暗号化

システムで暗号化を使用するには、暗号化ライセンスを購入し、システムでライセンスをアクティブ化し、暗号化を有効にして、鍵のコピーを作成する必要があります。ライセンスを購入していない場合は、お客様担当員に連絡して暗号化ライセンスを購入してください。

注: 障害が起きたノードが暗号化をサポートしていて、そのノードの取り替え用にホット・スペア・ノードを使用する場合、ホット・スペア・ノードにも暗号化ライセンスが必要です。

システムは、オプションで、保存データの暗号化をサポートします。このサポートにより、廃棄されたか、紛失したか、または盗難にあったストレージ・デバイスに機密のユーザー・データおよびユーザー・メタデータが格納されていた場合でも、機密漏れの可能性からデータを保護することができます。システムで暗号化を使用するには、暗号化をサポートするノードごとに暗号化ライセンスが必要です。新しいノードを暗号化システムに追加する場合、その新しいノードについてもライセンス交付を受ける必要があります。

暗号化されたシステムへのアクセス

暗号化を有効にするには、その前にライセンスを購入して、システムで機能を構成する前にアクティブにしていることを確認してください。システムでは、暗号化を構成するための 2 つの方式がサポートされます。システムでの暗号鍵の作成と管理を簡素化する集中型の鍵サーバーを使用できます。セキュリティーのため、また鍵管理を簡素化するために、この方式の暗号鍵管理が推奨されます。さらに、システムは、USB フラッシュ・ドライブでの暗号鍵の保管をサポートしています。USB フラッシュ・ドライブ・ベースの暗号化を行うには、システムへの物理アクセスが必要であり、最小数のシステムを使用する環境で効果的です。USB フラッシュ・ドライブについて厳しいセキュリティー・ポリシーを必要とする組織の場合、携帯用メディア装置へのシステム・データの無許可の転送を防止するために、システムはこれらのポートの無効化をサポートします。そのようなセキュリティー要件がある場合は、鍵サーバーを使用して暗号鍵を管理してください。

ドライブに格納されているデータを暗号化するには、暗号化に対応しているノードが、ライセンス交付を受けており、暗号化を使用するよう構成されている必要があります。システムで暗号化がアクティブ化されて有効になっている場合、システムがドライブのロックを解除する際、あるいはユーザーが新しい鍵を生成する際に、システム上に有効な暗号鍵が存在している必要があります。鍵サーバー暗号化がシステムで有効になっている場合、鍵は鍵サーバーから取得されます。USB 暗号化がシステムで有効である場合、暗号鍵は、暗号化が有効なときに生成された鍵のコピーが入っている USB フラッシュ・ドライブに格納する必要があります。

クラウド・ストレージにコピーされるデータを保護するのに暗号化を使用している場合、クラウド・アカウントは、常に、システム暗号化設定と同期されます。USB フラッシュ・ドライブと鍵サーバーの両方が構成されている場合、作成されるクラウド・アカウントは、それらの方式の両方をサポートします。一方の暗号化方式のみが構成されており、もう一方の方式が使用不可の場合、クラウド・アカウントは、残りの構成済み暗号化方式で暗号化をサポートします。クラウド・アカウントが暗号化を確実にサポートするようにするために、クラウド・アカウントの作成時に、アクティブな鍵を使用して一方または両方の方式を構成する必要があります。

クラウド・アカウントが一方の暗号方式で作成された場合、後で、2 番目の方式を構成することはできますが、構成中、クラウド・アカウントがオンラインになっている必要があります。2 番目の方式が構成された後で、クラウド・アカウントは両方の鍵プロバイダーをサポートします。

暗号化をアクティブ化して有効にする前に、システムで暗号鍵が存在することが必要な場合に鍵情報にアクセスする方式を決定する必要があります。システムでは、以下の操作時に暗号鍵が存在する必要があります。

