OpenText eDirectory 9.3以降では、デフォルトですべてのプラットフォームでNICIおよびOpenSSLの両方でFIPSモードが無効になっています。OpenText eDirectoryには、要件に合わせてFIPSモードを設定するためのスイッチが用意されています。OpenText eDirectoryサーバでFIPSモードが有効になっている場合、OpenText eDirectory内で実行されているアプリケーションとモジュール(OpenSSLを含む)はすべてFIPSモードになります。たとえば、LDAP、HTTP、EBA内のすべての暗号化処理などがこれに該当します。FIPSモードでOpenText eDirectoryを動作させると、SSLv3経由の通信が許可されず、サイファの使用が強度の高いサイファのみに制限されます。詳細については、『OpenText™ CE 24.4 (v9.3) eDirectory管理ガイド』の「LDAPオブジェクトを環境設定する」および「HTTPサーバオブジェクトの設定」を参照してください。
OpenText eDirectoryでFIPSモードを有効にするには、フラグを1つのみ設定する必要があります。これにより、NICIとOpenSSLの両方が有効にされます。
NICI FIPSを有効にし、NDSログインを機能させる前に、次の前提条件を実行します。
PBKDF2 (Password-Based Key Derivation Function 2)パスワードポリシーを作成します。詳細については、「非可逆パスワードストレージを理解する」を参照してください。次に、すべてのユーザにPBPDF2パスワードポリシーを割り当てます。
SCRAMをデフォルトのログインシーケンスとして設定します。詳細については、「パスワード認証」を参照してください。
PBKDF2ポリシーが割り当てられたら、NICIでFIPSを有効にする前に、すべてのユーザが自分のパスワードを変更する必要があります。
すべてのユーザのパスワードが変更された後、NICI FIPSを有効にします。FIPSモードでNICIを有効にするには、「システムレベルのFIPSモードの設定にNICIを使用する(Using NICI for Configuring System-Level FIPS Mode)」を参照してください。
NICIのTLSとFIPSは、nici.cfgに基づいて有効化されます。
NICIとOpenSSLの両方に対してOpenText eDirectoryでFIPSモードを有効にするには:
Windows: WindowsではFIPSを有効にできます。WindowsレジストリでNICI制限レベルフラグを1に設定します。詳細については、「システムレベルのFIPSモードの設定にNICIを使用する(Using NICI for Configuring System-Level FIPS Mode)」を参照してください。
Linux: NICI内のFIPSは、nici.cfgの設定に基づいて有効化されます。詳細については、「システムレベルのFIPSモードの設定にNICIを使用する(Using NICI for Configuring System-Level FIPS Mode)」を参照してください。
メモ:FIPSをいったん有効した場合、後から無効にすることはお勧めできません。