セキュリティ
NCache 認証、認可、暗号化された通信を通じてキャッシュサーバーノードを保護するセキュリティフレームワークを提供します。LDAP/Active Directoryベースのユーザー検証、ロールベースのアクセスをサポートしています。 NCache 運用、RSAベースの認証情報交換、およびTLS暗号化による安全な通信。この多層構造のアプローチにより、管理層とデータ層へのアクセスが分離され、認証されたユーザーのみがキャッシュとやり取りできると同時に、ラインレートのスループットが維持されます。
認証と承認
NCache LDAP統合セキュリティ機能により、キャッシュノードを保護します。ノードが保護されると、そのノードには2つのアクセスレベルが定義されます。
- マシンレベルの認証これは、対象サーバー上のOSレベルの管理者によって実行されます。
- NCache-レベル認証: これは誰が管理できるかを制御します NCache そして、保護されたキャッシュにアクセスできるのは誰でしょうか。
お願い
保護されたノード上のすべてのキャッシュは自動的に保護されます。
OS レベルの管理者（マシン管理者とも呼ばれる）は、サーバー マシン上でローカル管理者権限を持つユーザーです。このユーザーは、LDAP または Active Directory ユーザーである必要はありません。マシン管理者が追加されていない場合、 NCache セキュリティ上、ユーザーはノード管理者またはキャッシュユーザーとして扱われません。このようなユーザーは、有効化または無効化のみを許可できます。 NCache セキュリティ。
Once NCache ノードでセキュリティが有効になっている場合、 NCache 管理およびキャッシュ操作の承認には、登録済みのセキュリティユーザーを使用します。 NCache 以下の種類のセキュリティユーザーをサポートします。
- ノード管理者
- ユーザーをキャッシュする
- gMSAキャッシュユーザー
マシン管理者
マシン管理者は、サーバー上でローカル管理者権限を持つ OS レベルのユーザーです。 NCache セキュリティを有効化または無効化します。このユーザーは、マシンレベルでのセキュリティ構成変更を承認するために使用されます。
マシン管理者は自動的に付与されるわけではありません NCache 管理権限またはキャッシュアクセス権限を実行するには、 NCache セキュリティが有効になった後の管理操作では、ユーザーをノード管理者として追加する必要があります。 NCache セキュリティ。
マシン管理者アカウントがLDAPまたはActive Directoryディレクトリを照会できない場合は、別のディレクトリ参照資格情報を提供して、ノード管理者の身元を検証できます。
ノード管理者
ノード管理者は、 スーパーユーザー また、キャッシュを完全に制御でき、キャッシュの作成、変更、削除、その他あらゆるキャッシュ管理操作を実行できます。
ユーザーをキャッシュする
一部のユーザーをキャッシュAPIへのアクセスのみに制限し、管理操作の実行を禁止したい場合は、そのユーザーをキャッシュユーザーとして設定してください。キャッシュユーザーは、関連するAPIを介してのみ、追加、削除、更新、取得などのデータ操作を実行できます。
ユーザーごとに異なるアクセスレベルを定義したくない場合、つまりすべてのユーザーがキャッシュに対してあらゆる種類の操作を実行できるようにしたい場合は、キャッシュユーザーを設定する必要はありません。ノード管理者は既にキャッシュを管理および操作する権限を持っているためです。
gMSAキャッシュユーザー
NCache gMSA アカウントを、特定の条件下で動作するアプリケーションの特別なタイプのキャッシュ ユーザーとしてサポートします。 Windows gMSA ID標準の LDAP ユーザーとは異なり、gMSA アカウントではパスワードの提供や保存は不要です。 NCache クライアント SDK は実行時に Windows から Kerberos トークンを自動的に取得し、認証を Windows 認証 (SSPI/LSA) に委任します。Windows 認証は Kerberos キー配布センター (KDC) から Kerberos チケットを取得します。gMSA アカウントは次のように追加できます。 キャッシュユーザー（ノード管理者以外） 認証は、標準のLDAPユーザーと同様にActive Directoryに対して行われます。アカウント名を指定する際には、「$」サフィックスを使用する必要があります（例：user1gmsa$）。
お願い
gMSAアカウントは以下のようにサポートされています キャッシュユーザー gMSA のみ。gMSA のサポートには NCache 5.3.7以上.
