EMC® VNX® Seriesバージョン VNX1, VNX2

VNX のセキュリティ構成ガイドP/N 300-015-128 REV. 06

Copyright © 2012-2017 Dell Inc. その関連会社。 All rights reserved. （不許複製・禁無断転載）

2017年 3月発行

掲載される情報は、発信現在で正確な情報であり、予告なく変更される場合があります。

本文書に記載される情報は、「現状有姿」の条件で提供されています。本文書に記載される情報に関する、どのような内容についても表明保証条項を設けず、特に、商品性や特定の目的に対する適応性に対する黙示的保証はいたしません。この資料に記載される、いかなる Dell ソフトウェアの使用、複製、頒布も、当該ソフトウェアライセンスが必要です。

Dell、EMC、および Dell または EMC が提供する製品及びサービスにかかる商標は Dell Inc.またはその関連会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。Published in the USA.

EMC ジャパン株式会社〒 151-0053 東京都渋谷区代々木 2-1-1 新宿マインズタワーwww.DellEMC.com/ja-jp/index.htmお問い合わせはwww.DellEMC.com/ja-jp/index.htm

2 VNX1, VNX2 VNX のセキュリティ構成ガイド

7

はじめに 9概要............................................................................................................ 10ユーザー インタフェースの選択...........................................................................10用語............................................................................................................ 10関連機能に関する情報.................................................................................. 12Unisphere Management Suite関連のホワイト ペーパー...................................13

アクセス制御 15アクセス制御設定.......................................................................................... 16管理アクセスのセキュリティ................................................................................16認証.............................................................................................................17

Unisphere の認証............................................................................ 17VNX for Block の CLI の認証........................................................... 18VNX for File の CLI の認証...............................................................18ユーザーの適用範囲..........................................................................19LDAP または Active Directory を使用した認証...................................19デフォルトのアカウント..........................................................................21認証せずに実行するユーザーのアクション.............................................. 22コンポーネント認証（Block）............................................................ 22

許可............................................................................................................22Unisphere の主な役割.....................................................................22データ保護の役割.............................................................................24

コンポーネントのアクセス制御...........................................................................25コンポーネント認証............................................................................25VNX for File の CLI の役割に基づくアクセス........................................ 26UNIX ユーザーに対するWindows スタイルの認証情報......................... 26セッション トークンの保護.................................................................... 26CIFS Kerberos認証 CIFS Kerberos にんしょう.................................. 26NFS セキュリティ設定........................................................................ 26NFS および CIFS のアクセス ポリシー...................................................27

データ セキュリティ設定....................................................................................27データの整合性................................................................................ 27格納データの暗号化......................................................................... 27

パスワード ポリシー......................................................................................... 27物理的セキュリティ統制.................................................................................. 28ログイン バナーと今日のメッセージ..................................................................... 28

ロギング 29ログの設定................................................................................................... 30VNX for Block システムの監査ログ................................................................. 30VNX および RSA enVision............................................................................. 31

序文

第 1章

第 2章

第 3章

目次

VNX1, VNX2 VNX のセキュリティ構成ガイド 3

VNX for File システムの監査.......................................................................... 31格納データの暗号化の監査ログ.......................................................................32

通信セキュリティ 33通信のセキュリティの設定................................................................................34ポートの使用.................................................................................................34VNX for Block上の Unisphere コンポーネントによって使用されるポート.............. 34ネットワーク上での VNX for file の機能............................................................35

強固な防御.....................................................................................36VNX for File のネットワーク サービス....................................................36VNX for File のセッション タイムアウト.................................................. 37プライベート ネットワーク......................................................................37VNX for File プライマリ ネットワーク サービス......................................... 37VNX for File送信ネットワーク接続.................................................... 55

ネットワークの暗号化......................................................................................59VNX Unified/File システムでの SSL の構成....................................... 60HTTPS の使用................................................................................60LDAP SSL の使用...........................................................................60

SSL証明書................................................................................................. 61SSL を使用したディレクトリ サーバーへの接続....................................... 62

VNX for File での公開鍵基盤の計画に関する考慮事項...................................62ペルソナ...........................................................................................63CA（認証局）の証明書..................................................................64CA としての Control Station の使用.................................................. 64Control Station のお客様提供の証明書........................................... 65

VNX for File システム上の IP Packet Reflect.................................................65フィルタリング管理ネットワークの効果.................................................................66vSphere Storage API for Storage Awareness（VASA）のサポート...............66特別な構成..................................................................................................67

プロキシ サーバー.............................................................................. 67Unisphere Client/Server および NAT...............................................67

その他のセキュリティに関する考慮事項............................................................. 68

データ セキュリティの設定 69格納データの暗号化の概要............................................................................70格納データの暗号化機能の起動..................................................................... 71

Unisphere によるストレージ プロセッサの再起動....................................72VNX OE for Block CLI によるストレージ プロセッサの再起動................. 72

暗号化ステータス...........................................................................................73キーストア ファイルのバックアップ........................................................................ 73データ イン プレース アップグレード..................................................................... 74ホット スペアの操作........................................................................................ 76暗号化が有効になっている VNX へのディスク ドライブの追加................................76暗号化が有効になっている VNX からのディスク ドライブの取り外し........................ 77暗号化が有効になっている VNX でのシャーシと SP の交換................................. 77

セキュリティ保守 79Control Station の ESRS............................................................................. 80ストレージ プロセッサの ESRS デバイス クライアント..............................................80ESRS IP Client............................................................................................ 81

第 4章

第 5章

第 6章

目次

4 VNX1, VNX2 VNX のセキュリティ構成ガイド

安全な保守設定（Block）...........................................................................82セキュア リモート サポートの考慮事項............................................................... 82セキュリティ パッチ管理....................................................................................83マルウェア検出...............................................................................................83

高度な管理機能 85リモート管理................................................................................................. 86IPv6（インターネット プロトコル バージョン 6）による管理ポートのアドレス指定.......86VLAN タグ機能のサポート.............................................................................. 86SNMP管理 SNMP かんり............................................................................ 86FIPS 140-2 の管理サポート............................................................................87

安全な展開と使用の設定 89安全な環境での Unisphere の実装................................................................90

TSL暗号スイート 93サポートされている TLS暗号スイート................................................................94

LDAP ベースのディレクトリ サーバーの構成 99Active Directory ユーザーとコンピュータ..........................................................100Ldap Admin................................................................................................101

VNX for Fileの CLIの役割に基づくアクセス 105CLI の役割に基づくアクセスのセットアップ......................................................... 106

VNX for Fileの CLI セキュリティ構成オプション 115パスワード ポリシーの構成.............................................................................. 116

パスワード ポリシーの対話形式での定義............................................. 116特定のパスワード ポリシー定義の規定................................................ 116パスワードの有効期限の設定............................................................ 117

セッション タイムアウトの構成........................................................................... 117セッション タイムアウト値の変更...........................................................118セッション タイムアウトの無効化...........................................................118

セッション トークンの保護................................................................................ 118SSL プロトコルを使用したネットワークの暗号化と認証の構成..............................119

VNX for File での HTTPS の使用.................................................... 119VNX for File での LDAP SSL の使用............................................... 119デフォルトの SSL プロトコルの変更......................................................119デフォルトの SSL暗号スイートの変更................................................ 120事後条件....................................................................................... 121

PKI の構成..................................................................................................121ペルソナによって提供される証明書の作成........................................... 121CA としての Control Station の使用................................................. 121CA証明書の取得.......................................................................... 122鍵セットと証明書要求の生成............................................................122CA への証明書要求の送信............................................................. 125CA署名済み証明書のインポート...................................................... 126利用可能な CA証明書の一覧表示................................................. 128

第 7章

付録 A

付録 B

付録 C

付録 D

付録 E

目次

VNX1, VNX2 VNX のセキュリティ構成ガイド 5

CA証明書の入手.......................................................................... 128CA証明書のインポート.....................................................................131新しい Control Station CA証明書の生成........................................ 131証明書の表示................................................................................ 132Control Station CA証明書の配布................................................. 134お客様提供の Control Station用証明書の要求とインストール............ 134

