11.2 暗号化レプリケーション

OpenText eDirectoryでは、OpenText eDirectoryサーバ間で転送されるデータを暗号化できます。データがクリアテキスト形式で転送されなくなるため、複製時のセキュリティを強化できます。

メモ:OpenText eDirectory 9.2.7リリースでは、暗号化された複製のサポートは非推奨になりました。

図 11-3 暗号化レプリケーション

図 11-3では、「finance」と「library」がツリー内のパーティションに相当します。「finance」には、レプリケーションの際に暗号化しなければならない機密データが含まれる可能性があります。その場合は、パーティション「finance」に対して暗号化複製を有効にすることができます。「library」のように重要データが含まれていないパーティションについては、暗号化複製を有効にする必要はありません。

重要:パーティションに対して暗号化複製を有効にすると、複製処理の速度が低下する可能性があります。暗号化された複製は、OpenText Identity Consoleを使用して有効または無効にできます。

この節では、次のトピックについて説明します。

11.2.1 暗号化複製の必要性

OpenText eDirectory 8.8以前では、複製中のデータはクリアテキストでネットワークに転送されました。レプリカが地理的に離れており、インターネット経由で接続されている場合は特に、ネットワーク上で機密データを暗号化して保護する必要がありました。

この機能は、次のような状況で使用できます。

ディレクトリサーバがWANやインターネットを介して地理的に複数の場所にわたって広がっており、ネットワーク上で重要データを暗号化する必要がある。
ツリーのパーティションの一部だけを保護する場合は、複製のために暗号化する重要データを保持しているパーティションを選択的に指定できます。
重要データを含むパーティションの特定のレプリカ間で暗号化複製が必要な場合。
現在のネットワーク環境が安全ではないと思われる場合は、複製中に重要データを保護することもできます。

11.2.2 暗号化複製を有効にする

暗号化複製を有効にするには、暗号化複製を有効にするようにパーティションを設定する必要があります。設定はパーティションのルートオブジェクトに保存されます。

暗号化複製は、パーティションレベルでもレプリカレベルでも有効にすることができます。

レプリカレベルの設定は、パーティションレベルの設定よりも優先されます。つまり、次のようになります。

暗号化複製がパーティションレベルで有効になっていて、特定のレプリカで無効になっている場合、それらのレプリカの間の複製はクリアテキスト形式で行われます。
パーティションレベルで暗号化複製が無効になっていて、特定のレプリカで有効になっている場合、それらのレプリカの間の複製は暗号化された形式で行われます。

表 11-1 パーティションレベルの暗号化複製の設定を上書きする

パーティションレベル	レプリカレベル	複製
有効	無効	暗号化されない
無効	有効	暗号化される

このセクションでは、次の手順について説明します。

パーティションレベルで暗号化複製を有効にする

パーティションレベルで暗号化複製を有効にすると、そのパーティションをホストしているすべてのレプリカの間で行われる複製が暗号化されます。たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。その場合は、これらのレプリカの間のすべての複製(インバウンドとアウトバウンドの両方)を暗号化できます。

パーティションレベルで暗号化された複製を有効にするには、そのパーティションをホストしているすべてのサーバでOpenText eDirectory 8.8以降が実行されている必要があります。

図 11-4 暗号化レプリケーション

レプリカレベルで暗号化複製が設定されている場合は、レプリカレベルの設定がパーティションレベルの設定よりも優先されます。「表 11-1」を参照してください。

下位互換性は、暗号化複製がパーティションレベルで有効になっているかどうかに依存します。詳細については、「新しいレプリカをレプリカリングに追加する」を参照してください。

パーティションレベルで暗号化された複製を有効にするには、次のセクションで説明するように、OpenText Identity ConsoleまたはLDAPを使用します。

OpenText Identity Consoleを使用してパーティションレベルで暗号化された複製を有効にする

OpenText Identity Consoleのホームページで、［暗号化された複製］タイルをクリックします。
［暗号化された複製］ページで、［パーティションの検索］をクリックします。
ツリーまたはコンテナを選択します。
［複製の暗号化を有効にする］チェックボックスをオンにし、［完了］をクリックします。

メモ:パーティションレベルで暗号化された複製を無効にするには、［複製の暗号化を有効にする］チェックボックスをオフにします。
［レプリケーションの暗号化が正常に有効になりました］というメッセージが表示されます。

