日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

S3クライアントノセキユリテイ

11/07/2024 共同作成者

StorageGRIDテナントアカウントは、S3クライアントアプリケーションを使用してオブジェクトデータをStorageGRIDに保存します。クライアントアプリケーションに実装されているセキュリティ対策を確認する必要があります。

概要

S3 REST APIのセキュリティの実装方法を次に示します。

S3クライアントアプリケーションは、ゲートウェイノードまたは管理ノード上のロードバランササービスに接続するか、またはストレージノードに直接接続できます。

ロードバランササービスに接続するクライアントでは、ユーザの方法に応じてHTTPSまたはHTTPを使用できます"ロードバランサエンドポイントの設定"。

HTTPSはTLSで暗号化されたセキュアな通信を提供するため、推奨されます。エンドポイントにセキュリティ証明書を添付する必要があります。

HTTPは安全性が低く、暗号化されていない通信を提供するため、非本番環境またはテストグリッドにのみ使用する必要があります。
ストレージノードに接続するクライアントは、HTTPSまたはHTTPも使用できます。

デフォルトはHTTPSで、推奨されます。

HTTPは安全性が低く、暗号化されていない通信を提供しますが、非本番環境またはテストグリッドではオプションで使用できます"有効"。
StorageGRID とクライアント間の通信は、 TLS を使用して暗号化されます。
ロードバランササービスとグリッド内のストレージノードの間の通信は、ロードバランサエンドポイントが HTTP と HTTPS どちらの接続を受け入れるように設定されているかに関係なく暗号化されます。
REST API処理を実行するには、クライアントがStorageGRIDにを指定する必要があります"HTTP認証ヘッダー"。

いずれの場合も、クライアントアプリケーションは、グリッド管理者がアップロードしたカスタムサーバ証明書または StorageGRID システムが生成した証明書を使用して、 TLS 接続を確立できます。

ロードバランササービスに接続する場合、クライアントアプリケーションはロードバランサエンドポイント用に設定された証明書を使用します。各ロードバランサエンドポイントには独自の証明書があります。グリッド管理者がアップロードしたカスタムサーバ証明書、またはグリッド管理者がエンドポイントの設定時にStorageGRIDで生成した証明書のいずれかです。

を参照して "ロードバランシングに関する考慮事項"
クライアントアプリケーションは、ストレージノードに直接接続する場合、StorageGRID システムのインストール時にストレージノード用に生成されたシステム生成のサーバ証明書（システム認証局によって署名されたもの）を使用します。または、グリッド管理者がグリッド用に提供した単一のカスタムサーバ証明書。を参照して "カスタムのS3 API証明書を追加する"

TLS 接続の確立に使用する証明書に署名した認証局を信頼するよう、クライアントを設定する必要があります。

StorageGRIDシステムでは、クライアントアプリケーションがTLSセッションを確立するときに使用できる一連の暗号スイートがサポートされています。暗号を設定するには、[設定]>*[セキュリティ設定]*に移動し、 TLSおよびSSHポリシー*を選択します。

StorageGRID では、 TLS 1.2 と TLS 1.3 がサポートされています。

SSLv3 と TLS 1.1 （またはそれ以前のバージョン）はサポートされなくなりました。