PKI の管理................................................................................................. 137鍵セットと証明書のプロパティの表示...................................................137期限切れの鍵セットのチェック............................................................ 138鍵セットのクリア............................................................................... 139CA証明書のプロパティの表示.......................................................... 139期限切れの CA証明書のチェック...................................................... 140CA証明書の削除.......................................................................... 140

ログイン バナーのカスタマイズ........................................................................... 141MOTD の作成............................................................................................. 141匿名 root ログインの制限..............................................................................142ログインの失敗回数が指定した回数を超えた場合にアカウントをロックする.............143

VNX for Blockの SSL証明書のインポート 145VNX for Block の SSL証明書認定要件...................................................... 146

Web ブラウザを使用したストレージ プロセッサー SSL証明書の追加または変更................................................................................................. 146openssl を使用したストレージ プロセッサー SSL証明書の追加または変更...147Openssl を使用した SHA2証明書の作成.........................................148

151

付録 F

索引

目次

6 VNX1, VNX2 VNX のセキュリティ構成ガイド

はじめに

製品ラインのパフォーマンスと機能を改善および強化するための努力の一環として、ハードウェアおよびソフトウェアのリビジョンが定期的にリリースされます。そのため、このドキュメントで説明されている機能の中には、現在お使いのソフトウェアまたはハードウェアのバージョンによっては、サポートされていないものもあります。製品機能の最新情報については、お使いの製品のリリース ノートを参照してください。製品が正常に機能しない、またはドキュメントの説明どおりに動作しないなどの場合には、カスタマーサポートの担当者にお問い合わせください。

このマニュアルで使用される特記事項の表記規則EMC では、特別な注意を要する事項に次の表記法を使用します。

回避されなかった場合、死亡、または重傷につながる危険な状況を示します。

回避されなかった場合、死亡、または重傷につながる可能性のある危険な状況を示します。

回避されなかった場合、軽微な、または中程度の怪我につながる可能性のある危険な状況を示します。

負傷に関連しない作業を示します。

重要ではあるが、危険ではない情報を表します。

問い合わせ先EMC のサポート情報、製品情報、ライセンス情報は、次の場所で入手できます。製品情報：ドキュメント、リリース ノート、ソフトウェアの更新、または製品、ライセンス、サービスに関する情報については、オンライン サポート（登録が必要です）http://Support.EMC.comをご覧ください。トラブルシューティング：オンライン サポートにアクセスします。ログインした後、該当する製品ごとのサポート ページを検索してください。テクニカル サポート：テクニカル サポートとサービス リクエストについては、オンライン サポートのカスタマー サービスにアクセスしてください。ログインした後、該当する製品ごとのサポート ページに進み、［ライブ チャット］または［サービス リクエストの作成］のいずれかを選択します。オンラインサポートを通してサービス リクエストを作成するには、有効なサポート契約が必要です。有効なサポート契約を結ぶ方法の詳細や、アカウントに関する質問については、セールス担当者にお問い合わせください。

VNX1, VNX2 VNX のセキュリティ構成ガイド 7

http://Support.EMC.comhttp://Support.EMC.comhttp://Support.EMC.com

お客様の個別のシステム問題に担当者がすでに割り当てられている場合を除き、特定のサポート担当者へのお問い合わせはご遠慮ください。

ご意見マニュアルの精度、構成および品質を向上するため、お客様のご意見をお待ちしております。本書についてのご意見を以下のメール アドレスにお送りください。

techpubcomments@EMC.com

はじめに

8 VNX1, VNX2 VNX のセキュリティ構成ガイド

第 1章

はじめに

この章では、VNX に実装されたさまざまなセキュリティ機能について簡単に説明します。次のトピックが含まれます。

l 概要.................................................................................................................... 10l ユーザー インタフェースの選択.................................................................................. 10l 用語.................................................................................................................... 10l 関連機能に関する情報..........................................................................................12l Unisphere Management Suite関連のホワイト ペーパー.......................................... 13

はじめに 9

概要EMC® VNX®では、ユーザーとネットワーク アクセスの制御、システム アクセスと使用状況の監視、暗号化されたデータの転送サポートを行う、多様なセキュリティ機能を実装します。 VNX for Fileに関連するセキュリティ機能は、Control Station と Data Mover に実装されます。 VNX forBlock に関連するセキュリティ機能は、ストレージ プロセッサに実装されます。 このドキュメントでは、安全なシステム運用とストレージ処理の構成に利用できる機能と構成オプションについて説明します。 また、これらのセキュリティ機能を使用する理由、状況、方法についても説明します。 VNX のセキュリティを理解するうえで、これらの機能の基本知識を身につけることが重要になります。このドキュメントは、VNX のマニュアル セットの一部であり、VNX の全体的な構成と運用を担当する管理者を対象としています。 関連機能に関する情報には、このドキュメントで解説されている機能に関する資料の一覧が記載されています。このドキュメントは、次のソフトウェアを実行しているシステムに関連しています。l VNX Operating Environment（OE）for Fileバージョン 7.1 および 8.xl VNX OE for Blockバージョン 5.32 および 5.33例外については、該当箇所に記載されています。

ユーザー インタフェースの選択VNX では、サポート環境やインタフェース設定に応じてネットワーク ストレージを柔軟に管理することができます。 このドキュメントでは、EMC Unisphere®ソフトウェアを使用してセキュリティ機能を設定および管理する方法について説明します。 VNX の構成と管理の詳細については、Unisphereオンライン ヘルプを参照してください。 これらのタスクは、EMC Unisphere管理インタフェースを使用しても実行できます。 ファイルベースのサービスとブロックベースのサービスでは、CLI（コマンド ライン インタフェース）が異なります。 VNX for Block システムの構成と管理で使用する CLI コマンドについては、「EMC VNX for Block コマンド ライン インタフェース リファレンス」を参照してください。 VNXfor File システムの構成と管理で使用する CLI コマンドについては、「EMC VNX for File コマンド ライン インタフェース リファレンス」を参照してください。 また、CLI スクリプトを使用して VNX for File のセキュリティを構成する方法の詳細については、セキュリティ構成に関連する操作での VNX for FileCLI の使用を参照してください。VNX の管理アプリケーションに関する最新の追加情報については、VNX リリース ノートを参照してください。

用語VNX用語のリストについては、「VNX用語集」を参照してください。［ACE（アクセス制御エントリー）:］ Microsoft Windows環境での ACL（アクセス コントロールリスト）の構成要素。 この構成要素により、ユーザーまたはグループのオブジェクトに対するアクセス権限が定義されます。［ACL（アクセス制御リスト）:］ あるオブジェクトへのアクセスが許可されたユーザーとグループに関する情報を提供する ACE（アクセス コントロール エントリー）のリスト。［アクセス ポリシー:］ 一部のファイルシステムに対してマルチプロトコル アクセスを提供するように構成された環境で、ユーザーが VNX for File システム上のファイルにアクセスした場合は、どのアクセス制御方式（NFS権限またはWindows ACL、もしくはその両方）が適用されるかを定義したポリシー。 アクセス ポリシーは、server_mount コマンドを使用して設定します。また、このポリシーでは、ユーザーがファイルまたはディレクトリに対してどのようなアクションを実行できるかも決定します。

