暗号化レプリケーション
Novell eDirectory 8.8以降では、eDirectory 8.8サーバ間を転送されるデータを暗号化できます。データがクリアテキスト形式で転送されなくなるため、複製時のセキュリティを強化できます。
複製の暗号化の重要性と暗号化のシナリオについては、『Novell eDirectory 8.8 What's New Guide』を参照してください。
図 39暗号化レプリケーション
図中の「finance」と「library」は、ツリー内のパーティションです。「finance」には、複製の際に暗号化を必要とする重要データが含まれている可能性があります。その場合は、パーティション「finance」に対して暗号化複製を有効にすることができます。「library」のように重要データが含まれていないパーティションについては、暗号化複製を有効にする必要はありません。
重要: パーティションに対して暗号化複製を有効にすると、複製処理の速度が低下する可能性があります。
暗号化複製を有効または無効にするには、iManagerを使用します。
注: Netware(R)では、暗号化複製がサポートされていません。
このセクションでは、次の情報について説明します。
暗号化複製を有効にする
暗号化複製を有効にするには、暗号化複製を有効にするようにパーティションを設定する必要があります。設定はパーティションのRootオブジェクトに保存されます。
暗号化複製は、パーティションレベルでもレプリカレベルでも有効にすることができます。
レプリカレベルの設定は、パーティションレベルの設定よりも優先されます。つまり、次のようになります。
- 暗号化複製がパーティションレベルで有効になっていて、特定のレプリカで無効になっている場合、それらのレプリカの間の複製はクリアテキスト形式で行われます。
- パーティションレベルで暗号化複製が無効になっていて、特定のレプリカで有効になっている場合、それらのレプリカの間の複製は暗号化された形式で行われます。
表 2. パーティションレベルの暗号化複製の設定を上書きする
| パーティションレベル | レプリカレベル | 複製 |
|---|---|---|
有効 |
無効 |
暗号化されない |
無効 |
有効 |
暗号化される |
このセクションでは、次の手順について説明します。
パーティションレベルで暗号化複製を有効にする
パーティションレベルで暗号化複製を有効にすると、そのパーティションをホストしているすべてのレプリカの間で行われる複製が暗号化されます。たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。その場合は、これらのレプリカの間のすべての複製(インバウンドとアウトバウンドの両方)を暗号化できます。
パーティションレベルで暗号化複製を有効にするには、そのパーティションをホストしているすべてのサーバでeDirectory 8.8以降が実行されている必要があります。暗号化複製が有効になっていない他のパーティションは、eDirectory 8.8より古いバージョンのeDirectoryサーバでもホストできます。
図 40パーティションレベルでの暗号化複製
レプリカレベルで暗号化複製が設定されている場合は、レプリカレベルの設定がパーティションレベルの設定よりも優先されます。表 2, パーティションレベルの暗号化複製の設定を上書きするを参照してください。
下位互換性は、暗号化複製がパーティションレベルで有効になっているかどうかに依存します。詳細については、新しいレプリカをレプリカリングに追加するを参照してください。
パーティションレベルで暗号化複製を有効にするには、次のセクションで説明するように、iManagerまたはLDAPを使用します。
iManagerを使用してパーティションレベルで暗号化複製を有効にする
-
［役割およびタスク］ボタン
をクリックします。 -
［eDirectoryの暗号化］>［暗号化複製］の順にクリックします。
-
暗号化複製ウィザードで、［すべてのレプリカ同期を暗号化する］を選択します。
ウィザードの各段階で、［ヘルプ］が利用できます。
注: パーティションレベルで暗号化複製を無効にする場合は、［すべてのレプリカ同期を暗号化する］の選択を解除します。
暗号化複製ウィザードでパーティション全体に対して暗号化複製を有効にした場合でも、特定のレプリカに対して暗号化複製を無効にできます。暗号化複製が無効になっているレプリカは、暗号化された形式のデータを送受信しません。パーティション全体に対して暗号化を無効にする場合は、［すべてのレプリカ同期を暗号化する］の選択を解除します。
LDAPを使用してパーティションレベルで暗号化複製を有効にする