［OK］をクリックします。

［暗号化された複製］ページでパーティション全体に対して複製の暗号化を有効にした場合でも、特定のレプリカに対して暗号化された複製を無効にできます。暗号化複製が無効になっているレプリカは、暗号化された形式のデータを送受信しません。パーティション全体の暗号化を無効にするには、［複製の暗号化を有効にする］チェックボックスをオフにします。

LDAPを使用してパーティションレベルで暗号化複製を有効にする

重要:OpenText Identity Consoleを使用して暗号化された複製を有効にすることを強くお勧めします。

複製を暗号化するには、属性dsEncryptedReplicationConfigを使用します。構文は次のとおりです。

enable/disable flag#destination replica number#source replica number

次のいずれかのフラグに置き換えます。

0: 暗号化複製が無効になります。
1: 暗号化複製が有効になります。

ソースレプリカ番号とターゲットレプリカ番号は、パーティションのソースレプリカ番号とターゲットレプリカ番号です。ソースレプリカ番号とターゲットレプリカ番号はどちらを先に指定しても構いません。レプリカAからBへの複製が暗号化されている場合は、BからAへの複製も暗号化されます。

メモ:パーティションレベルのソースレプリカ番号とターゲットレプリカ番号を0にして、フラグを1に設定した場合は、すべてのレプリカで暗号化複製が有効になります。

パーティションレベルで暗号化複製を有効にするには、dsEncryptedReplicationConfig属性の値を1#0#0に設定します。

次に、パーティションレベルで暗号化複製を有効にするためのLDIFファイルの例を示します。

dn: o=ou
changetype:modify
replace: dsEncryptedReplicationConfig
dsEncryptedReplicationConfig:1#0#0

レプリカレベルの設定は、パーティションレベルの設定よりも優先されます。詳細については、「LDAPを使用してレプリカレベルで暗号化複製を有効にする」を参照してください。

レプリカレベルで暗号化複製を有効にする

レプリカレベルで暗号化複製を有効にすると、特定のレプリカの間の複製が暗号化されます。指定したレプリカの間で行われるアウトバウンドおよびインバウンドの複製が暗号化されます。

たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。この場合、レプリカR1とR2の間、またはR2とR4の間の複製を暗号化できます。

1つのレプリカで暗号化複製を有効にした場合は、次のような複製が行われます。

サーバからこのレプリカへのインバウンド同期が暗号化されます。
このレプリカから別のサーバへのアウトバウンド同期が暗号化されます。

暗号化された複製が有効になっているレプリカは、OpenText eDirectory 8.8以降のサーバ上に配置されている必要があります。レプリカリング内にあるレプリカのうち、暗号化された複製が有効になっていない残りのレプリカは、eDirectory 8.8より古いバージョンのOpenText eDirectoryサーバ上に配置しても構いません。

レプリカレベルで暗号化された複製を無効にするには、OpenText Identity Consoleの暗号化された複製の環境設定ページで、該当するレプリカに対し［リンクを暗号化する］を無効にします。

レプリカレベルで暗号化された複製を有効にするには、次のセクションで説明するように、LDAPを使用します。

LDAPを使用してレプリカレベルで暗号化複製を有効にする

LDAPを使用してレプリカレベルで暗号化複製を有効にする

重要:OpenText Identity Consoleを使用して暗号化された複製を有効にすることを強くお勧めします。

複製を暗号化するには、属性dsEncryptedReplicationConfigを使用する必要があります。構文は次のとおりです。

enable/disable flag#destination replica number#source replica number

この構文の詳細については、LDAPを使用してパーティションレベルで暗号化複製を有効にするを参照してください。

この構文でレプリカ番号を指定すると、指定したレプリカの間の複製が暗号化されます。次に、この構文の例を示します。

1#0#1: レプリカ番号1と、パーティション内の他のすべてのレプリカの間で、暗号化複製が有効になります。
0#3#1: レプリカ番号3と#1の間で暗号化複製が無効になります。
0#1#1:レプリカ番号1で暗号化複製が無効になります。

次に、レプリカ番号1と3の間で暗号化複製を無効にするためのLDIFファイルの例を示します。

dn: o=ou
changetype: modify
replace: dsEncryptedReplicationConfig
dsEncryptedReplicationConfig: 0#3#1

パーティション操作

パーティションを分割すると、ペアレントパーティションの暗号化複製の設定がチャイルドパーティションに継承されます。パーティションをマージすると、ペアレントパーティションの暗号化複製の設定がマージ後のパーティションで保持されます。

11.2.3 新しいレプリカをレプリカリングに追加する

レプリカリングに新しいレプリカを追加する場合は、パーティションレベルおよびレプリカレベルで暗号化複製が有効になっているかどうかによって、それぞれ異なる影響を受けます。

