11.2 暗号化レプリケーション

eDirectoryでは、eDirectoryサーバ間で転送されるデータを暗号化できます。データがクリアテキスト形式で転送されなくなるため、複製時のセキュリティを強化できます。

図 11-3 暗号化レプリケーション

図 11-3では、「finance」と「library」がツリー内のパーティションに相当します。「finance」には、レプリケーションの際に暗号化しなければならない機密データが含まれる可能性があります。その場合は、パーティション「finance」に対して暗号化複製を有効にすることができます。「library」のように重要データが含まれていないパーティションについては、暗号化複製を有効にする必要はありません。

重要:パーティションに対して暗号化複製を有効にすると、複製処理の速度が低下する可能性があります。暗号化複製を有効または無効にするには、iManagerを使用します。

この節では、次のトピックについて説明します。

11.2.1 暗号化複製の必要性

eDirectory 8.8以前は、データは複製中に、クリアテキストでネットワークに転送されました。レプリカが地理的に離れており、インターネット経由で接続されている場合は特に、ネットワーク上で機密データを暗号化して保護する必要がありました。

この機能は、次のような状況で使用できます。

  • ディレクトリサーバがWANやインターネットを介して地理的に複数の場所にわたって広がっており、ネットワーク上で重要データを暗号化する必要がある。

  • ツリーのパーティションの一部だけを保護する場合は、複製のために暗号化する重要データを保持しているパーティションを選択的に指定できます。

  • 重要データを含むパーティションの特定のレプリカ間で暗号化複製が必要な場合。

  • 現在のネットワーク環境が安全ではないと思われる場合は、複製中に重要データを保護することもできます。

11.2.2 暗号化複製を有効にする

暗号化複製を有効にするには、暗号化複製を有効にするようにパーティションを設定する必要があります。設定はパーティションのルートオブジェクトに保存されます。

暗号化複製は、パーティションレベルでもレプリカレベルでも有効にすることができます。

レプリカレベルの設定は、パーティションレベルの設定よりも優先されます。つまり、次のようになります。

  • 暗号化複製がパーティションレベルで有効になっていて、特定のレプリカで無効になっている場合、それらのレプリカの間の複製はクリアテキスト形式で行われます。

  • パーティションレベルで暗号化複製が無効になっていて、特定のレプリカで有効になっている場合、それらのレプリカの間の複製は暗号化された形式で行われます。

表 11-1 パーティションレベルの暗号化複製の設定を上書きする

パーティションレベル

レプリカレベル

複製

有効

無効

暗号化されない

無効

有効

暗号化される

このセクションでは、次の手順について説明します。

パーティションレベルで暗号化複製を有効にする

パーティションレベルで暗号化複製を有効にすると、そのパーティションをホストしているすべてのレプリカの間で行われる複製が暗号化されます。たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。その場合は、これらのレプリカの間のすべての複製(インバウンドとアウトバウンドの両方)を暗号化できます。

パーティションレベルで暗号化複製を有効にするには、そのパーティションをホストしているすべてのサーバでeDirectory 8.8以降が実行されている必要があります。

図 11-4 暗号化レプリケーション

レプリカレベルで暗号化複製が設定されている場合は、レプリカレベルの設定がパーティションレベルの設定よりも優先されます。「表 11-1」を参照してください。

下位互換性は、暗号化複製がパーティションレベルで有効になっているかどうかに依存します。詳細については、「新しいレプリカをレプリカリングに追加する」を参照してください。

パーティションレベルで暗号化複製を有効にするには、次のセクションで説明するように、iManagerまたはLDAPを使用します。

iManagerを使用してパーティションレベルで暗号化複製を有効にする

  1. ［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［eDirectoryの暗号化］>［暗号化複製］の順にクリックします。

  3. 暗号化複製を有効にするパーティションを入力またはブラウズします。

  4. 次へをクリックします。

  5. 暗号化複製ウィザードで、［すべてのレプリカ同期を暗号化する］を選択します。

    ウィザードの各段階で、［ヘルプ］が利用できます。

    メモ:パーティションレベルで暗号化複製を無効にする場合は、［すべてのレプリカ同期を暗号化する］の選択を解除します。

  6. 完了をクリックします。

暗号化複製ウィザードでパーティション全体に対して暗号化複製を有効にした場合でも、特定のレプリカに対して暗号化複製を無効にできます。暗号化複製が無効になっているレプリカは、暗号化された形式のデータを送受信しません。［すべてのレプリカ同期を暗号化する］の選択を解除することで、パーティション全体に対して暗号化を無効にするすることもできます。

LDAPを使用してパーティションレベルで暗号化複製を有効にする

重要:iManagerを使用して暗号化複製を有効にすることを強くお勧めします。

複製を暗号化するには、属性dsEncryptedReplicationConfigを使用します。構文は次のとおりです。

enable/disable flag#destination replica number#source replica number

次のいずれかのフラグに置き換えます。

  • 0: 暗号化複製が無効になります。

  • 1: 暗号化複製が有効になります。

ソースレプリカ番号とターゲットレプリカ番号は、パーティションのソースレプリカ番号とターゲットレプリカ番号です。ソースレプリカ番号とターゲットレプリカ番号はどちらを先に指定しても構いません。レプリカAからBへの複製が暗号化されている場合は、BからAへの複製も暗号化されます。