重要: iManagerを使用して暗号化複製を有効にすることを強くお勧めします。
複製を暗号化するには、属性dsEncryptedReplicationConfigを使用します。構文は次のとおりです。
有効/無効フラグ#ターゲットレプリカ番号#ソースレプリカ番号
次のいずれかのフラグに置き換えます。
- 0: 暗号化複製が無効になります。
- 1: 暗号化複製が有効になります。
ソースレプリカ番号とターゲットレプリカ番号は、パーティションのソースレプリカ番号とターゲットレプリカ番号です。ソースレプリカ番号とターゲットレプリカ番号はどちらを先に指定しても構いません。レプリカAからBへの複製が暗号化されている場合は、BからAへの複製も暗号化されます。
注: パーティションレベルのソースレプリカ番号とターゲットレプリカ番号を0にして、フラグを1に設定した場合は、すべてのレプリカで暗号化複製が有効になります。
パーティションレベルで暗号化複製を有効にするには、dsEncryptedReplicationConfig属性の値を1#0#0に設定します。
次に、パーティションレベルで暗号化複製を有効にするためのLDIFファイルの例を示します。
dn:o=ou
changetype:modify
replace:dsEncryptedReplicationConfig
dsEncryptedReplicationConfig:1#0#0
レプリカレベルの設定は、パーティションレベルの設定よりも優先されます。詳細については、LDAPを使用してレプリカレベルで暗号化複製を有効にするを参照してください。
レプリカレベルで暗号化複製を有効にする
レプリカレベルで暗号化複製を有効にすると、特定のレプリカの間の複製が暗号化されます。指定したレプリカの間で行われるアウトバウンドおよびインバウンドの複製が暗号化されます。
たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。この場合、レプリカR1とR2の間、またはR2とR4の間の複製を暗号化できます。
パーティションのレプリカの間で暗号化複製を有効にするには、レプリカの間の暗号化リンクを定義する必要があります。詳細については、iManagerを使用してレプリカレベルで暗号化複製を有効にするを参照してください。
1つのレプリカで暗号化複製を有効にした場合は、次のような複製が行われます。
- サーバからこのレプリカへのインバウンド同期が暗号化されます。
- このレプリカから別のサーバへのアウトバウンド同期が暗号化されます。
暗号化複製が有効になっているレプリカは、eDirectory 8.8サーバ上に配置されている必要があります。レプリカリング内にあるレプリカのうち、暗号化複製が有効になっていない残りのレプリカは、eDirectory 8.8より古いバージョンのeDirectoryサーバ上に配置しても構いません。
特定のレプリカに対してのみ暗号化複製を有効にした場合は、eDirectory 8.8サーバおよびeDirectory 8.8より古いバージョンのサーバをレプリカリングに追加できます。
レプリカレベルで暗号化複製を無効にするには、iManagerの暗号化複製の環境設定のウィザードで、該当するレプリカに対し［リンクを暗号化する］を無効にします。
レプリカレベルで暗号化複製を有効にするには、次のセクションで説明するように、iManagerまたはLDAPを使用します。
iManagerを使用してレプリカレベルで暗号化複製を有効にする
iManagerを使用してレプリカレベルで暗号化複製を有効にするには、暗号化リンクを作成します。暗号化リンクで接続されたレプリカの間では、複製が暗号化されます。暗号化リンクを作成するには、レプリカレベルで暗号化複製を設定する際に、ソースレプリカと1つまたは複数のターゲットレプリカを選択します。
たとえば、パーティションP1のレプリカとして、R1、R2、R3、およびR4があるとします。R1とR2の間の複製を暗号化するには、いずれかのレプリカをソースレプリカに指定し、他方のレプリカをターゲットレプリカに指定して暗号化リンクを作成します。
暗号化リンクを作成した後は、iManagerの暗号化複製の環境設定のウィザードで［リンクを暗号化する］をオンまたはオフにすることにより、特定のレプリカに対して暗号化リンクを有効または無効にすることができます。詳細については、iManagerを使用してレプリカレベルで暗号化複製を有効にするを参照してください。
レプリカレベルで暗号化複製を有効にする
LDAPを使用してレプリカレベルで暗号化複製を有効にする
重要: iManagerを使用して暗号化複製を有効にすることを強くお勧めします。
