KMIP暗号化の構成

テーブルまたは構成プロパティの暗号化と復号化にリモート・サーバーのキーを使用するよう、KMIPホストを構成します。

1. KMIPエージェントを設定し、DSEをKMIPサービスに登録します。
   注: 詳細な手順については、KMIPキー・プロバイダーのドキュメントを参照してください。
   1. エージェントをダウンロードしてインストールします。
   2. KMIPホストに接続します。
   3. DSEノードを登録します。
   4. エージェントによって生成されたSSLキー・ペアを見つけます。
2. キー・ペアをPEMからDSEと互換性のあるJSK形式に変換します。
   1. すべてのユーザーの読み取りアクセス権を削除することによって、エージェントの秘密鍵ファイルのセキュリティを保護します。たとえば、Vormetric DSM KMIPエージェントでは、kmip-key.pemとkmip-host_name.pemという名前の2つのファイルが作成されます。
   2. ホーム・ディレクトリーなど、別のディレクトリーに両方のキーをコピーします。
   3. PKCS12形式のファイルをPEMファイルから生成します。

      openssl pkcs12 -export -out kmip_keystore.p12 -inkey kmip-key.pem -in kmip-host_name.pem

      ここで、

      • kmip_keystore.p12は出力ファイル名です。
      • kmip-host_name.pemはエージェントによって作成されるキー・ペアです。
   4. JKSキーストアを作成します。

      keytool -importkeystore -destkeystore kmip_keystore.jks -srcstoretype PKCS12 -srckeystore kmip_keystore.p12
      

      ここで、

      • kmip_keystore.jksは作成されるキーストア・ファイルの名前です。
      • kmip_keystore.p12は前のステップで生成されたPKC12ファイルです。

      注: プロンプトが表示されたらキーストアのパスワードを入力し、ホストに関する情報を入力します。
   5. KMIPルート証明書をJKSトラストストアにインストールします。

      keytool -import -alias kmipCA -file kmip-host_CA.pem -keystore kmip_truststore.jks
      

      注: プロンプトが表示されたらトラストストアのパスワードを入力し、ホストに関する情報を入力します。
   6. DSEがアクセスできるディレクトリーにキーストアとトラストストアを移動して、DSEアカウントに読み取り/書き込みアクセスを許可するようファイルを変更します。
   7. キーストアとトラストストアの作成に使用されるファイルを削除するか、セキュリティを保護します。
3. kmip_hostsセクション（ dse.yaml内）にホストの詳細を追加します。

   kmip_hosts:  
     kmip_group_name:
       hosts: FQDN[, FQDN , ...] 
       keystore_path: /etc/dse/conf/kmip_keystore.jks
       keystore_type: jks
       keystore_password: password
       truststore_path: /etc/dse/conf/kmip_truststore.jks
       truststore_type: jks
       truststore_password: password
       key_cache_millis: N
       timeout: N

   • 必要な設定：
     • kmip_group_name：DSE関連コマンドでKMIPホストを識別するユーザー定義のグループ名。
     • hosts：KMIPホストの完全修飾ドメイン名（FQDN）のコンマ区切りリスト。DSEはこのリスト内の順番でホストを試行します。
     • keystore_path：2で作成されたキーストアの場所。
     • keystore_type: jks：互換性のあるDSE形式。jksに設定する必要があります。
     • keystore_password：2で作成されたキーストア・ファイルのパスワード。
     • truststore_path：2で作成されたトラストストア・ファイルの場所。
     • truststore_type: jks：互換性のあるDSE形式。jksに設定する必要があります。
     • truststore_password：2で作成されたトラストストア・ファイルのパスワード。
   • 任意指定の設定は以下のとおりです。
     • key_cache_millis: N：ここで、NはDSEによってノード上のキー・キャッシュが更新される間隔です。デフォルトは300000（5分）です。
     • timeout: N：ここで、Nはソケット・タイムアウト（ミリ秒）です。デフォルトは1000です。
4. リモートKMIPサーバー上の暗号化キーをリストして、ノードがKMIPホストに接続できることを確認します。

   dsetool managekmip list kmip_group_name

   注: dsetoolがdse.yamlの変更内容を検出します。再起動は必要ありません。

   KMIPサーバーとの接続で問題が発生する場合は、「KMIP接続のトラブルシューティング」を参照してください。
5. クラスター内のすべてのノードで上記の手順を繰り返します。

リモート・ホストのKMIPキーを使用して、dse.yamlファイル内のLDAP検索とトラストストアのパスワードと、cassandra.yamlファイル内のSSLトラストストア・パスワードを保護します。

