Skip to main content
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

StorageGRID ノードの強化ガイドライン

PDF

StorageGRIDノードは、VMware仮想マシン上、Linuxホスト上のコンテナエンジン内、または専用のハードウェアアプライアンスとしてデプロイできます。プラットフォームの種類やノードの種類ごとに、それぞれ独自のセキュリティ強化に関するベストプラクティスがあります。

BMC へのリモート IPMI アクセスを制御する

BMC を含むすべてのアプライアンスに対して、リモート IPMI アクセスを有効または無効にすることができます。リモート IPMI インターフェイスを使用すると、BMC アカウントとパスワードを持つすべてのユーザーが StorageGRID アプライアンスへの低レベルのハードウェア アクセスを行えるようになります。BMC へのリモート IPMI アクセスが不要な場合は、このオプションを無効にしてください。

  • Grid Manager で BMC へのリモート IPMI アクセスを制御するには、Configuration > Security > Security settings > Appliances に移動します。

    • 「リモート IPMI アクセスを有効にする」チェックボックスをオフにすると、BMC への IPMI アクセスが無効になります。

    • 「リモート IPMI アクセスを有効にする」チェックボックスを選択して、BMC への IPMI アクセスを有効にします。

BMCの堅牢化に関する追加情報については、 "ベースボード管理コントローラーを強化する"のサイバーセキュリティ情報シートを参照してください。 "国家安全保障局（NSA）"および "Cybersecurity and Infrastructure Security Agency (CISA)"。

ファイアウォールの設定

システム強化プロセスの一環として、外部ファイアウォールの設定を見直し、厳密に必要なIPアドレスおよびポートからのトラフィックのみを受け入れるように設定を変更する必要があります。

StorageGRID には各ノードに内部ファイアウォールが含まれており、ノードへのネットワーク アクセスを制御することでグリッドのセキュリティを強化します。特定のグリッド展開に必要なポートを除くすべてのポートでのネットワーク アクセスを防ぐために、"内部ファイアウォール制御を管理する"必要があります。ファイアウォール制御ページで行った設定変更は、各ノードに展開されます。

具体的には、以下の領域を管理できます：

  • 特権アドレス：「外部アクセス管理」タブの設定で閉じられているポートに、選択した IP アドレスまたはサブネットがアクセスできるようにすることができます。

  • 外部アクセスを管理する：デフォルトで開いているポートを閉じたり、以前に閉じたポートを再度開いたりすることができます。

  • 信頼されていないクライアントネットワーク：ノードがクライアントネットワークからの受信トラフィックを信頼するかどうか、および信頼されていないクライアントネットワークが構成されている場合に開く追加のポートを指定できます。

この内部ファイアウォールは、一般的な脅威に対する追加の保護層を提供するものの、外部ファイアウォールの必要性をなくすものではありません。

StorageGRID で使用されるすべての内部および外部ポートのリストについては、"StorageGRID内部ポート"および"外部通信に使用されるポート"を参照してください。

使用されていないサービスを無効にする

すべての StorageGRID ノードについて、使用されていないサービスへのアクセスを無効にするかブロックする必要があります。たとえば、DHCP を使用する予定がない場合は、Grid Manager を使用してポート 68 を閉じます。「設定」 ＞ 「ファイアウォール制御」 ＞ 「外部アクセスの管理」を選択します。次に、ポート 68 のステータス切り替えを「オープン」から「クローズ」に変更します。

仮想化、コンテナ、共有ハードウェア

すべての StorageGRID ノードについて、信頼できないソフトウェアと同じ物理ハードウェア上で StorageGRID を実行することは避けてください。StorageGRID とマルウェアが同じ物理ハードウェア上に存在する場合、ハイパーバイザーの保護機能によってマルウェアが StorageGRID で保護されたデータにアクセスするのを防げると思い込まないでください。たとえば、Meltdown や Spectre の攻撃は、最新のプロセッサに存在する重大な脆弱性を悪用し、同じコンピュータのメモリ上にあるデータをプログラムが盗み出すことを可能にします。

