16.0 Suite BモードでのeDirectoryの設定

Suite Bは、秘密または極秘レベルに分類されたトラフィックを市販品で保護できるようにするために国家安全保障局(NSA)によって標準化された暗号化アルゴリズムのセットです。Suite Bアルゴリズムは、パブリックネットワーク経由で渡される機密情報と非機密情報のセキュリティを確保する手段として機能します。

メモ:Suite B標準は変更される場合があります。NSAが今後推奨事項を変更する可能性があることを覚えておいてください。eDirectoryにおけるSuite Bのサポートは、NSAの推奨事項の弊社の解釈に基づきます。

Suite Bには、次の暗号化アルゴリズムが含まれています。

  • 128ビット鍵または256ビット鍵を使用したAdvanced Encryption Standard (AES)に基づく暗号化

  • P-256曲線とP-384曲線上の楕円曲線デジタル署名アルゴリズム(ECDSA)を使用したデジタル署名

  • P-256曲線とP-384曲線上の楕円曲線Diffie Hellman (ECDH)方式を使用した、事前に共有されたまたは動的な鍵交換

  • セキュアハッシュアルゴリズム2 (SHA-256とSHA-384)に基づくハッシュ法(デジタル指紋法)

Suite Bの詳細については、「Suite B Cryptography」を参照してください。

eDirectoryでは、Suite Bモードで次のモジュールを個別に設定することができます。

モジュール

説明

NPKI (NetIQ Certificate Server)

Certificate Serverは、eDirectoryにネイティブに統合された公開鍵暗号サービスを提供します。このサービスを使用すれば、ユーザとサーバの両方の証明書を作成、発行、および管理することができます。これらのサービスにより、インターネットなどのパブリック通信チャネルを介した機密データの伝送を保護できます。

Suite BモードでCertificate Serverを設定すると、Certificate ServerはRFC 5759に準拠します。この標準では、Suite B証明書と証明書取り消しリスト(CRL)の基本プロファイルが規定されています。詳細については、Certificate Server上でのSuite Bの有効化を参照してください。

LDAPサービスとHTTPサービス

LDAPサービスは、LDAPクライアントがeDirectoryに保存された情報にアクセスするためのサーバアプリケーションです。eDirectoryは、クロスプラットフォームの監視および診断機能を、HTTPサービスを利用しているeDirectoryツリー内のすべてのサーバに提供します。

Suite Bモードでこれらのサービスを設定すると、ECDSA証明書のサポートが追加され、RFC 6460で規定されたTLS 1.2暗号とSuite B Cipherの使用が強制されます。詳細については、ECDSA証明書とSuite B Cipherを使用するためのLDAPサービスとHTTPサービスの設定を参照してください。

NICI

NICIとは、鍵、アルゴリズム、さまざまな鍵保存/使用メカニズム、および大規模な鍵管理システムを提供する暗号化モジュールです。アプリケーションでのデータと鍵の安全な保存と転送を支援するために、NICIでは、3種類の鍵(鍵保管鍵、NICI Security Domain Infrastructure (SDI)鍵、およびセッション鍵)を提供しています。

Suite Bモードでサーバを設定すると、NICIは、256ビットAES鍵を使用してツリー内の機密データを保護します。たとえば、パスワードやチャレンジ/レスポンスデータを保護します。NICI 3.0にアップグレードすると、自動的に、鍵保管鍵とセッション鍵がSuite Bに準拠するように再作成されます。

eDirectoryは、ツリー鍵とも呼ばれるNICI SDI鍵を使用して、ローカルまたはリモートストレージのデータの暗号化に使用される鍵を安全にラップします。この鍵は、ツリー内のサーバがラップ解除できます。データは、eDirectoryの権限と組み合わせることによってセキュリティが確保されます。ツリー鍵は、ツリー内のすべてのサーバが使用できます。同じデータにアクセスするために、複数のサーバが同じNICI SDI鍵を使用します。そのため、この鍵はNICI 3.0のインストールでは自動的に作成されません。この鍵を手動で作成する必要があります。詳細については、AES 256ビットSDI鍵の作成を参照してください。

バックグラウンド認証メカニズム

TLS 1.2に基づく標準ベースのバックグラウンド認証メカニズムを、eDirectoryを使用したシングルサインオン認証に提供します。詳細については、バックグラウンド認証の有効化を参照してください。

以下の各セクションで、Suite BモードでのeDirectoryモジュールの設定に関する情報について説明します。