システムの始動時
システム再始動時
ユーザーが開始した鍵再設定操作時
システム・リカバリー
自己暗号化ドライブの取り外しまたは交換

暗号化を計画する際には、いくつかの要因を考慮する必要があります。

システムの物理的セキュリティー
USB ポートおよびポータブル・メディアに関する追加のセキュリティー要件。ご使用の環境で USB ポートを無効にする必要がある場合は、鍵サーバーを使用して暗号鍵を管理してください。
システムで必要とされる場合に暗号鍵に手動でアクセスする必要性とメリット
鍵データの可用性
暗号化ライセンスの購入、アクティブ化、およびシステム上での有効化
鍵の作成および管理に IBM Security Key Lifecycle Manager を使用している場合は、バージョン 2.7.0 以降を使用していることを確認してください。バージョン 2.7 を使用している場合、システムは、1 つのマスター (1 次) 鍵サーバーと複数の 2 次鍵サーバーをサポートします。ただし、複製は手動プロセスであり、鍵再設定操作中は複製が完了するまで鍵を使用できません。バージョン 3.0 以上を使用した場合、システムは複数のマスター鍵サーバーをサポートし、それらのサーバーは、構成済みのすべての鍵サーバーに自動的に鍵を複製します。
鍵の作成および管理に Gemalto SafeNet KeySecure 鍵サーバーを使用している場合は、KeySecure 鍵サーバーへの認証のためにシステムにユーザー名とパスワードが必要であるかどうかを判別してください。これらの鍵サーバーに対してユーザー名とパスワードを使用してシステムを認証する予定の場合、KeySecure インターフェースで認証に使用するユーザー資格情報を構成する必要があります。KeySecure バージョン 8.10 以上の場合、管理者は、接続時にシステムを認証するためのユーザー名とパスワードを構成することができます。KeySecure バージョン 8.10 より前のバージョンでは、パスワードの使用はオプションです。

鍵サーバーを使用した暗号化

鍵サーバーは、暗号鍵を生成し、保管し、システムに送信する集中型システムです。一部の鍵サーバー・プロバイダーは、複数の鍵サーバー間における鍵の複製をサポートします。複数の鍵サーバーがサポートされている場合、パブリック・ネットワークまたは独立したプライベート・ネットワークのいずれかを介してシステムに接続された鍵サーバーを最大 4 つまで指定することができます。システムは、システム上での鍵管理を処理するために、IBM Security Key Lifecycle Manager 鍵サーバーまたは Gemalto SafeNet KeySecure 鍵サーバーをサポートします。これらのサポートされる鍵サーバー管理アプリケーションは、どちらもシステムの暗号鍵を作成および管理し、証明書によってこれらの鍵へのアクセスを提供します。システム上で有効にすることができる鍵サーバー管理アプリケーションは、一度に 1 つのタイプのみです。システムと鍵サーバー間で証明書が交換されるときに認証が行われます。期限切れの証明書がシステム障害を起こす可能性があるため、証明書は厳重に管理する必要があります。鍵サーバーは、システムに定義される前にインストールして構成しておく必要があります。

IBM Security Key Lifecycle Manager 鍵サーバーでは Key Management Interoperability Protocol (KMIP) がサポートされます。これは、保管データの暗号化および暗号鍵の管理に関する標準です。

システムは、IBM Security Key Lifecycle Manager 上で各種タイプの鍵サーバー構成をサポートします。以下の構成がサポートされています。

1 台の 1 次 (マスター) 鍵サーバーと複数の 2 次鍵サーバー。IBM Security Key Lifecycle Manager 鍵サーバーは、最大 3 台の 2 次鍵サーバー (クローンとも呼ばれる) を定義できる 1 台のマスター鍵サーバーまたは 1 次鍵サーバーを指定します。これらの追加の鍵サーバーは、システムに鍵を送信するときにさらに多くのパスをサポートします。ただし、鍵再設定時には、1 次鍵サーバーへのパスのみが使用されます。システムの鍵再設定が行われると、1 次鍵サーバーが新しい鍵を 2 次鍵サーバーに複製するまでは、2 次鍵サーバーが使用不可になります。鍵を 2 次鍵サーバーに複製するのに要する時間は、複製されている鍵と証明書の情報の量によって異なります。 2 次鍵サーバーへの複製ごとに、時間がかかります。鍵をシステムで使用するには、その前に複製が完了している必要があります。自動複製をスケジュールすることもできますし、IBM Security Key Lifecycle Manager を使用して手動で完了することもできます。複製中、鍵を配布したり、新規鍵を受け入れたりするために、鍵サーバーを使用することはできません。IBM Security Key Lifecycle Manager で複製が完了するのに要する合計時間は、クローンとして構成されている鍵サーバーの数によって異なります。複製が手動で起動された場合、IBM Security Key Lifecycle Manager は、複製が完了した時点で完了メッセージを発行します。鍵がシステムで使用される前に、すべての鍵サーバーに複製された鍵および証明書の情報が含まれていることを確認してください。
複数のマスター鍵サーバー: 複数の鍵サーバーをマルチマスター構成で構成して、各鍵サーバーが新規暗号鍵を作成できるようにすることができます。その場合、任意のサーバーを 1 次鍵サーバーとして設定できます。1 次鍵サーバーは、新規鍵サーバー暗号鍵を作成するときにシステムが使用する鍵サーバーです。IBM Security Key Lifecycle Manager でマルチマスター・モードが使用可能になっている場合、鍵は、構成内の他の鍵サーバーに即時に複製されます。

サポートされるバージョンについて詳しくは、IBM Security Key Lifecycle Manager IBM Knowledge Center を参照してください。

