手動による鍵管理

IPSec の鍵および値は、手動で構成することができます。IKE プロトコルが標準化されるまでは、鍵の手動管理は、IPSec を実装するための唯一の非プロプラエタリー・オプションでした。手動による IPSec 構成では、データを暗号化するために使用される鍵、およびセキュリティー・アソシエーションを一意的に識別するために使用されるセキュリティー・パラメーター・インデックス (SPI) 値は、管理者により決定され、両方のホストで事前に構成されます。しかし、以下の例に示すように、暗号鍵を手動で生成するために必要なステップは、非常に面倒なものになることがあります。

• 1 つの IPSec 接続に 2 つの鍵が必要です。その理由は、暗号鍵は単一方向であるからです (インバウンド・トラフィック用に 1 つとアウトバウンド・トラフィック用に 1 つ)。
• 必要な IPSec 保護のタイプによっては、1 つの IPSec 接続に最大 4 つの SPI 値が必要になることがあります。
• ローカル・システムとリモート・システムの両方に、その鍵と SPI 値を個別にインストールする必要があります。
• 鍵の暗号漏えいを避けるために、定期的に鍵を変更し、両方のホストで更新する必要があります。手動 IPSec には、セキュリティー・アソシエーションを一度非活動化し、新しい鍵で再構成してから再び活動化する場合を除いて、鍵のリフレッシュ機能はありません。
• リフレッシュ保守期間中は、IPSec の機能は使用不可になるため、IPSec 保護を必要とする IP トラフィックは中断されます。
• 手動 IPSec による鍵のリフレッシュは中断の原因になるため、鍵ライフタイムを非常に大きい値で定義することが多くなり、その結果セキュリティーの機密漏れが起きる可能性が高まります。
• IPSec と通信する各リモート・ホストについて、それぞれ異なる鍵を使用して、上記のステップを実施する必要があります。

セキュリティーに関する配慮が最小限ですむような小規模なインストール済み環境では、この手動プロセスでも十分な効果が得られ、実際に手動方式の方が優れている場合もあります。しかし、標準的なネットワークに見られるように、通信を行うホスト数が非常に多いときは、この手動プロセスは、扱いにくく、エラーが起こりやすく、保守に手間がかかり、そして拡張しにくいものになります。それにもかかわらず z/OS® IP セキュリティーが手動 IPSec 構成をサポートしているのは、手動構成を使用しているシステムとの互換性を維持するためです。IP フィルター規則で手動 ipsec アクションが指定されている場合は、それに対応するアクションに従って、データの暗号化および認証ポリシーのすべての性質 (例えば、相互に通信するホストの ID、アウトバウンド・パケットとインバウンド・パケットの暗号化と認証に使用する鍵、および SPI 値) が決定されます。 手動 IPSec 保護は、IP セキュリティー・ポリシー構成ファイル内で IpManVpnAction ステートメントを使用して構成します。IpManVpnAction ステートメントについて詳しくは、「z/OS Communications Server: IP 構成解説書」を参照してください。