のセキュリティと暗号化 NCache

NCache 強力なセットを提供します セキュリティ パフォーマンスを損なうことなく分散キャッシュ環境を保護するために設計された機能を備えています。例えば、アクセス制御機能により、特定のキャッシュやノードに対するユーザー権限を定義し、許可されたユーザーのみが特定の操作を実行できるようにすることができます。さらに、LDAP統合により集中認証が可能になり、システム全体の安全なアクセス管理が容易になります。

さらに、機密データを保護するために、 データ暗号化 AES、3DES、AES FIPSなどのアルゴリズムを使用して、メモリ内と送信中の両方でセキュリティを確保します。ただし、パフォーマンスコストが追加されます。より効率的なネットワークセキュリティのために、 TLS暗号化 クライアント、サーバー、ブリッジ間の通信を少ないオーバーヘッドで保護し、保護する通信パスを選択できるようにします。さらに、 HTTPSサポート アクセスを確保します NCache WindowsとLinuxの両方でTLS証明書を使用して管理センターにアクセスし、安全で暗号化された管理アクセスを確保します。これらのセキュリティ機能は NCache 主に次の3つの領域に分類されます。

1. ユーザーセキュリティ
2. Encryption
3. トランスポート層セキュリティ

認証

NCache ロールベースのアクセス制御（RBAC）を実装し、許可されたユーザーのみがクラスタにアクセスまたは管理できるようにします。LDAP対応ディレクトリサービス（Microsoft Active Directoryなど）とネイティブに統合することで、 NCache 集中認証を実施することで、組織は既存のアイデンティティインフラストラクチャ内でセキュリティポリシーを管理できるようになります。 NCache セキュリティが有効になっている場合、キャッシュクラスタへのすべての接続は、まずキャッシュサーバーのLDAPディレクトリに対して認証される必要があります。このプロセスでは、ユーザーはユーザー名、識別名（DN）、およびパスワードを入力する必要があります。これらの認証情報が認証に失敗した場合には、接続要求は拒否されます。

このシナリオでは、ドメインコントローラとの接続が切断されると検証に失敗し、ユーザーは操作を実行できなくなります。これを回避するには、 NCache 認証情報キャッシュ機能を提供し、ユーザーの認証情報は NCache これにより、既に認証済みのユーザーは、プロセスの実行中に再度認証する必要がなくなります。デフォルトでは無効になっていますが、ユーザーはサービス設定ファイルで有効にすることができます。セキュリティレベルに応じて、以下の場所でユーザー認証情報を指定する必要があります。詳細については、 NCache ドキュメント.

• ノード管理者: 次のようにノード管理者を追加します。

  Add-NCacheUserOrGroup -Server 20.200.20.40 -AccessLevel Admin -AdminCredentials(Get-Credential john_smith) -UserOrGroupName john_smith -UserOrGroupDN "CN=John Smith,OU=engineers,DC=example,DC=com" -DomainController test_domain

  そして、次のことができます セキュリティを有効にする 下記の通りです:

  Enable-NCacheSecurity -Server 20.200.20.40 -AdminCredentials(Get-Credential john_smith) -WriteCredentialsToServiceConfig

  ノードレベルのセキュリティを設定するには、 NCache 管理センター.

• キャッシュユーザー:

  ノードとそのキャッシュのセキュリティ保護が完了しました。前述のとおり、特定のユーザーに対して完全な管理権限なしでキャッシュ操作のみを許可するには、そのユーザーをキャッシュユーザーとして追加します。ノード管理者にも同じコマンドレットを使用し、AccessLevel に Cache を指定し、CacheName（ユーザーがアクセスするキャッシュの名前）を指定します。以下のコマンドを実行してください。

  Add-NCacheUserOrGroup -Server 20.200.20.40 -AccessLevel Cache -CacheName demoCache -AdminCredentials(Get-Credential john_smith) -UserOrGroupName john_smith -UserOrGroupDN "CN=John Smith,OU=engineers,DC=example,DC=com" -DomainController test_domain -EnableSecurity Yes

  資格情報も設定できます プログラムで必要なユーザー資格情報を使用してこのメ​​ソッドを呼び出す方法の例を以下に示します。

  // Specify cache name and user credentials
  string cacheName = "demoCache";
  string userId = "userid";
  string password = "mypassword";
  
  // Initialize the CacheConnectionOptions
  var options = new CacheConnectionOptions();
  
  // Enter the credentials
  options.UserCredentials = new Credentials(userId, password);
  
  // Connect to the cache using the security credentials
  ICache cache = CacheManager.GetCache(cacheName, options);

均一なセキュリティ設定

1つのノードのセキュリティ設定が完了したら、そのクラスタ内のすべてのノードで同様のセキュリティ設定が行われていることを確認する必要があります。1つのノードでノード管理者として機能しているユーザーは、そのクラスタ内の他のすべてのノードでも管理者である必要があります。同様に、1つのノードでキャッシュユーザーとして機能しているユーザーは、残りのノードでもキャッシュユーザーである必要があります。クラスタ内のすべてのノードで均一なセキュリティ設定が確保されていない場合、キャッシュの管理および運用中にさまざまな問題が発生する可能性があります。

