セキュリティーの概念

通信プロトコルを使用し、パスワードを保護し、管理者に異なるアクセス・レベルを提供することで、 IBM Storage Protect をセキュリティー・リスクから保護することができます。

トランスポート層セキュリティー

Secure Sockets Layer (SSL) またはトランスポート層セキュリティー (TLS) プロトコルを使用すると、トランスポート層セキュリティーを提供して、サーバー、クライアント、およびストレージ・エージェント間にセキュア接続を確立できます。サーバー、クライアント、ストレージ・エージェント間でデータを送信する場合は、SSL または TLS を使用してデータを暗号化してください。

ヒント: 「 SSL 」または「 SSL を選択する」と記載されているドキュメント IBM Storage Protect は、 TLS に適用されます。

SSL Global Security Kit (GSKit) によって提供され、サーバー、クライアント、およびストレージエージェントが使用するサーバー IBM Storage Protect とともにインストールされます。

制限事項: いずれ IBM Storage Protect かのサーバーによって使用されているデータベース IBM Db2 インスタンスとの通信には、 SSL または TLS プロトコルを使用しないでください。

SSL を使用可能にする各サーバー、クライアント、またはストレージ・エージェントは、信頼された自己署名証明書を使用するか、認証局 (CA) が署名する固有の証明書を取得する必要があります。独自の証明書を使用するか、CA から証明書を購入することができます。いずれかの証明書がインストールされ、 IBM Storage Protect サーバー、クライアント、またはストレージ・エージェント上の鍵データベースに追加されている必要があります。証明書は、SSL 通信の要求や開始を行う SSL クライアントやサーバーによって検証されます。一部の CA 証明書は、デフォルトで鍵データベースにプリインストールされています。

SSL サーバー、クライアント、および IBM Storage Protect ストレージエージェントに個別に設定されます。

権限レベル

IBM Storage Protect サーバーごとに、管理者が実行できるタスクを決定するさまざまな管理権限レベルを使用できます。

登録後、管理者に 1 つ以上の管理権限レベルを割り当てることによって、権限を付与する必要があります。システム権限を持つ管理者は、GRANT AUTHORITY コマンドを使用して、サーバーで任意のタスクを完了し、他の管理者に権限レベルを割り当てることができます。ポリシー権限、ストレージ権限、またはオペレーター権限を持つ管理者は、タスクのサブセットを実行できます。

管理者は、他の管理者 ID の登録、それらへの権限レベルの付与、ID の名前変更、ID の除去、およびサーバーからの ID のロックおよびアンロックを実行できます。

管理者は、root ユーザー ID および非 root ユーザー ID について特定のクライアント・ノードへのアクセスを制御できます。デフォルトでは、非 root ユーザー ID はノード上のデータをバックアップできません。 UPDATE NODE コマンドを使用して、バックアップを有効にするようにノード設定を変更します。

パスワード

デフォルトで、サーバーはパスワード認証を自動的に使用します。パスワード認証が使用される場合、すべてのユーザーはサーバーにアクセスするときにパスワードを入力する必要があります。

Lightweight Directory Access Protocol (LDAP) を使用して、パスワードの厳格な要件を適用します。詳細については、「 LDAP サーバーを使用したユーザー認証」を参照してください。

表 1. パスワード認証の特性
特性	詳細情報
大/小文字の区別	大/小文字の区別はありません。
デフォルトのパスワードの有効期限	90 日。この有効期限間は、管理者 ID またはクライアント・ノードを初めてサーバーに登録した時に開始されます。この期間内にパスワードが変更されていない場合、次にユーザーがサーバーにアクセスするときにパスワードを変更する必要があります。
無効なパスワードの試行回数	すべてのクライアント・ノードに対して、無効パスワードの連続試行回数の制限を設定することができます。この制限を超えると、サーバーはノードをロックします。
デフォルトのパスワード長	管理者は、パスワードの最小長を指定できます。バージョン 8.1.16 以降、サーバー・パスワードのデフォルトの最小長が 8 文字から 15 文字に変更され、パスワードの長さに指定できる最小値が 1 から 8 文字に変更されました。