1. 構成ファイルをバックアップします。
2. KMIP暗号化キーのURLを取得します。
   • 新しいキーを作成してURLを取得するには、以下のように入力します。

     dsetool createsystemkey 'AES/ECB/PKCS5' 128 -k kmip_group_name

     以下の出力例は、dse.yamlに含まれている、IDが02-1655で名前がvormetricgroupのホストのURLを示しています。

     kmip://vormetricgroup/02-1655

   • 既存のKMIPキーを使用するには、URL構文にkmip://kmip_group_name/IDを使用します。キーIDを検索するには、以下のように入力します。

     dsetool managekmip list kmip_group_name

     たとえば、vormetricgroupには以下のキーがあります。

     Keys on vormetricgroup:
         ID                                     Name               Cipher         State                Activation Date   Creation Date              Protect Stop Date   Namespace
     02-449   82413ef3-4fa6-4d4d-9dc8-71370d731fe4_0        AES/CBC/PKCS5   Deactivated   Mon Apr 25 20:25:47 UTC 2016             n/a                            n/a         n/a
     02-540   0eb2277e-0acc-4adb-9241-1dd84dde691c_0                  AES        Active   Tue May 31 12:57:59 UTC 2016             n/a                            n/a`

     リストの2番目のキーのURLはkmip://vormetricgroup/02-540です。
3. システム・プロパティ暗号化設定をdse.yamlで構成します。
   1. システム・プロパティ暗号化を有効にします。

      config_encryption_active: true

   2. プロパティの復号化に使用されるKMIPキーのURLを設定します。

      config_encryption_key_name: KMIP_key_URL

      ここで、KMIP_key_URLの形式はkmip://kmip_group_name/key-idです（例：kmip://vormetricgroup/02-1655）。
4. プロパティごとに、プレーン・テキスト・パスワードを、dsetool encryptconfigvalueコマンドを実行して返された暗号化パスワードと置き換えます。
   1. パスワードを暗号化します。

      dsetool encryptconfigvalue

      Using system key system_key
      
      Enter value to encrypt:
      Enter again to confirm:
      
      Your encrypted value is:
      
      +Vj5oHCR/jqfA+OJE2m8zA==

   2. 古い値を、構成ファイルの新しい値（たとえば、cassandra.yamlのSSLトラストストアのパスワード）と置き換えます。

      truststore_password: +Vj5oHCR/jqfA+OJE2m8zA==

      警告: 構成ファイル・プロパティの暗号化が有効になると、保護されているプロパティのいずれかが暗号化されていない場合、DSEの起動は失敗します。
5. 任意。システム・リソース暗号化を設定します。
6. ローリング再起動を実行します。

KMIPキーを使用して、system.batchlogテーブル、system.paxosテーブル、ヒント・ファイル、およびコミット・ログを暗号化します。

1. dse.yaml ファイルで、システム・テーブル、コミット・ログ、ヒント・ファイルの暗号化設定を構成します。

   system_info_encryption:
     enabled: ( true | false )
     cipher_algorithm: cipher_name
     secret_key_strength: length
     key_provider: KmipKeyProviderFactory
     kmip_host: kmip_group_name
     chunk_length_kb: 64

   • 必須プロパティ：
     • enabled: trueに設定します。次回の起動時に、システム・リソースが暗号化されます。システム・テーブルに既存のデータが含まれている場合は、nodetool upgradesstablesを使用して暗号化を適用します。
     • key_provider：KmipKeyProviderFactoryに設定します。
     • kmip_host：kmip_hostsセクションのグループ名を使用します。
   • 任意。KMIPにより、互換性のあるキーを確実に生成するには、使用する暗号化キーのタイプを構成します。
     • cipher_algorithm：サポートされているJCE暗号化アルゴリズムのうち、使用するアルゴリズムの名前を設定します。DSEは以下のアルゴリズムをサポートしています。

       表 1. サポートされている暗号化アルゴリズム名

       cipher_algorithm	secret_key_strength
       AES	128、192、または256
       DES	56
       DESede	112または168
       Blowfish	32-448
       RC2	40-128

     • secret_key_strength：キー長を指定します。
     • chunk_length_kb：SSTableのチャンク・サイズを構成します。オプションを指定しない場合は、デフォルト（64）が使用されます。
     これらのプロパティが設定されている場合、DSEはその条件に一致するキーのみを使用します。一致するキーが存在しない場合、起動は失敗します。
2. ローリング再起動を実行します。
3. 既存のデータを暗号化するには、クラスター内のすべてのノードでnodetool upgradesstables -a system batchlog paxosを実行します。