はじめに

10 VNX1, VNX2 VNX のセキュリティ構成ガイド

［認証：］ ファイルやディレクトリなどのリソースまたはオブジェクトにアクセスを試行しているユーザーのID を検証するプロセス。［CA（認証局）:］ 公開鍵証明書にデジタル署名を行う、信頼できるサード パーティ。［認証局の証明書:］ ID（認証局）と公開鍵の間のデジタル署名付き関連性。公開鍵証明書のデジタル署名を検証するためにホストで使用されます。［コマンド ライン インタフェース（CLI）:］ データベースと Data Mover の管理と構成や VNX forFile キャビネット コンポーネントの統計の監視など、各種タスクを実行する場合に、ControlStation からコマンドを入力するためのインタフェース。［CIFS（Common Internet File System）:］ Microsoft SMB（Server Message Block）に基づいたファイル共有プロトコル。 インターネットおよびイントラネットを介してファイル システムを共有できます。［Control Station：］ VNX for File システムのハードウェアおよびソフトウェア コンポーネント。システムを管理し、VNX for File コンポーネントの管理ユーザー インタフェースを提供します。［Data Mover：］ VNX for File のキャビネット コンポーネント。ストレージ デバイスからファイルを取得し、そのファイルをネットワーク上のクライアントが使用できるようにする独自のオペレーティング システムを実行します。［ディレクトリ サーバー：］ コンピュータ ネットワークのユーザーとネットワーク リソースに関する情報を格納および整理するサーバー。ネットワーク管理者は、このサーバーでリソースに対するユーザーのアクセスを管理できます。最も有名なオープンのディレクトリ サービスは X.500 です。 企業独自のディレクトリ サービスとしては、Microsoft の Active Directory があります。［HTTP（Hypertext Transfer Protocol）:］ World Wide Web上のサーバーへの接続に使用される通信プロトコル。［HTTPS（Hypertext Transfer Protocol Secure）:］ SSL を使用した HTTP。 クライアントおよびサーバー システム間のすべてのネットワーク トラフィックは暗号化されます。 サーバーとクライアントの ID を検証するオプションもあります。 通常、サーバー IDは検証されますが、クライアント IDは検証されます。［Kerberos：］ 認証、データ整合性、データ プライバシーの暗号化メカニズム。認証情報をエンコードするために使用されます。 Kerberosは NTLM（Netlogon サービス）と共存し、ソケット キー暗号形式を使用して、クライアント/サーバー アプリケーションに対する認証を行います。［LDAP ベースのディレクトリ：］ LDAP によるアクセスを提供するディレクトリ サーバー。 LDAP ベースのディレクトリ サーバーの例としては、OpenLDAP、Oracle Directory Server EnterpriseEdition を挙げることができます。［LDAP（Lightweight Directory Access Protocol）:］ TCP/IP を使用して直接実行される業界標準の情報アクセス プロトコル。 Active Directory および LDAP ベースのディレクトリ サーバーのプライマリ アクセス プロトコルです。 LDAPバージョン 3は、IETF（Internet EngineeringTask Force）の RFC 2251 において Proposed Standard の一連の文書で定義されています。［LUN（論理ユニット番号）:］ SCSI コマンドを処理する SCSI または iSCSI オブジェクトの識別番号です。 LUN とは、SCSI オブジェクトの SCSI アドレスの最後の部分です。 LUNは論理ユニットの ID ですが、この用語はしばしば論理ユニット自体のことを指す場合にも使用されます。［NFS（Network File System）:］ リモート ファイル システムへの透過的なアクセスを提供する分散ファイル システム。 NFS を使用すると、すべてのネットワーク システムでディレクトリの単一コピーを共有できます。［OpenLDAP の場合：］ LDAP ベースのディレクトリ サービスのオープン ソース実装。［役割：］ 秘密鍵とこの鍵に対応する公開鍵証明書を使用して、Data Mover の ID をサーバーまたはクライアントとして提供する手段。 各ペルソナには最大で 2個の鍵セット（現在のものと次の

はじめに

用語 11

もの）を保持でき、現在の証明書の有効期限が切れる前に、新しい鍵と証明書を生成できるようになっています。［公開鍵証明書:］ 認証局によって発行される電子 ID。 デジタル証明書には、受信者が証明書の有効性を検証できるように、ユーザーまたはサービスなどの他のエンティティの ID（ホスト名）、シリアル番号、有効期限、証明書所有者の公開鍵のコピー（メッセージとデジタル署名の暗号化に使用）、証明書発行機関からのデジタル署名が含まれています。 詳細については、X.509規格を参照してください。［PKI（公開鍵基盤）:］ 秘密鍵とこの鍵に対応する公開鍵証明書を公開鍵暗号形式で使用できるように管理する手段。［SNMP（Simple Network Management Protocol）:］ ネットワーク構成要素のネットワーク管理ステーションとエージェント間で管理情報の通信に使用される方法。［SSL（Secure Socket Layer）:］ 暗号化と認証を提供するセキュリティ プロトコル。 データを暗号化し、メッセージとサーバーの認証を行います。 サーバーから要求された場合、クライアント認証もサポートします。［Storage Processor (SP)：］ 独自のオペレーティング システムを稼働する VNX for Block システムのハードウェアおよびソフトウェア コンポーネント。システムを管理し、VNX for Block コンポーネントの管理ユーザー インタフェースを提供します。［TLS（Transport Layer Security）:］ SSL の後継プロトコル。一般的な通信認証と TCP/IP ネットワークを使用した暗号化に対応しています。 TLSバージョン 1は、SSLバージョン 3 とほぼ同等です。［X.509:］ デジタル証明書の定義に一般的に使用されている標準規格。［XML API:］VNX for File をリモートで管理および監視するためのインタフェース。 このインタフェースでは、XML形式のメッセージおよびニュートラルなプログラミング言語が使用されています。

関連機能に関する情報このドキュメントで解説されている機能に関連する具体的な情報については、次の資料を参照してください。l 「EMC VNX for File コマンド ライン インタフェース リファレンス」l 「EMC VNX Command Line Interface Reference for Block」l 「File のマニュアル ページ」l 「Parameters Guide for VNX 」l 「VNX用語集」l 「VNX for File管理アプリケーションのインストール 」l 「VNX CIFS の構成と管理」l 「VNX NFS の構成 」l 「VNX でのマルチプロトコル環境の管理」l 「VNX ネーム サービスの構成」l 「VNX FileMover の使用方法」l 「VNX for File のイベント通知の構成」l 「VNX ネットワークの構成と管理」l 「Celerra および VNX for File での監査ツールの構成および使用テクニカル ノート」l 「EMC Secure Remote Support for VNX 」

はじめに

12 VNX1, VNX2 VNX のセキュリティ構成ガイド

l 「ESRS HTTPS リスナー サービスの SSL証明書の管理テクニカル ノート」l 「Using nas_stig Utility on VNX」

EMC VNX カスタマー向け資料一式は、EMC オンライン サポート用Web サイト（http://Support.EMC.com）から入手できます。 Web サイトにログインした後、［Support byProduct］ページをクリックして必要な特定の機能に関する情報を見つけます。LDAP に関する一般的な情報については、次の資料を参照してください。l RFC 2307、「An Approach for Using LDAP as a Network Information Service」Active Directory の LDAP および SSL構成に関する具体的な情報については、次の資料を参照してください。l Microsoft サポート技術情報「How to enable LDAP over SSL with a third-party

certification authority」（ID 321051）OpenLDAP および SSL構成に関する具体的な情報については、OpenLDAP のWeb サイト（www.openldap.org）を参照してください。 別の非 Active Directory LDAP ベースのディレクトリ サーバーを使用している場合は、該当するベンダーのマニュアルで LDAP および SSL構成に関する情報を参照してください。

Unisphere Management Suite関連のホワイト ペーパーホワイト ペーパーには、ドメインの管理を含む、Unisphere Management Suite の主要な側面の説明が記載されています。 これらのホワイト ペーパーは、Unisphere管理者およびユーザー向けの標準的なドキュメントを補完するものです。 関連ホワイト ペーパーに、これらのホワイトペーパーの一覧と概要を示します。 ホワイト ペーパーは、EMC オンライン サポート用Web サイト（http://Support.EMC.com）のパスワードで保護された EMC の顧客とパートナー専用のエクストラネットに掲載されています。

表 1 関連ホワイト ペーパー

ホワイト ペーパー 説明

EMC Unisphere： Unified StorageManagement Solution

このホワイト ペーパーには、EMC® Unisphere®（VNX システムの単一の管理インタフェース）およびレガシーの CLARiX®システムと Celerra®システムの概要が記載されています。 Unisphere のすべての機能、および Unisphere v1.0、v1.1、v1.1.25 でサポートされる機能の一覧が記載されています