セッション・セキュリティー

セッション・セキュリティーは、 IBM Storage Protect クライアント・ノード、管理クライアント、およびサーバーの間の通信に使用されるセキュリティーのレベルであり、 SESSIONSECURITY パラメーターを使用して設定されます。

SESSIONSECURITY パラメーターは、以下のいずれかの値に設定することができます。

STRICT 値は、 IBM Storage Protect サーバー、ノード、および管理者の間の通信に最高レベルのセキュリティーを実施します。
TRANSITIONAL 値は、 IBM Storage Protect ソフトウェアを V8.1.2 以降に更新する間、既存の通信プロトコルが使用されることを指定します。これがデフォルトです。 SESSIONSECURITY=TRANSITIONAL を指定した場合、より上位のバージョンの TLS プロトコルが使用されたり、ソフトウェアが V8.1.2 以降に更新されたりすると、より厳しいセキュリティー設定が自動的に実施されます。ノード、管理者、あるいはサーバーが STRICT 値の要件を満たすと、セッション・セキュリティーは自動的に STRICT 値に更新され、エンティティーは、旧バージョンのクライアントあるいは以前の TLS プロトコルを使用して認証できなくなります。
注: サーバーをアップグレードする前に、バックアップ/アーカイブ・クライアントを V8.1.2 以降に更新する必要はありません。サーバーを V8.1.2 以降にアップグレードした場合でも、ソフトウェアの旧バージョンを使用しているノードと管理者は、エンティティーが STRICT 値の要件を満たすまで、TRANSITIONAL 値を使用して引き続きサーバーと通信します。同様に、 IBM Storage Protect サーバーをアップグレードする前に、バックアップ/アーカイブ・クライアントを V8.1.2 以降にアップグレードできますが、最初にサーバーをアップグレードする必要はありません。サーバーとクライアントの間の通信は中断されません。

SESSIONSECURITY パラメーター値について詳しくは、以下のコマンドを参照してください。

表 2. SESSIONSECURITY パラメーターの設定に使用されるコマンド
エンティティー	コマンド
クライアント・ノード	REGISTER NODE UPDATE NODE
Administrators	REGISTER ADMIN UPDATE ADMIN
サーバー	DEFINE SERVER UPDATE SERVER

DSMADMC コマンド、DSMC コマンド、あるいは dsm プログラムを使用して認証する管理者は、V8.1.2 以降を使用して認証を行った後、旧バージョンを使用して認証することができません。管理者の認証の問題を解決するには、以下のヒントを参照してください。

ヒント:

管理者アカウントがログオンするために使用するすべての IBM Storage Protect ソフトウェアが V8.1.2 以降にアップグレードされていることを確認します。管理者アカウントが複数のシステムからログオンする場合は、各システム上にサーバーの証明書がインストールされている必要があります。
管理者が V8.1.2 以降のソフトウェアまたは V7.1.8 以降のソフトウェアを使用して正常に認証を行った後は、その管理者は V8.1.2 または V7.1.8 より前のバージョンのクライアントやサーバーを使用してサーバーで認証を行えなくなります。管理者コマンドは、どのシステムからでも発行することができます。
必要な場合は、V8.1.1 以前のソフトウェアを使用するクライアントおよびサーバーでのみ使用するために、別の管理者アカウントを作成してください。

すべてのノード、管理者、およびサーバーが STRICT セッション・セキュリティーを使用するようにすることで、 IBM Storage Protect サーバーとの通信に最高レベルのセキュリティーを適用します。 SELECT コマンドを使用して、どのサーバー、ノード、および管理者が TRANSITIONAL セッション・セキュリティーを使用しており、STRICT セッション・セキュリティーを使用するように更新する必要があるかを判別することができます。