IBM Security Key Lifecycle Manager 鍵サーバー用に、システムに鍵サーバー・オブジェクトを作成する場合は、名前、IP アドレス、ポート、および証明書情報に加えてデバイス・グループを指定する必要があります。デバイス・グループは、大規模なプール内のデバイスのサブセットに対する制限付き管理を可能にするセキュリティー資格情報の集合 (鍵と鍵のグループを含む) です。デフォルト設定を使用している場合、鍵サーバー上で SPECTRUM_VIRT デバイス・グループに対してシステムを定義する必要があります。SPECTRUM_VIRT デバイス・グループが鍵サーバー上に存在しない場合は、GPFS デバイス・ファミリーに基づいて作成する必要があります。複数の鍵サーバーを構成する場合は、1 次鍵サーバーおよび他のすべての鍵サーバーで SPECTRUM_VIRT デバイス・グループを定義する必要があります。

Gemalto SafeNet KeySecure 鍵サーバーも KMIP をサポートしており、オンデマンドで鍵を作成した後、その鍵を他のクラスター化サーバーと共有し、冗長アクセスを提供します。システムは、KeySecure 鍵サーバー上でさまざまなタイプの構成をサポートします。以下の構成がサポートされています。

KeySecure 鍵サーバーは、アクティブ/アクティブ・モデルを使用します。このモデルでは、複数の鍵サーバーがあり、冗長性を提供します。1 つの KeySecure 鍵サーバーが 1 次鍵サーバーとして構成されている必要があります。1 次鍵サーバーは、新規の暗号鍵を作成するときにシステムが使用する鍵サーバーです。鍵は、KeySecure クラスター内の他の鍵サーバーに即時に複製されます。鍵を取得するために、システムで定義されているすべての KeySecure 鍵サーバーを使用できます。KeySecure では、単一の鍵サーバー・インスタンスを構成することもできますが、1 つの鍵サーバーで障害が発生した場合に鍵の可用性を確保するために、2 つの鍵サーバーを構成することが推奨されます。
システムは最大 4 つの鍵サーバーを KeySecure でサポートします。システムが複数の鍵サーバーにアクセスしている場合、それらの鍵サーバーは KeySecure 鍵サーバーの同じクラスターに属している必要があります。

USB フラッシュ・ドライブを使用した暗号化

USB フラッシュ・ドライブを使用して、暗号化を有効にし、鍵をシステムにコピーすることができます。システム暗号鍵を作成し、それらの鍵をすべての USB フラッシュ・ドライブに書き込む必要があります。

USB フラッシュ・ドライブ上のキー情報にアクセスするには、2 つのオプションが使用可能です。

USB フラッシュ・ドライブをシステムに常時挿入したままにする: システムを自動的に再始動したい場合、USB フラッシュ・ドライブをシステム上のすべてのノードに挿入したままにする必要があります。電源をオンにすると、すべてのノードが暗号鍵にアクセスできます。この方式では、システムが配置されている物理環境が安全であることが必要です。その場所が安全であれば、許可されていない人物が暗号鍵のコピーを作成したり、システムを盗んだり、システムに格納されているデータにアクセスしたりすることを防止できます。有効な暗号化鍵が入っている USB フラッシュ・ドライブが 2 つのキャニスターの両方に挿入されたままである場合、システムは、常に暗号鍵にアクセスすることができるため、ドライブ上のユーザー・データは、常にアクセス可能です。
必要な場合を除き、USB フラッシュ・ドライブをシステムに挿入したままにしない: 最も安全な操作のためには、USB フラッシュ・ドライブをシステムのノードに挿入したままにしないようにしてください。ただし、この方式では、システムで暗号化鍵が存在することを必要とする操作時に、暗号鍵のコピーが入っている USB フラッシュ・ドライブを手動でノードに挿入する必要があります。鍵が入っている USB フラッシュ・ドライブは、盗難や紛失を防ぐために安全に保管する必要があります。システムで暗号鍵が存在することを必要とする操作時に、データにアクセスできるように、USB フラッシュ・ドライブを各ノードに手動で挿入する必要があります。システムでドライブのロック解除が完了したら、盗難や紛失を防ぐために USB フラッシュ・ドライブを取り外し、安全に保管する必要があります。

暗号化テクノロジー

データ暗号化は、IEEE 1619-2007 規格および NIST 特別刊行物 800-38E に XTS-AES-256 として定義されている、XTS モードの 256 ビット対称暗号鍵を使用した Advanced Encryption Standard (AES) アルゴリズムによって保護されています。このデータ暗号鍵は、それ自体が、USB フラッシュ・ドライブに保管されているアクセス・キーから派生した鍵の 256 ビット AES 鍵ラップで保護されます。ラップされた鍵は、不揮発性形式でシステムに格納されます。