認証情報の検証とキャッシュ
NCache 構成済みのドメイン コントローラーを介して LDAP および Active Directory ユーザーを検証します。ユーザーまたはグループが追加されると、 NCache セキュリティ、 NCache ディレクトリ内にそのIDが存在することを確認します。
検証中にドメインコントローラーが利用できない場合、操作は失敗し、ユーザーの追加や認証はできません。
プロセスのライフサイクル中に繰り返される認証を減らすために、 NCache 認証情報キャッシュを提供します。有効にすると、既に認証されたユーザーの認証情報がキャッシュされます。 NCache そのため、ユーザーは同じプロセスライフサイクル中に繰り返し認証を受ける必要がなくなります。
認証情報のキャッシュはデフォルトでは無効になっています。有効にするには、 NCacheServer.EnableCredentialCaching タグをTrueに NCache サービス構成ファイル。
同種のセキュリティ設定
1つのノードのセキュリティ設定が完了したら、そのクラスタ内のすべてのノードで同様のセキュリティ設定が行われていることを確認する必要があります。1つのノードでノード管理者として機能しているユーザーは、そのクラスタ内の他のすべてのノードでも管理者である必要があります。同様に、1つのノードでキャッシュユーザーとして機能しているユーザーは、残りのノードでもキャッシュユーザーである必要があります。
クラスタ内のすべてのノードで均一なセキュリティ設定が確保されていない場合、キャッシュの管理および運用中にさまざまな問題が発生する可能性があります。
お願い
- キャッシュ クラスター内の最初のノードとして保護されたノードを使用すると、脆弱なノードの追加を防ぐ必要があります。
- キャッシュ クラスター内の最初のノードとして脆弱なノードがあると、保護されたノードの追加が妨げられます。
データ暗号化
分散キャッシュ システムでは、通信は主にネットワーク チャネル経由で行われます。 データはシリアル化された形式で送信され、キャッシュ内に常駐するため、接続を盗聴する人は、データが暗号化されていない場合、簡単に傍受できます。 NCache データ暗号化により、情報を暗号文に変換できます。許可された人（適切な鍵を持つ人）だけがコードを解読し、元の情報にアクセスできます。 NCache AES、3DES、AES FIPSをサポート 暗号化アルゴリズム.
データ暗号化ワークフロー
キャッシュにデータを追加すると、設定された暗号化アルゴリズムと暗号化キーを使用してクライアント側で暗号化されます。暗号化されたデータはキャッシュに保存されるため、データの安全性が確保されます。暗号化されたデータが取得される際には、キャッシュから取得され、クライアント側で復号されてから使用されます。このエンドツーエンドの暗号化アプローチにより、転送中と保存中の両方でデータが保護され、安全性が確保されます。 NCache 機密情報をキャッシュするための安全なソリューション。
暗号化キー管理
暗号化キー管理 NCache すべての暗号化キーを安全に扱うことが含まれます。 キー暗号化キー（KEK）, データ暗号化キー（DEK）, 資格情報暗号化キー（CEK）以下で説明する通りです。
キー暗号化キー（KEK）: AES 256暗号化に基づくキー暗号化キー（KEK）は、データ暗号化キー（DEK）を暗号化することで保護します。このキーは、 NCache サーバー上のサービス構成ファイル。分散環境内のすべてのキャッシュサーバー間で一貫性とセキュリティを確保するには、各サーバーで同じキー暗号化キー（KEK）を使用する必要があります。
データ暗号化キー（DEK）データ暗号化キー（DEK）は、ユーザーデータをキャッシュに保存する前に暗号化する役割を担います。このDEK自体もKEKを使用して暗号化されます。このアプローチにより、許可されたツールまたはプロセスのみが暗号化キーを取得して使用できるようになります。
資格情報暗号化キー（CEK）: NCache クライアント構成ファイルに保存されているユーザー資格情報を暗号化します（client.ncconf）を認証情報暗号化キー（CEK）を使用して暗号化します。このキーは、 NCache サービス構成ファイル。KEKと同様に、各サーバーで同じ資格情報暗号化キー（CEK）を使用する必要があります。これにより、一貫性が確保され、分散環境におけるクライアント資格情報を効果的に保護できます。
管理ツールの鍵交換と認証メカニズム
NCache 管理ツールの安全な鍵交換と認証のために高度な暗号化技術を採用しています。 NCache 以下で説明するように、Management Center、PowerShell など。
キー暗号化キー管理
管理ツールの場合、鍵交換プロセスでは、プロセスのライフサイクル中にRSA-256公開鍵/秘密鍵ペアが生成されます。ツールは公開鍵をサーバーと共有します。サーバーはこの公開鍵を使用してKEKを暗号化し、暗号化されたKEKをツールと共有します。管理ツールは秘密鍵を使用してKEKを復号化します。このRSA鍵ペアはツールのライフサイクル期間中のみ有効であるため、短時間で安全な交換が保証されます。ユーザーアクセス制御（UAC）が有効になっている場合、承認されたツールとクライアントのみがサーバーからKEKを取得できます。
資格情報暗号化キー管理
管理ツールは、RSA ベースの安全な鍵交換を使用してキャッシュサーバーから CEK を取得します。KEK 管理と同様に、ツールはライフサイクル中に RSA-256 公開鍵/秘密鍵ペアを生成します。公開鍵はサーバーと共有され、サーバーはツールの公開鍵を使用して CEK を暗号化し、暗号化された CEK をツールと共有します。その後、管理ツールは秘密鍵を使用して CEK を復号し、それを使用してユーザー認証情報を暗号化します。 client.ncconf ファイルにソフトウェアを指定する必要があります。
クライアント向け鍵交換
同様に、クライアントはサーバーに接続し、RSAベースのセキュア鍵交換を使用してCEKを要求します。サーバーはクライアントの公開鍵でCEKを暗号化し、クライアントは秘密鍵で復号化することで、サーバーに保存されている認証情報を復号化できるようになります。 client.ncconf.
