DSE Graphのセキュリティ保護

• オブジェクト・パーミッション管理

  グラフ・キースペース（キャッシュ・データを除く）へのアクセスをアクセス・パーミッションを付与されたロールに限定します。パーミッション管理では、グラフ・データの格納に使用されるテーブルのセキュリティも保護されます。

• 透過的なデータ暗号化

  Cassandraテーブルに保存済みのデータは暗号化できます。これには、Cassandraテーブルを使用して作成されたDSE Graphインデックス暗号化も含まれます。キャッシュ・データは暗号化されません。暗号化はCassandra側で実行され、その間はパフォーマンスがわずかに低下します。

• クライアントとノード間の暗号化
  グラフ・データへのアクセスはSSLを使用して暗号化でき、DSE Graphノードではクライアントとノード間暗号化が使用できます。

  • DSE Graphノードでクライアントとノード間のSSL暗号化を有効にするには、cassandra.yamlファイル内のclient_encryption_optionsを設定します。
  • すべての暗号化アルゴリズムがサポートされるように、JCEをインストールします。

    cassandra.yaml内のserver_encryption_optionsのデフォルト・セットの一部の暗号化スイートは、Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policyファイルにのみ含まれています。すべての暗号化アルゴリズムがサポートされるように、JCE Unlimited Strength Jurisdiction Policyファイルをインストールしてください。

• 実稼働環境のDSE Graphには、Kerberos認証を使用します。

  Simple and Protected GSSAPI Negotiation Mechanism（SPNEGO）を使用して、DSE GraphユーザーをKerberos認証で認証できます。Kerberos認証とSSL暗号化をGremlin Consoleとともに使用するには、remote.yamlに以下を追加する必要があります。

  hosts:[hostname-because-it's-kerberos]
  username:null
  password:null
  jaasEntry:DseClient 
  # protocol is the the same as the service_principal set in dse.yaml
  protocol:your_dse_principal 
  connectionPool:{enableSsl:true}

  パスワードはnullに設定でき、この場合、remote.yamlで無視されます。

• graphname (キースペースである、作成されたグラフの名前)
• graphname_pvt (分割された頂点テーブルを収容しているキースペース)
• graphname_system (保存された共有情報のキースペース)

GRANT <permission type> ON KEYSPACE <graphname> TO <rolename>;
GRANT <permission type> ON KEYSPACE <graphname_pvt> TO <rolename>;
GRANT <permission type> ON KEYSPACE <graphname_system> TO <rolename>;

username:realuser
password:password
connectionPool:{enableSsl:false}