KMIPキーを使用して、テーブル・データに格納されたデータを暗号化します。

1. KMIPサーバーのキーを使用して新しい暗号化テーブルを作成するには、以下の手順を実行します。
   • 圧縮なしの暗号化：

     CREATE TABLE customers 
       ...
       WITH COMPRESSION =
       { 'class': 'Encryptor',
       'key_provider': 'KmipKeyProviderFactory',  
       'kmip_host': 'kmip_group_name' 
         ['key_namespace' = 'kmip_namespace'], 
       'cipher_algorithm': 'AES/ECB/PKCS5Padding',
       'secret_key_strength': 128 };

     • 'key_provider': 'KmipKeyProviderFactory'は、KMIPキー・サーバーを使用してその暗号化キーを管理するように暗号化機能に指示します。KMIPキー・サーバーを使用するように指定する場合のみ、‘key provider’エントリーを含めます。それ以外の場合は、このエントリーを省略します。
     • 'kmip_host': 'kmip_group_name'は、kmip_hostsセクション（dse.yaml ファイル内）で定義されているユーザー定義KMIPキー・サーバー・グループ名を指定します。
     • 'kmip_host': 'kmip_group_name' ['key_namespace' = 'kmip_namespace']は、任意のKMIP名前空間を指定します。名前空間を使用すると、テーブルまたはキースペースごとにキーを詳細に管理できます。
   • 圧縮と暗号化：

     CREATE TABLE customers 
       ...
       WITH COMPRESSION =
       { 'class': 'EncryptingDeflateCompressor',
       'key_provider': 'KmipKeyProviderFactory',
       'kmip_host': 'kmip_group_name',
       'cipher_algorithm': 'AES/ECB/PKCS5Padding',
       'secret_key_strength': 128 };

2. 既存のテーブルを暗号化するには、以下の手順を実行します。
   1. テーブルの圧縮設定を変更します。
      • 圧縮なしの暗号化：

        ALTER TABLE customers 
          ...
          WITH COMPRESSION =
          { 'class': 'Encryptor',
          'key_provider': 'KmipKeyProviderFactory',  
          'kmip_host': 'kmip_group_name' 
            ['key_namespace' = 'kmip_namespace'], 
          'cipher_algorithm': 'AES/ECB/PKCS5Padding',
          'secret_key_strength': 128 };

        • 'key_provider': 'KmipKeyProviderFactory'は、KMIPキー・サーバーを使用してその暗号化キーを管理するように暗号化機能に指示します。KMIPキー・サーバーを使用するように指定する場合のみ、‘key provider’エントリーを含めます。それ以外の場合は、このエントリーを省略します。
        • 'kmip_host': 'kmip_group_name'は、kmip_hostsセクション（dse.yamlファイル内）で定義されているユーザー定義KMIPキー・サーバー・グループ名を指定します。
        • ['key_namespace' = 'kmip_namespace']は、任意のKMIP名前空間を指定します。名前空間を使用すると、テーブルまたはキースペースごとにキーを詳細に管理できます。
      • 圧縮と暗号化：

        ALTER TABLE customers 
          ...
          WITH COMPRESSION =
          { 'class': 'EncryptingDeflateCompressor',
          'key_provider': 'KmipKeyProviderFactory',
          'kmip_host': 'kmip_group_name',
          'cipher_algorithm': 'AES/ECB/PKCS5Padding',
          'secret_key_strength': 128 };

   2. クラスター内のすべてのノードで既存のデータを暗号化します。

   nodetool upgradesstables -a [keyspace_name [table_name[ tablename]...]

復号化に使用されるキーを変更せずに、データの暗号化に使用されるKMIPキーを変更します。

1. KMIPサーバーから使用可能なキーと状態のリストを取得します。

   dsetool managekmip list kmip_group_name

   たとえば、vormetricgroupという名前のホストに2つのキーがあるとします。

   Keys on vormetricgroup:
       ID                                     Name               Cipher         State                Activation Date   Creation Date              Protect Stop Date   Namespace
   02-449   82413ef3-4fa6-4d4d-9dc8-71370d731fe4_0        AES/CBC/PKCS5   Deactivated   Mon Apr 25 20:25:47 UTC 2016             n/a                            n/a         n/a
   02-540   0eb2277e-0acc-4adb-9241-1dd84dde691c_0                  AES        Active   Tue May 31 12:57:59 UTC 2016             n/a                            n/a