Domain Management with VNX storagesystems

このホワイト ペーパーには、Unisphere 1.1.25 ソフトウェアを使用した単一ストレージ ドメインおよび複数ドメインの EMC ストレージ システムの構成と管理についての説明が記載されています。

はじめに

Unisphere Management Suite関連のホワイト ペーパー 13

http://Support.EMC.comhttp://Support.EMC.comhttp://Support.EMC.comhttp://Support.EMC.com

はじめに

14 VNX1, VNX2 VNX のセキュリティ構成ガイド

第 2章

アクセス制御

この章では、VNX for File/Unified および VNX for Block システムに実装されたさまざまなアクセス制御機能について説明します。次のトピックが含まれます。

l アクセス制御設定.................................................................................................. 16l 管理アクセスのセキュリティ....................................................................................... 16l 認証.................................................................................................................... 17l 許可................................................................................................................... 22l コンポーネントのアクセス制御...................................................................................25l データ セキュリティ設定........................................................................................... 27l パスワード ポリシー................................................................................................. 27l 物理的セキュリティ統制..........................................................................................28l ログイン バナーと今日のメッセージ.............................................................................28

アクセス制御 15

アクセス制御設定Unisphere プログラムは異なる戦略を使用してユーザーを認証します。これにより許可されていないユーザーが VNX システムにアクセスすることを防ぎます。 これらの戦略については、後続のセクションで説明します。Unisphere と CLIはどちらも暗号化された認証通信を使用して同じレベルのセキュリティを提供します。

管理アクセスのセキュリティVNX ストレージ システムでは、システムへのアクセスに次の管理アプリケーションを利用できます。l Unisphere - VNX システムを構成、監視、および管理するために使用する 2 つの主要なアプ

リケーションの 1 つ。 Unisphereは、ブラウザで Control Station またはストレージ プロセッサ（SP）の IP アドレスを指定することで起動できるWeb ベースの GUI です。

l CLI（コマンド ライン インタフェース） - VNX システムを管理するために使用するもう 1 つの主要なプログラム。 CLIはブロック サービスとファイル サービス用に分かれています。 Block CLIは、VNX にネットワーク接続された任意のホストにインストールして実行できます。 File CLIは、SSH を使用して Control Station へのリモート セッションを開くことでアクセスできます。

l USM（Unisphere Service Manager） - このソフトウェアを使用して、VMX システム ハードウェアとソフトウェアを更新、インストール、保守し、さらにサービス プロバイダに連絡先とシステム情報を提供することができます。

l Unisphere ホスト エージェントまたは Server Utility - これらのオプションのソフトウェア プログラムは SAN接続ホスト上で実行されます。 主な機能は、ホストの属性と LUN/ボリュームのマッピングのストレージ システムへの伝達を支援することです。

l Unisphere Initialization Utility - このオプションのソフトウェアを使用して、VNX for Block システムとネットワークの設定をワークステーションから初期化することができます。

l VIA（VNX Installation Assistant） - このソフトウェアを使用して、VNX Unified（Block とFile）および VNX for File システムとネットワークの設定をワークステーションから初期化することができます。

l SNMP管理ソフトウェア - このオプションのソフトウェアを使用して、VNX システムの状態を監視することができます。

l admsnap と admhost - これらのオプションの管理ユーティリティは、SnapView™および SANCopy™レプリケーション オブジェクトの管理を支援します。

l リモート サポート サービス - VNX システムではリモート EMC サポートを利用できます。 多くのお客様は、このカスタマー サービス ソフトウェアを使用して、EMC がシステムの構成と監視をサポートできるようにしています。

l Unisphere サーバー ソフトウェア - このソフトウェアは、このガイドに記載されているストレージ管理機能を実行します。 このガイドでは、このソフトウェアはストレージ管理サーバーとも呼ばれます。 VNX SP および Control Station にプリインストールされています。 このソフトウェアはオプションでWindows XP またはWindows Server にインストールすることができます。

VNX管理のコンポーネントに示すように、さまざまなコンポーネントがインバンドとバンド外の両方でVNX システムと通信します。 インバンド通信は、VNX システムへのデータ接続を介して送信されますが、バンド外通信は VNX システムへの管理接続を介して送信されます。

アクセス制御

16 VNX1, VNX2 VNX のセキュリティ構成ガイド

図 1 VNX管理のコンポーネント

VNX への管理接続を許可されたユーザーとアプリケーションに制限することが不可欠です。 管理アクセスを保護するために、VNXは、次の機能を実装します。l 認証 - リクエストしているユーザーを識別します。l 許可 - リクエスタがリクエストを実行するための権限を持っているかどうかを確認します。l プライバシー - データをスヌーピング（のぞき見）から保護します。l 信頼 - 通信相手の ID を確認します。l 監査 - 誰がいつ何をしたかの記録を保持します。

認証VNX システム上の管理アプリケーションは、認証を使用して許可されていないユーザーがシステムにアクセスすることを防止します。

Unisphere の認証Unisphereは、ユーザー名とパスワードを使用してユーザーを認証します。 Unisphere では、管理者が使いやすいダイアログ ボックスを使用してユーザー アカウントを作成することができます。 コンピュータのブラウザを使用して Unisphere に接続すると、Java アプレットがブラウザに配信されます。 アプレットは、SSL/TLS を使用し、VNX上でポート 443経由のストレージ管理サーバー（ストレージ管理機能を実行するソフトウェア）との安全な接続を確立します。

ブラウザーに https://とは表示されませんが、接続は保護されています。

EMC では、https://（ポート 443）を使用して Unisphere に接続することを推奨します。ただし、VNX for Block の場合は、http://（ポート 80）を使用して接続することができます。

アクセス制御

認証 17

https://is

Control Station では、ポート 80 に送信されるすべての HTTP管理トラフィックは、HTTPS ポート（443）に自動的にリダイレクトされます。

セッションを開始するときには、Unisphere によって、ユーザー名、パスワード、および適用範囲（ローカル、グローバル、LDAP）の入力を求められます。 これらの認証情報は、暗号化されてストレージ管理サーバーに送信されます。 次に、ストレージ管理サーバーが、ユーザー アカウント情報内で一致するユーザーを検索します。 一致するユーザーが見つかった場合は、認証されたユーザーとして識別されます。

認証に失敗した場合、同じ IP アドレスから最大 6回まで認証を再試行することができます。 6回目の試行も失敗した場合、同じ IP アドレスからの認証の試行は 4分間ブロックされます。つまり、システムは 4分間にわたりその後の試行に応答しません。 最初の認証が成功するか、前の失敗の4分後に新しい認証の試行が成功した場合、失敗カウントはクリアされます。

VNX ゲートウェイを除いて、ストレージ管理サーバーは他のストレージ管理サーバーと通信するときにも認証と暗号化を使用します。 ストレージ管理サーバー間の通信は、情報がドメイン全体にレプリケートされるときに実行されます。 たとえば、ユーザー アカウント情報が変更された場合、この情報はドメイン内のストレージ管理サーバーの各インスタンスにレプリケートされます。

VNX for Block の CLI の認証VNX for Block の CLI では、コマンドごとにユーザー資格情報を渡す必要があります。 ユーザー資格情報を渡すには、次のいずれかの方法を使用します。l コマンドごとに認証情報を指定することができます。l addusersecurity コマンドを使用して、ホスト上にユーザー資格情報が含まれるファイルを

作成することができます。 認証情報を指定せずに VNX for Block の CLI コマンドを入力した場合、CLI がこのファイルから認証情報を取得して、コマンドと共に認証情報を送信します。CLI コマンドと共に認証情報を明示的に指定しない場合、このセキュリティ ファイルに有効なUnisphere認証情報が含まれている必要があります。 このファイルはユーザーのホーム ディレクトリに保存され、その内容は暗号化されます。 このファイルおよびその暗号化キーは、アクセス制御リスト（ACL）とコンピュータに固有なパス フレーズによって保護されます。