インストール中のノードの保護

ノードのインストール中は、信頼できないユーザーがネットワーク経由で StorageGRID ノードにアクセスすることを許可しないでください。ノードは、グリッドに参加するまでは完全に安全とは言えません。

ハードウェアへの物理的なアクセスを制限する

StorageGRID ハードウェアアプライアンスノード、VMware 仮想マシンホスト、および StorageGRID を実行している Linux ホストへの物理的なアクセスは、権限のある管理者のみに制限する必要があります。物理的なアクセス制御の例としては、鍵、警備員、物理的な障壁、ビデオ監視などが挙げられます。

ハードウェアアプライアンスノードは、権限を与えられた管理者のみが設置および操作できるように設計されています。権限のない管理者がハードウェアアプライアンスノードにアクセスできないようにしてください。

管理者ノードに関するガイドライン

管理ノードは、システム構成、監視、ログ記録などの管理サービスを提供します。グリッドマネージャーまたはテナントマネージャーにサインインすると、管理ノードに接続されます。

StorageGRID システムの管理ノードを保護するには、以下のガイドラインに従ってください：

  • オープンインターネット上のクライアントなど、信頼できないクライアントからすべての管理ノードを保護してください。信頼できないクライアントが、グリッドネットワーク、管理ネットワーク、またはクライアントネットワーク上のいずれの管理ノードにもアクセスできないようにしてください。

  • StorageGRID グループは、Grid Manager および Tenant Manager の機能へのアクセスを制御します。各ユーザーグループには、それぞれの役割に必要な最小限の権限のみを付与し、読み取り専用アクセスモードを使用して、ユーザーが設定を変更できないようにします。

  • StorageGRID ロード バランシング エンドポイントを使用する場合は、信頼できないクライアント ネットワーク トラフィックに対して、管理ノードではなくゲートウェイノードを使用してください。

  • 信頼できないテナントがいる場合は、テナントマネージャーまたはテナント管理APIへの直接アクセスを許可しないでください。代わりに、信頼できないテナントには、テナントポータルまたは外部のテナント管理システムを使用させ、テナント管理APIと連携させるようにしてください。

  • 必要に応じて、管理ノードからNetAppサポートへのAutoSupport通信をより詳細に制御するために、管理プロキシを使用します。"管理者プロキシの作成"の手順を参照してください。

  • 必要に応じて、制限付きポート 8443 と 9443 を使用して、Grid Manager と Tenant Manager の通信を分離できます。追加の保護対策として、共有ポート 443 をブロックし、テナントからのリクエストをポート 9443 に制限してください。

  • 必要に応じて、グリッド管理者とテナントユーザー用に別々の管理ノードを使用することもできます。

詳細については、"StorageGRID の管理"の手順を参照してください。

ストレージノードに関するガイドライン

ストレージノードは、オブジェクトデータとメタデータを管理および保存します。StorageGRID システムのストレージノードを保護するには、以下のガイドラインに従ってください。

  • 信頼できないクライアントがストレージノードに直接接続することを許可しないでください。ゲートウェイノードまたはサードパーティの ロード バランサー によって提供される ロード バランシング エンドポイントを使用してください。

  • 信頼できないテナントに対しては、アウトバウンドサービスを有効にしないでください。例えば、信頼できないテナントのアカウントを作成する場合、テナントが独自のIDソースを使用することを許可せず、プラットフォームサービスの使用も許可しないようにします。"テナントアカウントの作成"の手順を参照してください。

  • 信頼できないクライアント トラフィックには、サードパーティ製のロード バランサーを使用してください。サードパーティによるロード バランシングは、より高度な制御機能と、攻撃に対する追加の保護層を提供します。

  • 必要に応じて、ストレージプロキシを使用することで、ストレージノードから外部サービスへのクラウドストレージプールおよびプラットフォームサービス間の通信をより詳細に制御できます。"ストレージプロキシの作成"の手順を参照してください。

  • 必要に応じて、クライアントネットワークを使用して外部サービスに接続します。次に、Configuration > Security > Firewall control > Untrusted Client Networks を選択し、ストレージノード上のクライアントネットワークが信頼されていないことを示します。ストレージノードはクライアントネットワーク上の受信トラフィックを一切受け付けなくなりましたが、プラットフォームサービスへの送信リクエストは引き続き許可します。

