ID プロバイダー間の接続を認証します。管理者グループとユーザーを外部システムで管理できるようにする ID フェデレーションに使用されます。

設定 > アクセス制御 > IDフェデレーション

"IDフェデレーションを使用する"

キー管理サーバー（KMS）証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバーとクライアント

StorageGRID とアプライアンスノードに暗号化キーを提供する外部キー管理サーバー（KMS）との間の接続を認証します。

設定 > セキュリティ > キー管理サーバー

"キー管理サーバー（KMS）を追加する"

プラットフォームサービスエンドポイント証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

StorageGRID プラットフォームサービスから S3 ストレージリソースへの接続を認証します。

テナント マネージャー > ストレージ（S3） > プラットフォーム サービス エンドポイント

"プラットフォームサービスエンドポイントを作成する"

"プラットフォームサービスエンドポイントを編集"

シングル サインオン（SSO）証明書

証明書の種類 説明 ナビゲーション位置 詳細

サーバ

Active Directory Federation Services (AD FS) などの ID フェデレーション サービスと、シングル サインオン（SSO）リクエストに使用される StorageGRID との間の接続を認証します。

設定 > アクセス制御 > シングル サインオン

"シングル サインオンを設定する"

証明書の例

例1：ロードバランサーサービス

この例では、StorageGRID はサーバーとして機能します。

  1. StorageGRID でロードバランサーエンドポイントを設定し、サーバー証明書をアップロードまたは生成します。

  2. ロードバランサーのエンドポイントへのS3クライアント接続を設定し、同じ証明書をクライアントにアップロードします。

  3. クライアントがデータを保存または取得する場合、HTTPS を使用してロード バランサーのエンドポイントに接続します。

  4. StorageGRID は、公開鍵を含むサーバー証明書と、秘密鍵に基づく署名で応答します。

  5. クライアントは、サーバーの署名と、自身が所有する証明書のコピーに記載されている署名を比較します。署名が一致した場合、クライアントは同じ公開鍵を使用してセッションを開始します。

  6. クライアントはオブジェクトデータを StorageGRID に送信します。

例2：外部キー管理サーバー（KMS）

この例では、StorageGRID はクライアントとして機能します。

  1. 外部キー管理サーバーソフトウェアを使用して、StorageGRID を KMS クライアントとして設定し、CA 署名付きサーバー証明書、公開クライアント証明書、およびクライアント証明書の秘密鍵を取得します。

  2. Grid Managerを使用して、KMSサーバーを設定し、サーバー証明書、クライアント証明書、およびクライアント秘密鍵をアップロードします。

  3. StorageGRID ノードが暗号化キーを必要とする場合、証明書からのデータと秘密鍵に基づく署名を含むリクエストを KMS サーバーに送信します。

  4. KMSサーバーは証明書の署名を検証し、StorageGRID を信頼できると判断します。

  5. KMSサーバーは、検証済みの接続を使用して応答します。