セキュリティ・チェックリスト

DataStax Enterpriseセキュリティ機能を使用して、トランザクション・ノードのセキュリティを保護します。

DataStax Enterpriseデータベース・ノードのセキュリティ：

• 認証：
  既知のユーザーのみにデータベースへの接続を制限します。DSEは、以下の認証方法を使用したユーザーの検証をサポートしています。

  • 内部：内部データベースへの認証情報の格納
  • LDAP：Active Directoryなどの外部LDAPサービス
  • Kerberos：外部のKey Distribution Server（KDS）に対して確認されるMIT Kerberosチケット

  「DSE Unified Authentication（DSE統合認証）の構成」を参照してください。

  制約事項: DSE Unified Authentication（DSE統合認証）は、データベース接続に対してのみサポートされています。ゴシップなどのノード間通信を認証するには、ノード間のSSL証明書を使用します。
• 権限管理：
  ロール・ベース・アクセス制御（RBAC）を使用して、認証ユーザーのデータベース・リソースへのアクセスを制限します。DSEは、以下の方法を使用したロール管理をサポートしています。

  • 内部データベース：ユーザー名またはプリンシパル名とロールの1対1のマッピング
  • LDAP：1対多のマッピング。LDAPにおいて、ユーザーがメンバーであるグループに一致するすべてのロールがユーザーに割り当てられます。

  DataStaxは、認証が有効な場合のRBACのみをサポートしています。「ロールの管理」および「データベース・リソースへのアクセスの権限管理」を参照してください。

• アクティビティーの監査：

  データベース・リソースのアクティビティーをログに記録し、監視します。「DataStax Enterpriseのデータ監査の有効化」を参照してください。

• 透過的なデータ暗号化（TDE）：
  保存されているデータを保護します。DSEは機密データの暗号化において以下のデータを暗号化します。

  • テーブル全体（常にプレーン・テキストで格納されるパーティション・キーを除く）
  • システム・テーブルなど、データが含まれているSSTable（system.batchlogやsystem.paxosなど）
  • 検索インデックス
  • ファイルベースのヒント（DSE 5.0以降）
  • コミット・ログ
  • dse.yamlおよびcassandra.yamlの機密性の高いプロパティ

  外部のKMIPまたはローカル・サービスを使用してデータを暗号化します。「透過的なデータ暗号化について」を参照してください。

• SSLを使用した転送中のデータの暗号化

  クライアントとデータベース間およびクラスター内のノード間の通信のセキュリティを保護します。「SSLの構成」を参照してください。

DSE Searchのセキュリティ保護

DataStax Enterpriseでは、セキュアなエンタープライズ検索をサポートしています。 セキュリティ・チェックリスト には、DSE Searchやその他の統合コンポーネントのセキュリティ機能についてまとめてあります。

• 認証
  DataStaxでは、Solr Admin UIを使用する場合とSolrJ APIを使用してcURLを含むコマンドを実行する場合はKerberos認証の使用を推奨しています。

  • DSE SearchクライアントをKerberos認証で認証するには、Simple and Protected GSSAPI Negotiation Mechanism（SPNEGO）を使用します。
  • Kerberos認証を使ってDSE Searchクラスターに対してSolrJ APIを使用するには、クライアント・アプリケーション側が、solrj-auth-README.mdファイルの記述に従って、SolrJ-AuthライブラリーとDataStax Enterprise SolrJコンポーネントを使用する必要があります。
  • を定義します。
  • 「DSE Unified Authentication（DSE統合認証）の有効化」に従い、CQLシェルを使用してインデックス管理タスクを実行します。
• 権限管理

  検索インデックスに関するパーミッションを指定するには、認証済みユーザーにロールベース・アクセス制御（RBAC）を使用します。「ロールの管理」、「検索インデックス・パーミッションの管理」、「」を参照してください。行レベル・アクセス制御（RLAC）を使用した行レベルのパーミッションの設定は、DSE SearchまたはDSE Graphでの使用はサポートされていません。

• アクティビティーの監査

  データベース・リソースのアクティビティーをログに記録し、監視します。「DataStax Enterpriseのデータ監査の有効化」を参照してください。

• 透過的なデータ暗号化（TDE）

  保存されているデータを保護します。DSEでは、検索インデックスの機密データにKMIPまたはローカル暗号化を利用できます。「検索インデックスの暗号化」を参照してください。

• SSLを使用した転送中のデータの暗号化

  DSESearchノードでクライアントとノード間の暗号化を使用して、HTTPクライアントとCQLシェル間でSSLを使用する接続を暗号化します。「SSLの構成」を参照してください。

  注: SSLを使用する特定のセキュリティ要件を満たすために、DSE Searchへのクライアント接続のIPアドレスを変更できます。たとえば、サブネットを分離するなどの目的で変更します。

DSE Analyticsのセキュリティ保護。

DataStax Enterpriseのセキュリティ機能を使用して、DSE Graphデータ全体、または部分的にセキュリティを保護します。