レプリカをレプリカリングに追加する場合の詳細については、「レプリカの管理」を参照してください。

前述のどちらのレベルでも、次のセクションで説明するように、レプリカリングに追加するOpenText eDirectoryサーバのバージョンによって、複数のシナリオが考えられます。

パーティションレベルで暗号化複製を有効にする

追加しようとしているOpenText eDirectoryサーバのバージョンによって、シナリオは異なります。

場面	データの暗号化
EBAなし、暗号化された複製が無効の、OpenText eDirectory 9.1以降のサーバを追加する	データは平文で受け渡されます。
暗号化された複製あり、EBAなしの、OpenText eDirectory 9.1以降のサーバを追加する	OpenText eDirectoryは、暗号化された複製ポリシーに基づいてデータを暗号化します。
EBAありのOpenText eDirectory 9.1以降のサーバを追加する	EBAベースの暗号化が、暗号化複製より優先されます。

レプリカレベルで暗号化複製を有効にする

ソースレプリカと特定のターゲットレプリカの間で暗号化された複製が有効になっている場合は、OpenText eDirectory 8.8以降のサーバをレプリカリングに追加できます。

ソースレプリカと、レプリカリング内の他のすべてのレプリカの間で暗号化複製が有効になっている場合、このシナリオは当てはまりません。その場合は、パーティションレベルで暗号化複製が有効または無効になっているレプリカリングにレプリカを追加することと同じになります。詳細については、「パーティションレベルで暗号化複製を有効にする」を参照してください。

追加するサーバで暗号化複製を有効にする

追加しようとしているサーバのプラットフォームがLinuxの場合は、ndsconfig -Eオプションを使用してそのサーバでの暗号化複製を有効にできます。詳細については、ndsconfigのマニュアルページを参照してください。

追加するサーバのプラットフォームがWindowsの場合は、インストールページで［複製の暗号化を有効にする］オプションを選択します。

追加しようとしているサーバのプラットフォームがLinux以外の場合は、OpenText Identity ConsoleまたはLDAPを使用して暗号化された複製を有効にできます。詳細については、「暗号化複製を有効にする」を参照してください。

11.2.4 同期と暗号化複製

特定のレプリカで暗号化複製を有効にして、設定の変更を他のサーバと同期しない場合、レプリカ間の複製は暗号化された形式で行われます。暗号化複製の設定変更が同期されていないレプリカでは、引き続きクリアテキスト形式で複製が行われます。

それまで暗号化複製の設定がレプリカ間で同期されていなかった場合でも、レプリカ間の複製は暗号化された形式で行われます。

11.2.5 暗号化複製ステータスを表示する

次の手順に従って、OpenText iMonitorを介して暗号化された複製ステータスを表示できます。

OpenText iMonitorで、アシスタントフレームの［エージェント同期］をクリックします。
表示するパーティションの［レプリカ同期］をクリックします。

レプリカステータス情報が表示されます。現在接続されているレプリカからのリンクが暗号化されているかどうかが［Encryption Status］フィールドに表示されます。

基本的に、暗号化複製(ER)には次の3つのシナリオがあります。
- パーティションレベルでERが有効: 接続先のレプリカの［暗号化状態］は［使用可能］として示されます。
  
  どのレプリカに接続しているかを確認するには、レプリカフレームでハイパーリンクが付いていないレプリカを探します。そのレプリカが、現在接続しているレプリカです。他のレプリカをブラウズすると、そのレプリカの［暗号化状態］も［使用可能］として示されます。
- レプリカレベルでERが有効: 特定のレプリカからすべてのレプリカへの(つまり1つからすべてへの)ERが有効になっている場合です。この場合は、そのレプリカに接続すると、レプリカの［暗号化状態］が［使用可能］として示されます。
- 一部のレプリカでERが有効/無効: 一部のレプリカでERが有効/無効 – パーティション全体ではERが有効になっているが、一部のサーバでは無効になっている場合、またはその逆の場合です。
  
  たとえば、3つのレプリカを含むパーティションAでERが有効に設定されていて、レプリカ1とレプリカ3の間のERが無効に設定されている場合、レプリカ1に接続すると、［暗号化状態］は次のように表示されます。
  
  Server 1使用可能
  
  Server 2
  
  Server 3使用不可
  
  これは、Server 1からレプリカリング内のすべてのサーバへのERは有効であるが、Server 1からServer 3へのERは管理者によって無効にされていることを意味します。