VNX for File の CLI の認証VNX for File の CLI では、SSH を使用してリモート ターミナルによって Control Station に接続し、ローカル アカウントまたはグローバル アカウント、または SSH を使用する LDAP認証によるアカウントを使用して Control Station にログインする必要があります。 Control Station には 2個のデフォルトのローカル アカウントがあります（デフォルトのアカウントを参照してください）。また、このために新しいローカル アカウントを作成することもできます。

Control Station CLI を使用して、システムにログインします。ドメインにマップされたユーザーが Control Station CLI にログインする場合、入力するドメイン名は、VNX OE for File によって認識されているドメイン名または完全修飾ドメイン名と一致している必要があります。LDAP ドメインにマップされたユーザーに対して、サポートされているドメインにマップされたユーザーのログイン形式は次のとおりです。l \（例：mycompany\anne）

アクセス制御

18 VNX1, VNX2 VNX のセキュリティ構成ガイド

l @（例：anne@mycompany）ドメイン名は、完全修飾ドメイン名として指定できます。 次に例を挙げます。l \（例：mycompany.com\anne）l @（例：anne@mycompany.com）

ユーザーは 1個のドメインにのみログインできます。 そのため、mycompany と mycompany.comは同じドメインとして扱われます。

ストレージ ドメインにマップされたユーザーに対して、サポートされているドメインにマップされたユーザーのログイン形式は次のとおりです。l storageDomain\（例：storageDomain\anne）l @storageDomain（例：anne@storageDomain）

storageDomainは大文字と小文字の区別があるキーワードで変数ではありません。正確にそのまま入力する必要があります。

ユーザーの適用範囲ストレージ管理サーバーでユーザー アカウントに次の 3 つの適用範囲のいずれかを設定できます。l ローカル - このユーザーは単一の VNX にのみアクセスできます。l グローバル - このユーザーは Unisphere ドメイン全体にアクセスできます。l LDAP - このユーザーは、LDAP ディレクトリ内にアカウントをも持ち、LDAP サーバーを使用し

てユーザーを認証する任意のストレージ システムにアクセスできます。単一の VNX へのアクセスが必要な場合はローカル範囲が最も効果的です。 ユーザーにグローバル範囲を割り当てると、1 つのアカウントを使用して Unisphere ドメイン内のすべての VNX ストレージシステムにアクセスできるので管理が容易になります。 ユーザーに LDAP範囲を割り当てると、アカウントがストレージ システムに固有ではなくなるため、最も柔軟性が高くなります。適用範囲が異なれば重複するユーザー名を使用できます。 たとえば、グローバル範囲の「Sarah」というユーザーは、LDAP範囲のユーザー「Sarah」とは異なります。

LDAP または Active Directory を使用した認証ストレージ管理サーバーは、LDAP または LDAPS を使用し、Active Directory（ActiveDirectoryはMicrosoft のディレクトリ サーバーです）などのディレクトリ サーバーに対してユーザーを認証することができます。 VNX ストレージ システムを管理するために別個の認証情報セットが必要ないので、LDAP サーバーに対する認証により、管理が簡素化されます。 また、ストレージ環境とサーバー環境に対してエンタープライズ パスワード ポリシーを同様に適用できるため、安全性が高まります。

LDAP ドメインの管理（File/Unifiedおよび Block）VNX ドメインでは、File/Unified と Block の両方のセットアップで同じ LDAP サーバーが使用されます。 LDAP ドメインを管理するには、Unisphere にログインし、［すべてのシステム ＞ ドメイン ＞ユーザー］（タスク リスト）＞［LDAP ドメインの管理］を使用して、サーバー接続を定義し、関連する証明書を受け入れるか検証し、ユーザー グループの役割をマッピングします。 別の方法として、システムを選択し、［設定 ＞ セキュリティ設定］（タスク リスト）＞［LDAP ドメインの管理］を使用できます。 このセットアップを 1回実行すると、LDAP アカウントで Unisphere または CLI へのロ

アクセス制御

ユーザーの適用範囲 19

グインを認証できます。 LDAP サーバーへの接続のセットアップ方法については、Unisphere オンライン ヘルプを参照してください。

LDAP ドメイン（ゲートウェイ）の管理VNX ゲートウェイ システムの LDAP構成を管理するには、Unisphere にログインしてシステムを選択し、［設定 ＞ セキュリティ設定］（タスク リスト）＞［LDAP ドメインの管理］を使用して、LDAPベースのディレクトリ サーバーにアクセスできるように Control Station を構成します。 LDAP サーバーへの接続のセットアップ方法については、Unisphere オンライン ヘルプを参照してください。LDAP サーバーの接続情報を指定して Unisphere を構成し、Unisphere の役割を LDAP グループにマッピングする設定を行うこのセットアップを 1回実行すると、LDAP アカウントで Unisphere または CLI へのログインを認証できます。 VNX ゲートウェイ システムの場合、LDAP構成情報は、VNX ゲートウェイ システムに固有で、他のシステムにレプリケートされません。

LDAP サービスの構成オプションUnisphere または CLI で LDAP ユーザーを認証できるようにするためには、LDAP サービスとの通信を構成する必要があります。 Unisphere では、LDAP サーバーの IP アドレスと LDAP接続パラメータを追加できます。 LDAP接続パラメータを LDAP サービス管理者から入手する必要があります。 Unisphere で LDAP サービスを構成する場合は、次のベスト プラクティスに留意してください。l LDAP サービスとの高可用性通信を実現するには、2台の LDAP サーバーとのサービス接続を

作成します。 1台のサーバーが使用できない場合、ストレージ管理サーバーはセカンダリ LDAPサーバーに認証リクエストを送信します。

l 最高レベルのセキュリティを実現するには、LDAPS プロトコルを使用するサービス接続を構成します（LDAP サーバーがこれをサポートする場合）。 これにより、ストレージ管理サーバーとLDAP サーバー間のすべての通信が SSL/TLS で暗号化され、ユーザー資格情報が平文で送信されることはありません。

LDAP構成は、各 Unisphere ドメイン内で 1回だけ行います。この構成は、ドメイン内の他のすべてのノードにレプリケーションされます。

役割のマッピングLDAP サービスとの通信が確立されたら、特定の LDAP グループを Unisphere の役割にマッピングして、Unisphere へのアクセスを提供する必要があります。 LDAP サービスでは、認証を実行するだけです。 認証された後、そのユーザーの権限は、割り当てられた Unisphere の役割によって判断されます。 最も柔軟性のある構成は、Unisphere の役割に対応した LDAP グループを作成することです。 これにより、LDAP グループのメンバーを管理することによって Unisphere へのアクセスを制御できます。

SP（ストレージ プロセッサ）に関連する LDAP ユーザー レベルの役割のマッピングおよび Unisphereの役割は、VNX for Block CLI を使用して構成できます。 詳細については、「EMC VNX forBlock コマンド ライン インタフェース（CLI）リファレンス」を参照してください。

たとえば、「Storage Admins」という名前の LDAP グループがあり、Bob と Sarah がそのメンバーになっているとします。 また、「Storage Monitors」という名前の別の LDAP グループがあり、Mike とCathy がメンバーになっているとします。 「Storage Admins」グループを Unisphere管理者の役割にマッピングすると、Bob と Sarah にストレージ システムの完全な管理権限を付与できます。「Storage Monitors」グループを Unisphere オペレータの役割にマッピングすると、Mike と Cathyはストレージ システムに読み取り専用でアクセスできるようになります。 6 カ月後にMike がより信頼度の高い管理者になった場合、彼を「Storage Admins」LDAP グループに追加するだけで、ストレージ システムに対する完全なアクセス権（管理者の役割）を付与できます。