複製を暗号化するには、属性dsEncryptedReplicationConfigを使用します。構文は次のとおりです。
有効/無効フラグ#ターゲットレプリカ番号#ソースレプリカ番号
この構文の詳細については、LDAPを使用してパーティションレベルで暗号化複製を有効にするを参照してください。
この構文でレプリカ番号を指定すると、指定したレプリカの間の複製が暗号化されます。次に、この構文の例を示します。
- 1#0#1: レプリカ番号1と、他のすべてのレプリカの間で、インバウンドおよびアウトバウンドの複製が暗号化されます。
- 0#3#1: レプリカ番号3と1の間で暗号化複製が無効になります。
- 0#1#1: レプリカ番号1で暗号化複製が無効になります。
次に、レプリカ番号1と3の間で暗号化複製を無効にするためのLDIFファイルの例を示します。
dn:o=ou
changetype:modify
replace:dsEncryptedReplicationConfig
dsEncryptedReplicationConfig: 0#3#1
新しいレプリカをレプリカリングに追加する
レプリカリングに新しいレプリカを追加する場合は、パーティションレベルおよびレプリカレベルで暗号化複製が有効になっているかどうかによって、それぞれ異なる影響を受けます。
レプリカをレプリカリングに追加する場合の詳細については、「レプリカの管理」を参照してください。
次のセクションで説明するように、どちらレベルでも、レプリカリングに追加するeDirectoryサーバのバージョンによって、複数のシナリオが考えられます。
パーティションレベルで暗号化複製を有効にする
このシナリオは、追加するeDirectoryサーバのバージョンによって異なります。このセクションでは、次の情報について説明します。
eDirectory 8.8より古いバージョンのサーバをレプリカリングに追加する
次の図は、eDirectory 8.8より古いバージョンのサーバをレプリカリングに追加する場合のシナリオを示しています。
注: 図中の「ER」は、暗号化複製を表しています。
図 41eDirectory 8.8より古いバージョンのサーバを追加する場合のシナリオ
シナリオA: 暗号化複製が有効になっているeDirectory 8.8レプリカリングにeDirectory 8.8より古いバージョンのサーバを追加する
暗号化複製が有効になっているeDirectory 8.8レプリカリングにeDirectory 8.8より古いバージョンのサーバを追加すると、ERR_INCOMPATIBLE_DSエラーが返されます。レプリカリングにサーバを追加することはできますが、パーティションのレプリカをこのサーバでホストすることはできません。
図 42暗号化複製が有効になっているeDirectory8.8レプリカリングにeDirectory 8.8より古いバージョンのサーバを追加する
シナリオB: 暗号化複製が無効になっているeDirectory 8.8レプリカリングにeDirectory 8.8より古いバージョンのサーバを追加する
暗号化複製が無効になっているeDirectory8.8レプリカリングには、eDirectory 8.8より古いバージョンのサーバを追加できます。
図 43暗号化複製が無効になっているレプリカリングにeDirectory 8.8より古いバージョンのサーバを追加する
シナリオC: レプリケーションの暗号化が無効になっている混在レプリカリングにeDirectory 8.8より古いバージョンのサーバを追加する
複数のバージョンのeDirectoryが混在し、暗号化複製が無効になっているレプリカリングには、eDirectory 8.8より古いバージョンのサーバを追加できます。図43を参照してください。
eDirectory 8.8サーバをレプリカリングに追加する
次の図は、eDirectory 8.8サーバをレプリカリングに追加する場合のシナリオを示しています。
図 44eDirectory 8.8サーバを追加する場合のシナリオ
シナリオA: 暗号化複製が有効になっているeDirectory8.8レプリカリングにeDirectory 8.8サーバを追加する
この場合は、追加されたeDirectory 8.8サーバで暗号化複製は既に有効になっています。
図 45暗号化複製が有効になっているeDirectoryレプリカリングにeDirectory 8.8サーバを追加する
シナリオB: 暗号化複製が無効になっているeDirectory8.8レプリカリングにeDirectory 8.8サーバを追加する
この場合は、追加されたeDirectory 8.8サーバで暗号化複製が無効になります。