Authorization

後 NCache キャッシュへの接続を正常に認証し、チェックします NCache キャッシュサーバーの設定ファイルを使用して、この接続を承認します。接続がアクティブディレクトリに対して認証されると、 セキュリティ.ncconf ファイルまたは client.ncconf それぞれ、ノード レベルのセキュリティを使用しているか、キャッシュ レベルのセキュリティを使用しているかによって異なります。

暗号化キー管理

暗号化キー管理 NCache 以下で説明するように、キー暗号化キー (KEK)、データ暗号化キー (DEK)、資格情報暗号化キー (CEK) を含むすべての暗号化キーを安全に処理する必要があります。

• キー暗号化キー (KEK): AES 256暗号化に基づくキー暗号化キー（KEK）は、データ暗号化キー（DEK）を暗号化することで保護します。このキーは、 NCache サーバー上のサービス構成ファイル。分散環境内のすべてのキャッシュサーバー間で一貫性とセキュリティを確保するには、各サーバーで同じキー暗号化キー（KEK）を使用する必要があります。
• データ暗号化キー（DEK）： データ暗号化キー（DEK）は、ユーザーデータをキャッシュに保存する前に暗号化する役割を担います。このDEK自体もKEKを使用して暗号化されます。このアプローチにより、許可されたツールまたはプロセスのみが暗号化キーを取得して使用できるようになります。
• 資格情報暗号化キー (CEK): NCache クライアント設定ファイル（client.ncconf）に保存されているユーザー認証情報を認証情報暗号化キー（CEK）を使用して暗号化します。このキーは、 NCache サービス構成ファイル。KEKと同様に、各サーバーで同じ資格情報暗号化キー（CEK）を使用する必要があります。これにより、一貫性が確保され、分散環境におけるクライアント資格情報を効果的に保護できます。

RSA暗号化（公開鍵/秘密鍵トランスポート）

暗号化キーとユーザー認証情報を安全に交換するために、 NCache RSAベースの公開鍵/秘密鍵暗号化を採用しています。RSA暗号化は、クライアントとサーバー間の通信、およびサーバー間の交換における鍵と資格情報の転送にのみ使用されます。

• RSA は、キー交換プロセス中にユーザー資格情報、KEK、および CEK の送信を保護します。
• 参加する各コンポーネントは、実行時に公開/秘密 RSA キー ペアを動的に生成し、安全なキー交換を実行します。
• これにより、トランスポート層セキュリティ (TLS) 暗号化が適用される前であっても、機密キーと資格情報がプレーンテキストで送信されることがなくなります。

NCache セキュリティ: FIPS と RBAC マトリックス

次はどうする？

• NCache Details
• 30日間の無料インストールキーをダウンロード
• パーソナライズされたLIVEデモをリクエストする
• 製品ドキュメントを読む

よくある質問（FAQ）

か NCache FIPS 準拠の暗号化をサポートしていますか?

Yes. NCache AES-FIPS（連邦情報処理標準）をサポートしており、これは政府機関や規制の厳しい業界の組織にとって不可欠です。これにより、分散キャッシュ内のすべてのデータが厳格な連邦セキュリティ要件を満たすことが保証されます。

クライアント側暗号化はパフォーマンスをどのように向上させるのか NCache?

NCache クライアントアプリケーションプロセス内でデータの暗号化と復号化を実行します。ネットワーク経由で送信される前にデータを暗号化することで、 NCache 暗号文のみがネットワーク上を移動し、キャッシュに保存されることを保証します。これにより、キャッシュサーバーの処理負荷が軽減され、ゼロトラスト環境が維持されます。

統合できますか NCache 既存の Active Directory と連携できますか?

絶対に。 NCache ネイティブLDAP統合により、既存のMicrosoft Active Directoryやその他のLDAP対応ディレクトリサービスを利用して一元的な認証を行うことができます。これにより、組織の既存のIDインフラストラクチャを活用し、ユーザー管理を簡素化できます。

通常のTLSと相互TLS（mTLS）の違いは何ですか？ NCache?

通常のTLSはサーバー側認証を提供し、クライアントがサーバーのIDを検証します。相互TLS（mTLS）は、クライアントにも証明書の提供を要求することでセキュリティをさらに強化し、データ交換前に接続の両端で検証が行われるようにします。

か NCache ロールベースのセキュリティを提供しますか?

Yes. NCache 完全なクラスター管理権限を持つノード管理者と、「最小権限の原則」に基づいて基本的なデータ API 操作 (追加、取得、削除) に制限されたキャッシュ ユーザーという 2 つの主なレベルを持つロールベースのアクセス制御 (RBAC) モデルを使用します。