メモ:パーティションレベルのソースレプリカ番号とターゲットレプリカ番号を0にして、フラグを1に設定した場合は、すべてのレプリカで暗号化複製が有効になります。

パーティションレベルで暗号化複製を有効にするには、dsEncryptedReplicationConfig属性の値を1#0#0に設定します。

次に、パーティションレベルで暗号化複製を有効にするためのLDIFファイルの例を示します。

dn: o=ou
changetype:modify
replace: dsEncryptedReplicationConfig
dsEncryptedReplicationConfig:1#0#0

レプリカレベルの設定は、パーティションレベルの設定よりも優先されます。詳細については、「LDAPを使用してレプリカレベルで暗号化複製を有効にする」を参照してください。

レプリカレベルで暗号化複製を有効にする

レプリカレベルで暗号化複製を有効にすると、特定のレプリカの間の複製が暗号化されます。指定したレプリカの間で行われるアウトバウンドおよびインバウンドの複製が暗号化されます。

たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。この場合、レプリカR1とR2の間、またはR2とR4の間の複製を暗号化できます。

パーティションのレプリカの間で暗号化複製を有効にするには、レプリカの間の暗号化リンクを定義する必要があります。詳細については、「iManagerを使用してレプリカレベルで暗号化複製を有効にする」を参照してください。

1つのレプリカで暗号化複製を有効にした場合は、次のような複製が行われます。

  • サーバからこのレプリカへのインバウンド同期が暗号化されます。

  • このレプリカから別のサーバへのアウトバウンド同期が暗号化されます。

暗号化複製が有効になっているレプリカは、eDirectory 8.8以降のサーバ上に配置されている必要があります。レプリカリング内にあるレプリカのうち、暗号化複製が有効になっていない残りのレプリカは、eDirectory 8.8より古いバージョンのeDirectoryサーバ上に配置しても構いません。

レプリカレベルで暗号化複製を無効にするには、iManagerの暗号化複製の環境設定のウィザードで、該当するレプリカに対し［リンクを暗号化する］を無効にします。

レプリカレベルで暗号化複製を有効にするには、次のセクションで説明するように、iManagerまたはLDAPを使用します。

iManagerを使用してレプリカレベルで暗号化複製を有効にする

iManagerを使用してレプリカレベルで暗号化複製を有効にするには、暗号化リンクを作成します。暗号化リンクで接続されたレプリカの間では、複製が暗号化されます。暗号化リンクを作成するには、レプリカレベルで暗号化複製を設定する際に、ソースレプリカと1つまたは複数のターゲットレプリカを選択します。

たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。R1とR2の間の複製を暗号化するには、いずれかのレプリカをソースレプリカに指定し、他方のレプリカをターゲットレプリカに指定して暗号化リンクを作成します。

暗号化リンクを作成した後は、iManagerの暗号化複製の環境設定のウィザードで［リンクを暗号化する］を選択または選択解除することにより、特定のレプリカに対してこれらのリンクを暗号化することができます。詳細については、「iManagerを使用してレプリカレベルで暗号化複製を有効にする」を参照してください。

レプリカレベルで暗号化複製を有効にする

  1. ［役割およびタスク］ボタン ［役割およびタスク］ボタン をクリックします。

  2. ［eDirectoryの暗号化］>［暗号化複製］の順にクリックします。

  3. 暗号化複製を有効にするパーティションを入力またはブラウズします。

  4. 次へをクリックします。

  5. 暗号化複製ウィザードの［暗号化同期］テーブルで、［新規］を選択して暗号化リンクを定義します。

    1. ［ソースレプリカの選択］フィールドで、ソースとして使用するレプリカを指定またはブラウズします。

    2. ［対象先レプリカ］フィールドで、複製先として使用する1つ以上のレプリカを指定またはブラウズします。

    3. ［リンクを暗号化する］を選択します。

    4. OKをクリックします。

  6. 完了をクリックします。

LDAPを使用してレプリカレベルで暗号化複製を有効にする

重要:iManagerを使用して暗号化複製を有効にすることを強くお勧めします。

複製を暗号化するには、属性dsEncryptedReplicationConfigを使用する必要があります。構文は次のとおりです。

enable/disable flag#destination replica number#source replica number

この構文の詳細については、LDAPを使用してパーティションレベルで暗号化複製を有効にするを参照してください。

この構文でレプリカ番号を指定すると、指定したレプリカの間の複製が暗号化されます。次に、この構文の例を示します。

  • 1#0#1: レプリカ番号1と、パーティション内の他のすべてのレプリカの間で、暗号化複製が有効になります。

  • 0#3#1: レプリカ番号3と#1の間で暗号化複製が無効になります。

  • 0#1#1:レプリカ番号1で暗号化複製が無効になります。

次に、レプリカ番号1と3の間で暗号化複製を無効にするためのLDIFファイルの例を示します。

dn: o=ou
changetype: modify
replace: dsEncryptedReplicationConfig
dsEncryptedReplicationConfig: 0#3#1