図 46暗号化複製が無効になっているレプリカリングにeDirectory 8.8サーバを追加する
シナリオC: マスタレプリカがeDirectory 8.8サーバで、暗号化複製が無効になっている混在レプリカリングにeDirectory 8.8サーバを追加する
この場合は、追加するeDirectory 8.8サーバで暗号化複製を有効にする必要はありません。暗号化複製が無効になっているレプリカリングにeDirectory 8.8サーバを追加するを参照してください。
シナリオD: マスタレプリカがeDirectory 8.8より古いバージョンのサーバで、暗号化複製が無効になっている混在レプリカリングにeDirectory 8.8サーバを追加する
この場合は、追加するeDirectory 8.8サーバで暗号化複製を有効にする必要はありません。
図 47マスタレプリカがeDirectory 8.8より古いバージョンのサーバであるレプリカリングにeDirectory 8.8サーバを追加する
レプリカレベルで暗号化複製を有効にする
ソースレプリカと特定のターゲットレプリカの間で暗号化複製が有効になっている場合は、eDirectory 8.8サーバまたはeDirectory 8.8より古いバージョンのサーバをレプリカリングに追加できます。
ソースレプリカと、レプリカリング内の他のすべてのレプリカの間で暗号化複製が有効になっている場合、このシナリオは当てはまりません。その場合は、パーティションレベルで暗号化複製が有効または無効になっているレプリカリングにレプリカを追加することと同じになります。詳細については、パーティションレベルで暗号化複製を有効にするを参照してください。
追加するサーバで暗号化複製を有効にする
追加するサーバのプラットフォームがLinuxまたはUNIXの場合は、ndsconfigの-Eオプションを使用して暗号化複製を有効にできます。詳細については、ndsconfigのmanpageを参照してください。
追加するサーバのプラットフォームがWindowsの場合は、インストールウィザードで［暗号化複製を有効にします］オプションを選択します。
追加するサーバのプラットフォームがLinuxまたはUNIX以外の場合は、iManagerまたはLDAPを使用して暗号化複製を有効にできます。詳細については、暗号化複製を有効にするを参照してください。
同期と暗号化複製
特定のレプリカで暗号化複製を有効にして、設定の変更を他のサーバと同期しない場合、レプリカ間の複製は暗号化された形式で行われます。暗号化複製の設定変更が同期されていないレプリカでは、引き続きクリアテキスト形式で複製が行われます。
それまで暗号化複製の設定がレプリカ間で同期されていなかった場合でも、レプリカ間の複製は暗号化された形式で行われます。
暗号化複製ステータスを表示する
次の手順に従って、iMonitorを介して暗号化複製ステータスを表示できます。
-
iMonitorで、アシスタントフレームの［エージェント同期］をクリックします。
-
表示するパーティションの［レプリカ同期］をクリックします。
レプリカステータス情報が表示されます。現在接続されているレプリカからのリンクが暗号化されているかどうかが［暗号化状態］フィールドに表示されます。
基本的に、暗号化複製(ER)には次の3つのシナリオがあります。
パーティションレベルでERが有効: 接続先のレプリカの暗号化状態が有効になっている場合です。
どのレプリカに接続しているかを確認するには、レプリカフレームでハイパーリンクが付いていないレプリカを探します。そのレプリカが、現在接続しているレプリカです。他のレプリカを参照すると、そのレプリカの［暗号化状態］も［使用可能］と表示されます。
レプリカレベルでERが有効:特定のレプリカからすべてのレプリカへの(つまり1つからすべてへの)ERが有効になっている場合です。この場合は、そのレプリカに接続すると、レプリカの［暗号化状態］が［使用可能］と表示されます。
一部のレプリカでERが有効/無効: 一部のレプリカでERが有効/無効 ? パーティション全体ではERが有効になっているが、一部のサーバでは無効になっている場合、またはその逆の場合です。
たとえば、3つのレプリカを含むパーティションAでERが有効に設定されていて、レプリカ1とレプリカ3の間のERが無効に設定されている場合、レプリカ1に接続すると、［暗号化状態］は次のように表示されます。
Server 1使用可能
Server 2
Server 3使用不可
これは、Server 1からレプリカリング内のすべてのサーバへのERは有効であるが、Server 1からServer 3へのERは管理者によって無効にされていることを意味します。