StorageGRID WebscaleシステムでのREST APIのセキュリティの実装

StorageGRID Webscaleシステムでは、TLSを使用したネットワーク接続を介して送信されたHTTPSコマンドを実行し、接続のセキュリティ、アプリケーションの認証、およびオプションでトランスポートの暗号化を実現します。TLSを使用していないコマンドは拒否されます。オブジェクトが取り込まれた時点で暗号化されている場合、StorageGRID Webscaleシステム内でもオブジェクトのライフサイクルを通じて暗号化されたままになります。

TLSでは、エンティティのクレデンシャルとして証明書を交換することができ、ハッシュ アルゴリズムと暗号化アルゴリズムを使用したネゴシエーションが可能です。

StorageGRID Webscaleシステムのインストール時に、システムのCertificate Authority（CA;認証局）証明書と各ストレージ ノードのサーバ証明書が生成されます。これらのサーバ証明書は、いずれもシステムのCAによって署名されています。このCA証明書を信頼するようにクライアント アプリケーションを設定する必要があります。クライアント アプリケーションからTLSを使用してストレージ ノードに接続する際、ストレージ ノードから提供されたサーバ証明書が信頼されたシステムのCAによって署名されていることを確認することでストレージ ノードを認証できます。

また、すべてのストレージ ノードに共通のカスタム サーバ証明書を1つ用意して、生成されるそれぞれの証明書の代わりに使用することもできます。カスタム サーバ証明書には、管理者が選択したCAによる署名が必要です。この場合、クライアント アプリケーションでのサーバ認証プロセスは同じですが、信頼されたCAが異なります。詳細については、『管理者ガイド』の「証明書の設定」を参照してください。

次の表に、S3およびSwiftのREST APIにおけるセキュリティの問題に対する実装を示します。