J.15 データ暗号化のトラブルシューティング

NetIQ eDirectory 9.0では、特定の重要データをディスクに保存したり、クライアントがそのデータにアクセスしたりしている間に、データを暗号化できます。この章では、eDirectory 9.0で暗号化属性やレプリケーション機能を使用しているときに発生する場合があるエラーの情報を提供します。

eDirectoryの他のエラーメッセージの詳細については、NetIQエラーコードWebサイトを参照してください。

-6090 0xFFFFE836 ERR_ER_DISABLED

eDirectoryレプリカ同期処理が、ターゲットサーバに対し暗号化されたレプリケーションを開始しようとしました。しかし、ターゲットeDirectoryサーバは暗号化されたレプリカ同期処理を無効にしました。

考えられる原因

暗号化されたレプリケーションがターゲットeDirectoryサーバで無効になっています。

アクション

ターゲットeDirectoryサーバで暗号化されたレプリケーションを有効にします。

-6089 0xFFFFE837 ERR_REQUIRE_SECURE_ACCESS

アプリケーション(クライアントアクセス)が、クリアテキストチャネルから暗号化属性にアクセスしようとしました。

Source

eDirectoryまたはNDS.

考えられる原因

暗号化属性が、セキュリティ保護されたチャネルからのみアクセスできるように設定されています。アプリケーションが、クリアテキストチャネルから暗号化属性にアクセスしようとしています。

アクション

アプリケーションは、LDAPセキュアチャネルまたはHTTPセキュアチャネルなどのような、セキュリティ保護されているチャネルから暗号化属性にアクセスする必要があります。

考えられる原因

このエラーをレプリカの作成中に受け取った場合は、レプリカリングの1つ以上のサーバが暗号化用にマークされたいくつかの属性を持ち、セキュアチャネルからのみアクセスできるように設定されています。

アクション

セキュリティ保護されていないチャネルから暗号化属性にアクセスできるように、暗号化属性ポリシーの設定を変更します。詳細については、セクション 11.0, eDirectoryのデータを暗号化するを参照してください。

考えられる原因

暗号化されたレプリケーションがパーティションレベルまたはパーティションのレプリカ間で設定されているときにこのエラーを受け取った場合は、レプリカリングはeDirectory 9.0以前のサーバを使用しています。

アクション

レプリカリング内のすべてのサーバをeDirectory 9.0に対応するバージョンにアップグレードします。

-666 FFFFFD66 INCOMPATIBLE NDS VERSION

本文がここに入ります。

考えられる原因

暗号化されたレプリケーションがパーティションレベルで有効になっている場合、またこのパーティションのレプリカをeDirectoryサーバに追加しようとしている場合は、このサーバのeDirectoryバージョンがソースサーバのバージョンに対応していません。

アクション

サーバをeDirectoryに対応したバージョンにアップグレードします。

考えられる原因

親パーティションがeDirectory 9.0以前のサーバ(混合バージョンのリング)を使用しており、子パーティションに有効なERがある場合は、マージおよび/またはパーティションの結合操作は許可されず、ERR_INCOMPATIBLE_DS_VERSIONエラーが返されます。

この理由は、チャイルドパーティションにパーティションレベルでERが有効な重要なデータが含まれており、ペアレントパーティションにeDirectory9.0以前のサーバがあるからです。マージ中に、eDirectory9.0サーバ間でのみERが有効になっていると、重要なデータはeDirectory9.0以前のサーバに複製しているとき危険にさらされます。

アクション

重複暗号化アルゴリズムの問題

LDIFを使用して暗号化用の属性を追加する場合は、重複したアルゴリズムを一つの属性に関連付けないでください。

例えば、「タイトル」をAESおよびDES暗号化アルゴリズムで暗号化された属性としてマークすると、どちらのアルゴリズムが最終的に考慮されるのか不明瞭になります。LIMBERが実行されるときに毎回、タイトル属性トグルがAESとDESの間に表示されます。そのため、設定変更があったように見えてしまいます。

そのようなことを避けるため、同じ属性に重複してアルゴリズムを割り当てるのを避けることをお勧めします。

これは、iManagerを使用して暗号化用の属性をマークした場合は起こりません。

ストリーム属性の暗号化

ストリーム属性が平文データとして存在する可能性があります。この原因は、eDirectory 9.0ではストリーム属性を暗号化しないことによります。

iManagerを使用した暗号化複製の設定

レプリカリング内のいずれかのサーバが停止している場合は、iManagerを使用して暗号化複製を設定することはできません。

iManagerを使用した暗号化属性の表示または変更

オブジェクトの属性が暗号化されている場合、iManagerでは、オブジェクトを表示することも変更することもできません。

この問題を回避するために、セキュアチャネルを通じて暗号化属性の表示や変更を行うことができます。これには、次の2つの方法があります。

または、暗号化属性を表示または変更できるように、EAポリシーのrequireSecure属性を無効にすることにより、［セキュアチャンネルが必要です］オプションを無効にできます。この操作により、クリアテキストチャネルから、いずれのクライアントもオブジェクトと暗号化属性にアクセスできるようになります。これで、iManagerがオブジェクトにアクセスできるようになります。

暗号化複製が有効になっているツリーのマージに失敗する

暗号化複製が有効になっている場合、ツリーのマージに失敗します。マージを行う前に、各ツリーでセキュリティ保護された複製を無効にします。

Limberで-603エラーが表示される

暗号化属性ポリシーパーティションのサブリファレンスレプリカのみがサーバにある場合、Limberでは、-603エラーが表示されます。

この問題を回避するには、次のいずれかの手順を実行します。