アクセス制御

20 VNX1, VNX2 VNX のセキュリティ構成ガイド

認証情報のキャッシュとアカウントの同期（Block）ストレージ管理サーバーは、LDAP ユーザーが 1度認証されると、その認証情報をローカルにキャッシュします。 このキャッシュによって、認証要求によるレーテンシーが解消され、LDAP サービスへのトラフィックを最小限に抑えられるとともに、ユーザーの操作性が向上します。 ストレージ管理サーバーでは、ログイン時だけではなく、ストレージ システムの構成を変更するすべてのコマンドについて認証が行われることに注意してください。 キャッシュにより、LDAP サーバーへの認証リクエストが繰り返されなくなります。デフォルトでは、Unisphereは 24時間ごとにローカル キャッシュを消去し、LDAP サーバー上のアカウントとの同期化を実行します。 ユーザー アカウントの変更が多く、クレデンシャル情報をフラッシュする必要がある環境では、パフォーマンスに大きな影響を与えることなく、この同期化の間隔を 30分ごとに変更することが可能です。 または、手動による同期化を行い、ローカル キャッシュを即座に消去することもできます。 これは、離職した従業員のストレージ システムへのアクセスを直ちに停止する場合に便利です。

デフォルトのアカウント管理アクセスとサービス アクセスのためのデフォルトのアカウントが存在します。デフォルトの管理アカウント - デフォルトの管理アカウントの詳細および関連するパスワードの変更方法については認証構成を参照してください。デフォルトのサービス アカウント - EMC サービス担当者がアクセスするための管理ポートとサービスポートのデフォルトの組み合わせが存在します。 EMC では、管理ポートのユーザー名/パスワードの組み合わせを変更することを強く推奨します（詳細については、安全な保守設定（Block）を参照してください）。 サービス担当者にはユーザー名とパスワードが必要なので、この情報を開示できるように準備してください。

認証構成VNX Unified/File と VNX for Block システムではセキュリティの初期化の方法が異なります。VNX Unified/File システムには、工場出荷時に次の管理アカウントがインストールされます。l root - VNX for File のローカル アカウントで、Control Station で root レベルの権限を提供

します。l nasadmin - VNX for File のローカル アカウントで、Control Station で管理者レベルの権限

を提供します。l sysadmin - グローバル システム アカウントで、VNX for File と VNX for Block の両方に対す

る管理者レベルの権限を提供します。システム アカウントは、ブロック サービスとファイル サービスの間の内部通信に必要な特別なグローバル アカウントです。 VNX Unified/File システムには、少なくとも 1 つのシステム アカウントが必要です。 別のグローバル管理者アカウントまたはグローバル セキュリティ管理者アカウントが使用可能になっていない限り、このシステム アカウントを削除することはできません。VNX Installation Assistant（VIA）は、VNX Unified/File システムを初期化するためのユーティリティです。 EMC では、VIA を使用して初めて VNX Unified/File システムを初期化するときに 3つのアカウントのデフォルトのパスワードを変更することを推奨します。VNX for Block システムにはデフォルトの管理アカウントはありません。 Unisphere InitializationWizardは、VNX for Block システムの初期化に使用するユーティリティです。 次の方法で VNXfor Block システムのセキュリティを初期化することができます。l ユーザーが、Unisphere Initialization Wizard を使用してシステムを初期化するときにグロー

バル アカウントの作成を選択できます。

アクセス制御

デフォルトのアカウント 21

l ユーザーが、Unisphere に初めてログインするときにグローバル アカウントを作成できます。VNX for Block システムでは、システム アカウントは、特に必要ないのでデフォルトでは作成されません。しかし、別の VNX Unified/File システムを VNX for Block システムのローカル ドメインに追加するには、システム アカウントが必要なので、必要に応じてシステム アカウントを作成するように求めるプロンプトが表示されます。すべての VNX システム（VNX Unified/File および VNX for Block）では、少なくとも 1 つのグローバル アカウントが必要です。 このアカウントは、「管理者」または「セキュリティ管理者」の役割を持っている必要があります。 LDAP認証が必要な場合は、LDAP サーバーを構成し、他のグローバルアカウントまたはローカル アカウントも作成することができます。認証の構成に関するセキュリティ機能は、Unisphere または Secure CLI から実行できます。

認証せずに実行するユーザーのアクションVNX システムは、認証せずに実行するすべてのアクションを許可しません。

コンポーネント認証（Block）iSCSI イニシエータで使用する iSCSI の主要な認証メカニズムは、CHAP（ChallengeHandshake Authentication Protocol）です。 CHAPは、ターゲットでのログイン時および接続中のさまざまな機会に、iSCSI イニシエータを認証するために使用する認証プロトコルです。 CHAP セキュリティは、ユーザー名とパスワードで構成されます。 イニシエータとターゲットの CHAP セキュリティを構成して有効にすることができます。 Unisphere にログインし、［すべてのシステム ＞ システムの一覧］を使用し、CHAP を構成するストレージ システムのエントリーを右クリックして、［iSCSI ＞CHAP管理］を使用します。 CHAP を有効にするには、システムを選択し、［設定＞ ネットワーク＞ ブロックの設定］を使用します。 CHAP を構成して有効にする方法の詳細については、Unisphere のオンライン ヘルプを参照してください。CHAP プロトコルでは、イニシエータの認証を行う必要があります。 ターゲットの認証（双方向CHAP）はオプションです。

許可ストレージ管理サーバーは、ユーザーの役割を基にしてユーザーのアクティビティを許可します。 役割は、アクセス権の集まりであり、アカウント管理者がアクセス権を割り当てるための簡単なツールとして使用できます。 Unisphere と VNX for File CLIは、ユーザーの役割を基にしてユーザーのアクティビティを許可します。 VXN for Block CLIは、ユーザーの認証情報による認証を基にしています。Unisphere には、8種類の主要な役割（オペレータ、ネットワーク管理者、NAS管理者、SAN管理者、ストレージ管理者、管理者、セキュリティ管理者、VM管理者）および 3 つのデータ保護の役割（ローカル データ保護、データ保護、データ リカバリ）があります。

Unisphere の主要な役割とデータ保護の役割には、グローバルまたはローカルの適用範囲を指定できます。

Unisphere の主な役割次のような主な役割があります。l オペレータ - ストレージおよびドメインの操作に関する読み取り専用の権限。セキュリティ操作に

関する権限はありません。

アクセス制御

22 VNX1, VNX2 VNX のセキュリティ構成ガイド

l ネットワーク管理者 - オペレータのすべての権限と、DNS、IP設定、SNMP を構成する権限があります。

l NAS管理者 - File操作に関するすべての権限があります。 Block操作とセキュリティ操作に関するオペレータ権限があります。

l SAN管理者 - Block操作に関するすべての権限があります。 File操作とセキュリティ操作に関するオペレータ権限があります。

l ストレージ管理者 - File操作と Block操作に関するすべての権限があります。 セキュリティ操作に関するオペレータ権限があります。

l セキュリティ管理者 - ドメインを含むセキュリティ操作に関するすべての権限があります。 File操作と Block操作に関するオペレータ権限があります。

l 管理者 - File操作、Block操作、セキュリティ操作に関するすべての権限があります。 この役割は最も権限が高い役割です。

l VM管理者 - VMware の VASA（vSphere Storage APIs for Storage Awareness）を使用して、vCenter経由で、VNX システムの基本的なストレージ コンポーネントを表示および監視することができます。