   注: DSEは、1つ以上のKMIPホストをサポートしています。各KMIPホストは、dse.yamlファイルのkmip_hostsセクションのユーザー定義kmip_group_nameで定義されています。
2. キーの期限を設定します。
   • キーを直ちに期限切れにします。

     dsetool managekmip expirekey kmip_group_name key_id 

   • 有効期日をスケジュールします。

     dsetool managekmip expirekey kmip_group_name key_id datetime

     注: キーの期限が切れると、データベースは、次回キー・キャッシュ（key_cache_millis）が更新されたときに暗号化用の新しいキーを取得します。デフォルト設定は5分です。期限切れになったキーは、データの復号化には引き続き使用できます。
3. 必要に応じて、ローリング再起動を実行して、DSEキー・キャッシュを強制的に更新します。

テーブル・データの暗号化に現在使用している侵害されたキーを取り消し、新しいキーを使用して既存のデータを再度暗号化します。

1. SSTableのバックアップを作成します。
2. dsetool managekmip revokeを使用して、侵害されたキーを取り消します。
   1. KMIPサーバーから取り消すKMIP暗号化キーのIDを確認します。

      dsetool managekmip list kmip_groupname

      アクティブと非アクティブの2つのキーを持つKMIPサーバーの例を以下に示します。

      ID                                     Name          Cipher         State                Activation Date   Creation Date              Protect Stop Date   Namespace
      02-449   82413ef3-4fa6-4d4d-9dc8-71370d731fe4_0   AES/CBC/PKCS5   Deactivated   Mon Apr 25 20:25:47 UTC 2016             n/a                            n/a         n/a
      02-540   0eb2277e-0acc-4adb-9241-1dd84dde691c_0             AES        Active   Tue May 31 12:57:59 UTC 2016             n/a                            n/a         n/a

      注: DSEは、1つ以上のKMIPホストをサポートしています。各KMIPホストは、dse.yamlファイルのkmip_hostsセクションのユーザー定義kmip_group_nameで定義されています。
   2. IDを使用して置き換えるキーを取り消します。

      dsetool managekmip expirekey kmip_groupname key_id

      警告: 恒久的に取り消すと、KMIPサーバーでそのキーは非アクティブ化されます。キー・キャッシュが更新されると、暗号化/復号化用の新しいキーが自動的に作成されます。取り消したキーを使用して既存のデータを復号化します。取り消したキーは、既存のデータを再度暗号化するまで破棄しないでください。
   3. キーの状態（State）が非アクティブ（Deactivated）であることを確認します。

      dsetool managekmip list kmip_groupname

      2つのキーを持つKMIPサーバーの例を以下に示します。

      ID                                     Name               Cipher         State                Activation Date   Creation Date              Protect Stop Date   Namespace
      02-449   82413ef3-4fa6-4d4d-9dc8-71370d731fe4_0        AES/CBC/PKCS5   Deactivated   Mon Apr 25 20:25:47 UTC 2016             n/a                            n/a         n/a
      02-540   0eb2277e-0acc-4adb-9241-1dd84dde691c_0                  AES   Deactivated   Tue May 31 12:57:59 UTC 2016             n/a   Thu Jul 27 17:16:38 UTC 2017
      

3. 以下のいずれかの方法を使用して、データベース・キー・キャッシュを更新します。
   • key_cache_millis設定で指定されている時間待ってから、次のステップに進みます。
   • ローリングの再起動を実行します。「DataStax Enterpriseの起動と停止」を参照してください。

   注: KMIPキーは、DSEノードでキャッシュされます。キャッシュが更新され、key_cache_millisの経過後、KMIPサーバーによって新しいキーが自動的に生成されます。デフォルト設定は5分です。
4. （任意）DESCキースペース・コマンドを使用して新しいキーで再度暗号化するため、影響を受けるテーブルのリストを表示します。
   たとえば、KMIPグループを使用するcyclingキースペース内のテーブルをすべて表示するには、以下のように入力します。

   DESC KEYSPACE cycling

5. notetool upgradesstablesを使用して、新しいキーを使用する暗号化されたSSTableを再度書き込みます。クラスターのすべてのノードで以下のコマンドを実行します。
   • 対象が特定のテーブルのみの場合：

     nodetool upgradesstables --include-all-sstables keyspace_name table_name [table_name …]

   • 対象が特定のキースペースの場合：

     nodetool upgradesstables --include-all-sstables keyspace_name

   • 対象がすべてのキースペースとテーブルの場合：

     nodetool upgradesstables --include-all-sstables

6. （任意）それ以降、復号化に使用できないようにするには、暗号化キーを削除します。

   dsetool managekmip destroy key_id

   警告: バックアップされているSSTableのみ、古いキーを使用してアクセスできます。キーを削除する前に、データにアクセスできることを確認してください。