集合のセキュリティー
Liberty プロファイルでの集合セキュリティーの原則を使用して、Data in Motion (流れているデータ) と Data at Rest (保存されたデータ) に対応することができます。
- 集合の管理可能ドメイン・セキュリティー構成は、次の 2 つの部分で構成されます。
ユーザーが集合コントローラーの MBean にアクセスするには、ユーザーが管理者ロールでなければなりません。 集合を通じた管理アクションではすべて、ユーザーに管理者ロールが付与されていることが必要です。 全詳細については、『Liberty プロファイルへのセキュア JMX 接続の構成』を参照してください。
サーバー間通信はサーバー・ドメイン内であるため、集合のメンバー間の通信にはユーザー ID もパスワードも使用されません。 集合の各メンバーには、ホスト名、ユーザー・ディレクトリー、およびサーバー名で構成される、集合内で固有な ID があります。 集合内の各メンバーは、そのサーバー・ドメイン構成を定義します。 これは、serverIdentity.jks ファイルと collectiveTrust.jks ファイルで構成されます。 集合内でセキュア通信を確立するために必要な SSL 証明書が、これらのファイルに含まれています。 HTTPS 鍵の構成には特定のトラスト設定が必要で、これらはデフォルトで設定されています。
サーバー・ドメインの SSL 構成は、追加のトラステッド証明書のエントリーを collectiveTrust.jks 鍵ストアに追加することでカスタマイズできます。 コントローラーの複製時にすべてのトラストがコピーされるため、SSL のカスタマイズは最初のコントローラーに適用してください。 collectiveTrust.jks 鍵ストアへのトラストの追加は、 デフォルトの HTTPS 証明書が使用されない場合にのみ必要です。 HTTPS SSL 構成が変更された場合は、以下の証明書の規則が適用されます。サーバー間通信には、SSL 認証がサポートされていることが必要です。 HTTPS SSL 構成がカスタマイズされている場合には、SSL 構成に clientAuthenticationSupported="true" を指定する必要があります。 clientAuthenticationRequired="true" は、ユーザー名とパスワードによる認証ができなくなるため、使用しないことをお勧めします。 以下に例を示します。<!-- clientAuthenticationSupported set to enable bidirectional trust --> <ssl id="defaultSSLConfig" keyStoreRef="defaultKeyStore" trustStoreRef="defaultTrustStore" clientAuthenticationSupported="true" />
CollectiveRegistration MBean を使用して、メンバーが集合コントローラーに情報を公開しないようにすることができます。 disavow メソッドと avow メソッドは、それぞれ認証の阻止と有効化を行います。
集合リポジトリーのデータ・セキュリティー・ポリシーは、Data at Rest (保存されたデータ) のポリシー、特に、 集合リポジトリーの内容へのアクセスに関するポリシーに対応します。
集合データに関する現行のセキュリティー・ポリシーは、以下のとおりです。集合リポジトリーは根本的にはディスク上に存在するため、 ファイル・システム許可の設定が環境にとって安全なものでなければなりません。 集合コントローラーの構成は、当該ユーザーのみから読み取り/書き込み可能、当該グループのみから読み取り可能で、 一般からは全くアクセス不能 (つまり、 chmod 0640) にすることが推奨されます。 組織で設定されたセキュリティー・ガイドラインがあれば、それに従ってください。