セキュリティ管理者とストレージ管理者の権限を合わせたものが管理者の権限に相当します。

セキュリティおよびシステムの整合性に関するベスト プラクティスとして、スーパーユーザー（Unisphere の管理者）が、日常的な運用を行うときにすべての管理権限を持たないようにする必要があります。 許可される操作を別々のアカウントにセグメント化するときにはセキュリティ管理者の役割を使用するようにします。 管理者の役割をセキュリティ管理者の役割とストレージ管理者の役割に分割することによって、ストレージ管理者アカウントはストレージ関連の操作の実行のみを許可され、セキュリティ管理者アカウントは、ドメインおよびセキュリティ関連の機能の実行のみを許可されます。 セキュリティ管理者の役割を使用することで、完全な権限を持つアカウントを 1 つに減らし、日常的な運用のための職務を分離することができます。Unisphere では、ユーザー アカウントを作成する必要があり、ユーザー アカウントは、ユーザー名、役割、およびスコープの固有の組み合わせによって識別されます。 この機能により、ユーザー アカウントをセットアップするときの柔軟性が向上します。 ほとんどの IT担当者は、グローバル オペレータアカウントを割り当てられると予想されるので、ドメイン内のすべてのストレージ システムを監視することができます。 また、構成することを許可されている特定のストレージ システムに対するローカル ストレージ管理者アカウントを IT担当者に割り当てることもできます。それぞれの責務に適した権限を持つグローバル ユーザー アカウントを作成できます。 ローカル ドメインでグローバル ユーザー アカウントを作成するには、Unisphere にログインし、［すべてのシステム ＞ドメイン ＞ ユーザー］（タスク リスト）＞［グローバル ユーザーの管理］を使用します。 あるいは、システムを選択した後、［設定 ＞ セキュリティ ＞ ユーザー管理］（タスク リスト）を選択し、［グローバル ユーザー］を使用します。 選択したシステムがローカル ドメイン内のシステムの場合は、［設定］からしかグローバル ユーザーの機能にアクセスできません。それぞれの責務に適した権限を持つ File および Block システムのローカル ユーザー アカウントを作成できます。 Block用のローカル ユーザーは、ローカル システム上の Block機能のみ管理できます。 同様に、File用のローカル ユーザーは、ローカル システム上の File サーバー機能のみ管理できます。 新しい Block用のローカル ユーザー アカウントを作成するには、Unisphere にログインし、VNX for Block システムを選択して、［設定 ＞ ユーザー管理］（タスク リスト）を選択し、［ロック用のローカル ユーザー］を使用します。 新しい File用のローカル ユーザー アカウントを作成するには、Unisphere にログインし、VNX for File システムを選択して、［設定 ＞ ユーザー管理］（タスクリスト）を選択し、［ファイル用のローカル ユーザー］を使用します。ユーザー アカウント作成の詳細については、Unisphere のオンライン ヘルプを参照してください。

アクセス制御

Unisphere の主な役割 23

データ保護の役割データ保護（レプリケーション）タスクは、多くの場合サード パーティの担当者によって実行されます。以前のリリースではデータ保護タスクを実行するために、ユーザーがストレージ管理者レベルの権限を持っている必要がありました。しかし、サード パーティの担当者にこのレベルのアクセス権を許可するとセキュリティ上の問題が発生する可能性があります。 この問題を解決するために、VNX システムには次の 3 つのデータ保護の役割が用意されています。

これらの役割のどれを使用する場合でも、ユーザーがスナップショット、クローン、SAN Copy セッション、ミラーなどの新しいデータ保護オブジェクトを作成することはできません。 ユーザーは、既存のデータ保護オブジェクトの制御のみを行うことができます。 ユーザーは自分が制御できないオブジェクトのドメインを表示できます。これにより環境をよく理解することができます。

l ローカル データ保護 - SnapView（スナップショットとクローン）および Snapsure（チェックポイント）タスクのみを実行する権限を持ち、スナップショットのロールバックやクローンのリバース同期などのリカバリ操作は実行できません。 また、新しいストレージ オブジェクトを作成する権限もありません。

l データ保護 - すべてのローカル データ保護権限タスク、MirrorView タスク、SAN Copy タスクが含まれますが、セカンダリのプロモートやミラーのフラクチャなどのデータ リカバリ操作は実行できません。 また、新しいストレージ オブジェクトを作成する権限もありません。

l データ リカバリ - ローカル データ保護とデータ保護の役割のすべての権限、およびデータ リカバリタスクを実行する権限が含まれますが、新しいストレージ オブジェクトを作成する権限はありません。

データ保護の役割の機能に、データ保護タスクとそれらのタスクを実行する権限を持つ役割の一覧を示します。 役割に基づくアクセスを使用して、特定のユーザーが実行できる VNX for File の CLIコマンド（タスク）を決める方法については、VNX for File の CLI の役割に基づくアクセスを参照してください。

表 2 データ保護の役割の機能

タスク ローカルなデータ保護

データ保護 データ リカバリ

［SnapView］

（整合性のある）スナップ セッションの開始 Yes Yes Yes

（整合性のある）スナップ セッションの停止 Yes Yes Yes

スナップショット LUN に対するセッションのアクティブ化

Yes Yes Yes

スナップショット LUN のセッションの非アクティブ化

Yes Yes Yes

クローンの同期 Yes Yes Yes

クローンを切り離す Yes Yes Yes

Snap セッションのロール バック いいえ いいえ Yes

クローンのリバース同期 いいえ いいえ Yes

［MirrorView］

アクセス制御

24 VNX1, VNX2 VNX のセキュリティ構成ガイド

表 2 データ保護の役割の機能 （続き）

タスク ローカルなデータ保護

データ保護 データ リカバリ

ミラー/コンシステンシ グループの同期化 いいえ Yes Yes

ミラー/コンシステンシ グループのフラクチャ いいえ いいえ Yes

非同期ミラーの更新パラメータの制御 いいえ Yes Yes

非同期ミラーの更新間隔の変更 いいえ Yes Yes

ミラー/コンシステンシ グループのスロットル いいえ Yes Yes

同期または非同期セカンダリ ミラー/コンシステンシ グループのプロモート

いいえ いいえ Yes

［SAN Copy］

セッションの開始 いいえ Yes Yes

セッションの停止 いいえ Yes Yes

セッションの一時停止 いいえ Yes Yes

セッションの再開 いいえ Yes Yes

セッションにマークを付ける いいえ Yes Yes

セッションのマーク解除 いいえ Yes Yes

セッションの検証 いいえ Yes Yes

セッションのスロットル いいえ Yes Yes

コンポーネントのアクセス制御コンポーネントのアクセス制御設定により、外部または内部のシステムやコンポーネントによる製品へのアクセスが定義されます。

コンポーネント認証ストレージ グループは、LUN のアクセス制御メカニズムです。 LUN のグループを特定のホストによるアクセスから分離します。 ストレージ グループを構成するときには、1 つ以上のホストによってのみ使用される LUN のセットを指定します。 これにより、ストレージ システムによって、そのホストから LUNへのアクセスが強制されます。 指定された LUNは、ストレージ グループ内のホストにのみ提示され、ホストはそのグループ内の LUN のみを参照できます（LUN マスキング）。 ストレージ グループを構成するには、システムを選択し、［ホスト ＞ ストレージ グループ］を使用します。 ストレージ グループの構成の詳細については、Unisphere のオンライン ヘルプを参照してください。IP フィルタリングを使用すると、管理者やセキュリティ管理者が、指定した IP アドレスへの管理アクセスが制限されるようにストレージ システムを構成できるので、セキュリティの階層が増加します。 これらの設定は、ローカル ストレージ システムに適用することも、ストレージ システムのドメイン全体に適用することもできます。 IP フィルタリングの詳細については、安全な保守設定（Block）を参照してください。

アクセス制御

コンポーネントのアクセス制御 25

VNX for File の CLI の役割に基づくアクセスコマンド ライン インタフェースへのアクセスに使用する管理ユーザー アカウントは、特定の権限（役割とも呼ばれる）に関連づけられます。 役割は、ユーザーが特定の VNX オブジェクトに対して実行できる権限（操作）を定義します。 CLI、EMC Unisphere™、XML API を使用して VNX にアクセスするユーザーに対して、事前に定義された役割を選択したり、ユーザーに特定の権限を与える独自の役割を定義したりする機能がサポートされています。役割に基づくアクセスを使用して、特定のユーザーが実行できる VNX for File の CLI コマンドを決める方法については、VNX for File の CLI の役割に基づくアクセスを参照してください。