ゲートウェイノードに関するガイドライン

ゲートウェイノードは、クライアントアプリケーションが StorageGRID に接続するために使用できるオプションのロード バランシングインターフェイスを提供します。StorageGRID システム内のゲートウェイノードを保護するには、以下のガイドラインに従ってください。

  • ロード バランシングエンドポイントを設定して使用します。"ロード バランシングに関する考慮事項"を参照してください。

  • 信頼できないクライアントからのトラフィックについては、クライアントとゲートウェイノードまたはストレージノードの間にサードパーティ製のロード バランシングを使用してください。サードパーティのロード バランシングは、より高度な制御機能と、攻撃に対する追加の保護層を提供します。サードパーティのロード バランシングを使用する場合、ネットワーク トラフィックは必要に応じて、内部ロード バランシングエンドポイントを経由するように設定することも、ストレージノードに直接送信するように設定することも可能です。

  • ロード バランシングエンドポイントを使用している場合は、必要に応じてクライアントをクライアントネットワーク経由で接続するように設定できます。次に、Configuration > Security > Firewall control > Untrusted Client Networks を選択し、ゲートウェイノード上のクライアントネットワークが信頼されていないことを示します。ゲートウェイノードは、ロード バランシングエンドポイントとして明示的に設定されたポートでのみ、受信トラフィックを受け入れます。

ハードウェアアプライアンスノードに関するガイドライン

StorageGRID ハードウェアアプライアンスは、StorageGRID システムでの使用を目的として特別に設計されています。一部のアプライアンスはストレージノードとして使用できます。その他のアプライアンスは、管理ノードまたはゲートウェイノードとして使用できます。アプライアンスノードとソフトウェアベースのノードを組み合わせることも、完全に設計されたオールアプライアンス型のグリッドを導入することも可能です。

StorageGRID システムのハードウェアアプライアンスノードを保護するには、以下のガイドラインに従ってください：

  • アプライアンスがストレージコントローラの管理に SANtricity System Manager を使用している場合は、信頼できないクライアントがネットワーク経由で SANtricity System Manager にアクセスできないようにしてください。

  • アプライアンスにベースボード管理コントローラー （BMC） がある場合、BMC管理ポートは低レベルのハードウェア アクセスを可能にすることに注意してください。BMC管理ポートは、安全で信頼できる内部管理ネットワークにのみ接続してください。

    VLANを設定して、BMCネットワーク接続を分離し、BMCのインターネット アクセスを信頼できるネットワークに制限することができます。VLAN分離の適用に関する詳細については、 "ベースボード管理コントローラーを強化する"のサイバーセキュリティ情報シートおよび "国家安全保障局（NSA）"と "Cybersecurity and Infrastructure Security Agency (CISA)"を参照してください。

    安全で信頼できる内部管理ネットワークが利用できない場合は、BMC 管理ポートを未接続のままにするか、ブロックしてください。テクニカルサポート担当者は、サポート案件の対応中に一時的なアクセスを要求する場合があります。

  • アプライアンスが Intelligent Platform Management Interface （IPMI） 規格を使用してイーサネット経由でコントローラハードウェアのリモート管理をサポートしている場合、ポート 623 の信頼できないトラフィックをブロックします。

メモ BMC を含むすべてのアプライアンスに対して、リモート IPMI アクセスを有効または無効にすることができます。リモート IPMI インターフェイスを使用すると、BMC アカウントとパスワードを持つすべてのユーザーが StorageGRID アプライアンスへの低レベルのハードウェア アクセスを行えるようになります。BMC へのリモート IPMI アクセスが不要な場合は、次のいずれかの方法を使用してこのオプションを無効にしてください：+ Grid Manager で、Configuration > Security > Security settings > Appliances に移動し、Enable remote IPMI access チェックボックスをオフにします。+ Grid 管理 API で、プライベートエンドポイントを使用します： PUT /private/bmc。

+ また、リモートIPMIアクセスを無効にする。

関連情報

"SANtricity System Managerのドライブセキュリティについて学ぶ"