パーティション操作

パーティションを分割すると、ペアレントパーティションの暗号化複製の設定がチャイルドパーティションに継承されます。パーティションをマージすると、ペアレントパーティションの暗号化複製の設定がマージ後のパーティションで保持されます。

11.2.3 新しいレプリカをレプリカリングに追加する

レプリカリングに新しいレプリカを追加する場合は、パーティションレベルおよびレプリカレベルで暗号化複製が有効になっているかどうかによって、それぞれ異なる影響を受けます。

レプリカをレプリカリングに追加する場合の詳細については、「レプリカの管理」を参照してください。

次のセクションで説明するように、どちらレベルでも、レプリカリングに追加するeDirectoryサーバのバージョンによって、複数のシナリオが考えられます。

パーティションレベルで暗号化複製を有効にする

追加しようとしているeDirectoryサーバのバージョンによって、シナリオは異なります。

場面

データの暗号化

EBAなし、暗号化複製が無効の、eDirectory 9.1以降のサーバを追加する

データは平文で受け渡されます。

暗号化複製あり、EBAなしの、eDirectory 9.1以降のサーバを追加する

eDirectoryは、暗号化複製ポリシーに基づいてデータを暗号化します。

EBAありのeDirectory 9.1以降のサーバを追加する

EBAベースの暗号化が、暗号化複製より優先されます。

レプリカレベルで暗号化複製を有効にする

ソースレプリカと特定のターゲットレプリカの間で暗号化複製が有効になっている場合は、eDirectory 8.8以降のサーバをレプリカリングに追加できます。

ソースレプリカと、レプリカリング内の他のすべてのレプリカの間で暗号化複製が有効になっている場合、このシナリオは当てはまりません。その場合は、パーティションレベルで暗号化複製が有効または無効になっているレプリカリングにレプリカを追加することと同じになります。詳細については、「パーティションレベルで暗号化複製を有効にする」を参照してください。

追加するサーバで暗号化複製を有効にする

追加しようとしているサーバのプラットフォームがLinuxの場合は、ndsconfig -Eオプションを使用してそのサーバでの暗号化複製を有効にできます。詳細については、ndsconfigのマニュアルページを参照してください。

追加するサーバのプラットフォームがWindowsの場合は、インストールウィザードで［暗号化複製を有効にします］オプションを選択します。

追加しようとしているサーバのプラットフォームがLinux以外の場合は、iManagerまたはLDAPを使用して暗号化複製を有効にできます。詳細については、「暗号化複製を有効にする」を参照してください。

11.2.4 同期と暗号化複製

特定のレプリカで暗号化複製を有効にして、設定の変更を他のサーバと同期しない場合、レプリカ間の複製は暗号化された形式で行われます。暗号化複製の設定変更が同期されていないレプリカでは、引き続きクリアテキスト形式で複製が行われます。

それまで暗号化複製の設定がレプリカ間で同期されていなかった場合でも、レプリカ間の複製は暗号化された形式で行われます。

11.2.5 暗号化複製ステータスを表示する

次の手順に従って、iMonitorを介して暗号化複製ステータスを表示できます。

  1. iMonitorで、アシスタントフレームの［エージェント同期］をクリックします。

  2. 表示するパーティションの［レプリカ同期］をクリックします。

    レプリカステータス情報が表示されます。現在接続されているレプリカからのリンクが暗号化されているかどうかが［Encryption Status］フィールドに表示されます。

    基本的に、暗号化複製(ER)には次の3つのシナリオがあります。

    • パーティションレベルでERが有効: 接続先のレプリカの［暗号化状態］は［使用可能］として示されます。

      どのレプリカに接続しているかを確認するには、レプリカフレームでハイパーリンクが付いていないレプリカを探します。そのレプリカが、現在接続しているレプリカです。他のレプリカをブラウズすると、そのレプリカの［暗号化状態］も［使用可能］として示されます。

    • レプリカレベルでERが有効: 特定のレプリカからすべてのレプリカへの(つまり1つからすべてへの)ERが有効になっている場合です。この場合は、そのレプリカに接続すると、レプリカの［暗号化状態］が［使用可能］として示されます。

    • 一部のレプリカでERが有効/無効: 一部のレプリカでERが有効/無効 – パーティション全体ではERが有効になっているが、一部のサーバでは無効になっている場合、またはその逆の場合です。

      たとえば、3つのレプリカを含むパーティションAでERが有効に設定されていて、レプリカ1とレプリカ3の間のERが無効に設定されている場合、レプリカ1に接続すると、［暗号化状態］は次のように表示されます。

      Server 1使用可能

      Server 2

      Server 3使用不可

      これは、Server 1からレプリカリング内のすべてのサーバへのERは有効であるが、Server 1からServer 3へのERは管理者によって無効にされていることを意味します。