UNIX ユーザーに対するWindows スタイルの認証情報VNX for File では、一般的なWindows スタイル（NT）の認証情報を作成できます。 そのため、ユーザーはファイル アクセス プロトコルに関係なく同じ認証情報を持つことになり、アクセス コントロールの一貫性が確保されます。 この機能を構成する方法については、「VNX でのマルチプロトコル環境の管理」を参照してください。

セッション トークンの保護ユーザーと Unisphere間の接続、および 2 つの VNX for File システム間の接続では、SHA1 を使用してチェックサムを生成することで、ログインしたユーザーを識別するためのセッション トークン（Cookie）を保護します。チェックサムを生成するために使用される SHA1秘密値は、インストール時にランダムに設定されます。ただし、セキュリティを強化するために、デフォルトの SHA1秘密値を変更できるようになっています。 この値を変更すると、既存のセッション トークン（Cookie）は有効でなくなり、Unisphere の現在のユーザーはログインし直す必要があります。 Control Station プロパティを変更するには、ユーザーが root である必要があります。 詳細については、セッション トークンの保護を参照してください。

CIFS Kerberos認証 CIFS Kerberos にんしょうVNX for File では、デフォルトで Kerberos認証と NTLM認証の両方が許可されています。Windows環境では Kerberos認証方法が推奨されるため、NTLM認証を無効化する場合があります この設定の構成方法については「server_cifs」 man page を参照し、認証については「VNXCIFS の構成と管理」を参照してください。

NFS セキュリティ設定一般的に、NTF ファイル共有プロトコルは脆弱性があると考えられていますが、次の構成設定を使用して NFS のセキュリティを向上させることができます。l 一部（またはすべて）のホストに対して読み取り専用アクセスを定義するl 特定のシステムまたはサブネットへの root アクセスを制限するl そのエントリーに対応するファイル システムにマウントする権利をクライアントが所有していない場

合は、エクスポートおよびマウント情報を非表示にするまた、強力な認証が必要な場合は、Kerberos を使用する Secure NFS を構成できます。 これらの設定については、「VNX NFS の構成」を参照してください。デフォルトでは、NFS エクスポートはすべて表示されます。 NFS エクスポートを非表示にするには、server_param コマンドを使用して、マウント ファシリティ パラメーターの［forceFullShowmount］値を変更する必要があります。

アクセス制御

26 VNX1, VNX2 VNX のセキュリティ構成ガイド

NFS および CIFS のアクセス ポリシーVNX for File のカスタマイズ可能な一連のアクセス モードにより、現在の環境に合わせて、NFS とCIFS アクセス間の最適な対話を選択できるようになります。 この機能を構成する方法については、「VNX でのマルチプロトコル環境の管理」を参照してください。セキュリティ属性を保持する方法、および NFS と CIFS ユーザー間の対話のタイプを選択できます。対話のタイプには、次のものがあります。l NATIVE

l UNIX

l NT

l 保護l MIXED

l MIXED_COMPAT

NFSv4 を使用している場合、MIXED アクセス ポリシーが必要になります。

データ セキュリティ設定データ セキュリティ設定を使用して、製品によって永続的に保存されたデータが不正な方法で開示されることを防止するための管理方法を定義できます。

データの整合性VNX システムは、いくつかの独自のデータ整合性機能を使用してシステム上の顧客データを保護します。

格納データの暗号化格納データの暗号化機能（D@RE）（この機能は、VNX Operating Environment（OE）forBlockバージョン 5.33以降を実行している VNX システムのみに関連しています）の詳細については、「データ セキュリティの設定」を参照してください。格納データの暗号化の詳細については、EMC オンライン サポート用Web サイト（http://Support.EMC.com）の「企業内の保存されたデータの暗号化へのアプローチ」を参照してください。

パスワード ポリシー強力なパスワードは、セキュリティ戦略の重要な要素となります。 すべての VNX for File のローカルユーザーに十分強力なパスワードを確実に使用させるため、ユーザー定義のパスワードに一定の複雑性を適用するパスワード品質ポリシーを定義できます。 この機能は、ドメインにマップされているユーザーには適用されません。これらのユーザーのパスワードは、ドメイン内のポリシーで管理されます。デフォルトのパスワード ポリシーには、次の要件があります。l パスワードは 8文字以上にするl 許容される新しいパスワードを 3回以内に定義しないと、コマンドが失敗するl 前のパスワードで使用されていない文字を 3文字以上含めるl 新しいパスワードには 1文字以上の数字を含める

アクセス制御

NFS および CIFS のアクセス ポリシー 27

http://Support.EMC.comhttp://Support.EMC.com

現在、パスワードでの特殊文字（!、@、#、$、%、&、^、*）や大文字/小文字の使用に関する要件はありません。

VNX for File でのデフォルトのパスワード有効期限は 120日です。

パスワード品質ポリシーを変更した場合、その変更はポリシーの改訂後に定義されたパスワードにのみ適用されます。

物理的セキュリティ統制ストレージ システムを配置するエリアは、VNX システムの物理的セキュリティを確保できるように選択または構成する必要があります。 たとえば、十分なドアとロックを用意すること、システムに対して監視下に置かれた許可された物理アクセスだけを認めること、信頼性の高い電源を使用すること、標準的な配線のベスト プラクティスに従うことなど、基本的な対策を行います。さらに、シリアル ポート接続には特別な注意が必要です。 EMC および当社のサービス パートナーは、ストレージ プロセッサへのシリアル接続を使用して緊急アクセスを行うことができます。 安全な保守設定（Block）に記載されているように管理ポートへの許可されたアクセスを管理すること、およびストレージ システムを物理的に安全な場所に設置することはお客様の責任です。 これには、緊急保守用のシリアル ポートを含む、ストレージ プロセッサへの物理的なアクセスの適切な保護が含まれます。シリアル コンソールと SSH で匿名 root ログインを制限すると、VNX for File/Unified システムのシステム セキュリティが強化されます。 詳細については、匿名 root ログインの制限を参照してください。GRUB ブート ローダーをパスワードで保護すると、システムのセキュリティが強化されます。 GRUB のパスワードを設定するには、root アクセスが必要です。root ユーザーとして CLI にログインすることで設定できます。 GRUB構成ファイルでパスワードを設定します。 多くの場合、このファイルは、/etc/grub.conf、 /boot/grub/grub、/boot/grub/menu.lstなど、複数の場所のいずれかにあります。 平文のパスワードを設定するには、GRUB構成ファイルを編集して、コメント解除された最初の行の前に、次の行を追加します。password［］

ログイン バナーと今日のメッセージログイン バナーとMOTD（今日のメッセージ）は、管理者が VNX for File ユーザーと連絡を取る手段となります。 コマンド ライン インタフェースと Unisphere で、同じログイン バナーを確認できます。 MOTDはコマンド ライン インタフェースからのみ確認できます。 Control Station プロパティを変更するには、ユーザーが root である必要があります。Unisphere からバナーを構成するには、［システム ＞ システム管理］（タスク リスト）＞［ControlStation のプロパティ］を選択します。 この機能については、Unisphere のオンライン ヘルプを参照してください。VNX for File CLI を使用してバナーとMOTD を構成する場合、詳細についてはセキュリティ構成に関連する操作での VNX for File CLI の使用を参照してください。

アクセス制御

28 VNX1, VNX2 VNX のセキュリティ構成ガイド

第 3章

ロギング

この章では、VNX（Block と File のみを含む）に実装されたさまざまなログ機能について説明します。次のトピックが含まれます。

l ログの設定........................................................................................................... 30l VNX for Block システムの監査ログ.........................................................................30l VNX および RSA enVision.....................................................................................31l VNX for File システムの監査..................................................................................31l 格納データの暗号化の監査ログ.............................................................................. 32

ロギング 29

ログの設定ログとは、システムにおける処理を時間ごとに記録したものであり、操作、手順、またはセキュリティ関連のトランザクションにおけるイベント（最初から最終的な結果まで）に関連する、あるいは、これ