TLS暗号化
一方、 NCache 含ま データ暗号化 この機能により、メモリ内およびネットワーク経由の送信中にデータが保護されます。 ただし、データ暗号化には追加のパフォーマンス コストが伴います。 一方で、 トランスポート層セキュリティ（TLS） 業界標準の慣行に従って、ネットワーク送信中のデータを保護するためのより包括的なアプローチを提供します。
TLS もパフォーマンスに影響を与えますが、代替手段であるデータ暗号化よりもリソースの消費が少ない傾向があります。 したがって、より重要なのは、 NCache 操作には、さまざまな方法でネットワーク上を移動するデータが含まれます。
- サーバーとクライアントの間
- 異なるサーバー間
- キャッシュとブリッジの間
In NCacheTLSを使用して、ネットワーク上を流れる通信の種類を暗号化できます。これにより、データセキュリティを完全に制御できます。通常、WANレプリケーションのためのブリッジ通信など、パブリックインターネット経由のトラフィックは暗号化されます。しかし、セキュリティが重要なアプリケーションでは、クライアントとサーバー間、および異なるサーバー間のトラフィックを暗号化する必要があるでしょう。
TLS 証明書の考慮事項
TLS を実装する場合、証明書は次のいずれかに保存されます。 パーソナル または 信頼されたルート認証局ストア の両方で利用可能です user (NAIST) と ローカルマシン レベル。 ローカル マシン レベルで配置された証明書はすべてのユーザーがアクセスできますが、ユーザー レベルの証明書は特定のユーザーに限定されます。
さらに、これらの証明書には検証が必要です。 サーバー側の証明書は、クライアント側で TLS に対して検証され、クライアントが証明書発行機関を信頼しているかどうかを検証する必要があります。 公的に認められた証明書発行者を使用している場合は、クライアントの信頼されたルート証明機関ストアに発行者の証明書をインストールする必要がない場合があります。 ただし、自己署名証明書またはプライベート証明書の場合は、発行者の証明書がクライアント側の信頼されたルート証明機関ストアにインストールされていることを確認して、次のような可能性を避ける必要があります。 TLSハンドシェイク 失敗
クライアントとサーバー間で相互TLSを確立するには、クライアントもサーバーと証明書を共有する必要があります。この場合、サーバーはクライアントの証明書の発行者を信頼する必要があり、発行者の証明書はサーバーの信頼済みルート証明機関ストアにインストールされている必要があります。同様に、サーバー間でTLSを有効にする場合、通信に関与する他のサーバーは互いの証明書を検証する必要があります。
NCache サーバー ボックスで証明書を検索するときは、特定の順序に従います。
- ローカルマシン: 信頼されたルート
- ローカルマシン: 個人用
- 現在のユーザー: 信頼されたルート
- 現在のユーザー: 個人
これらの考慮事項を理解することで、 NCache TLS 暗号化はスムーズに進みます。
HTTPS NCache 管理センター
TLS と同様に、HTTPS (Hypertext Transfer Protocol Secure) は、ネットワーク上の通信を保護するために広く使用されているプロトコルです。 そのような、 NCache HTTPS をサポートします NCache TLS 証明書を使用する Windows および Linux の Management Center。
このセクションの内容
ユーザーセキュリティ
ノードとキャッシュのセキュリティを構成する方法について説明します。
gMSA
gMSA キャッシュユーザーまたはグループを追加する方法について説明します。 NCache 管理センターとPowerShellコマンド。
TLS
Windows および Linux でキャッシュの SSL 暗号化を有効にして構成する方法について説明します。
Encryption
キャッシュの暗号化を有効にして構成する方法について説明します。
HTTPS NCache 管理センター
HTTPS を有効にして構成する方法について説明します。 NCache 管理センター。
