Jump To Close Expand all Collapse all Table of contents セキュリティーおよび強化ガイド 1. はじめに Expand section "1. はじめに" Collapse section "1. はじめに" 1.1. OpenStack の基本概念 Expand section "1.1. OpenStack の基本概念" Collapse section "1.1. OpenStack の基本概念" 1.1.1. OpenStack とは 1.1.2. 主要な用語 1.1.3. ディレクターによる設定管理 1.2. セキュリティーの境界線と脅威 Expand section "1.2. セキュリティーの境界線と脅威" Collapse section "1.2. セキュリティーの境界線と脅威" 1.2.1. セキュリティゾーン Expand section "1.2.1. セキュリティゾーン" Collapse section "1.2.1. セキュリティゾーン" 1.2.1.1. パブリックゾーン 1.2.1.2. ゲストゾーン 1.2.1.3. ストレージアクセスゾーン 1.2.1.4. コントロールプレーン 1.2.1.5. Management ネットワーク 1.3. セキュリティゾーンの接続 1.4. 脅威の分類、アクター、および攻撃ベクター Expand section "1.4. 脅威の分類、アクター、および攻撃ベクター" Collapse section "1.4. 脅威の分類、アクター、および攻撃ベクター" 1.4.1. 脅威アクター Expand section "1.4.1. 脅威アクター" Collapse section "1.4.1. 脅威アクター" 1.4.1.1. アウトバウンド攻撃と風評被害の危険 1.5. ソフトウェアのサポート 1.6. システムドキュメント Expand section "1.6. システムドキュメント" Collapse section "1.6. システムドキュメント" 1.6.1. システムロールと種類 1.6.2. システムインベントリー 1.6.3. ハードウェアインベントリー 1.6.4. ソフトウェアインベントリー 1.6.5. ネットワークトポロジー 1.6.6. サービス、プロトコル、およびポート 2. 暗号化および鍵管理 Expand section "2. 暗号化および鍵管理" Collapse section "2. 暗号化および鍵管理" 2.1. TLS と SSL の概要 Expand section "2.1. TLS と SSL の概要" Collapse section "2.1. TLS と SSL の概要" 2.1.1. 公開鍵インフラストラクチャー 2.1.2. 認証局 2.1.3. director を使用した暗号化の設定 2.1.4. TLS ライブラリー 2.1.5. TLS 1.0 が非推奨に Expand section "2.1.5. TLS 1.0 が非推奨に" Collapse section "2.1.5. TLS 1.0 が非推奨に" 2.1.5.1. TLS 1.0 が使用されているかどうかを確認する 2.1.6. 暗号化アルゴリズム、暗号モード、およびプロトコル 2.2. TLS プロキシーおよび HTTP サービス Expand section "2.2. TLS プロキシーおよび HTTP サービス" Collapse section "2.2. TLS プロキシーおよび HTTP サービス" 2.2.1. Perect Forward Secrecy 2.3. Barbican を使用したシークレットの管理 3. アイデンティティーおよびアクセス管理 Expand section "3. アイデンティティーおよびアクセス管理" Collapse section "3. アイデンティティーおよびアクセス管理" 3.1. アイデンティティー Expand section "3.1. アイデンティティー" Collapse section "3.1. アイデンティティー" 3.1.1. 認証 Expand section "3.1.1. 認証" Collapse section "3.1.1. 認証" 3.1.1.1. 無効なログイン試行 3.1.1.2. マルチファクター認証 3.2. 承認 Expand section "3.2. 承認" Collapse section "3.2. 承認" 3.2.1. Formal Access Control Policies を確立 3.2.2. サービス承認 3.2.3. 管理ユーザーアカウント 3.2.4. エンドユーザー 3.3. ポリシー Expand section "3.3. ポリシー" Collapse section "3.3. ポリシー" 3.3.1. 既存のポリシーの確認 3.3.2. サービスポリシーについて 3.3.3. ポリシー構文 3.3.4. アクセス制御でのポリシーファイルの使用 Expand section "3.3.4. アクセス制御でのポリシーファイルの使用" Collapse section "3.3.4. アクセス制御でのポリシーファイルの使用" 3.3.4.1. 例: パワーユーザーロールの作成 3.3.4.2. 例: 属性に基づくアクセスの制限 3.3.4.3. ロール割り当ての確認 3.4. トークン Expand section "3.4. トークン" Collapse section "3.4. トークン" 3.4.1. UUID トークン 3.4.2. fernet トークン 3.5. Keystone ドメイン 3.6. アイデンティティサービスとの連携 3.7. Red Hat Single Sign-On を使用した IdM でのフェデレーション Expand section "3.7. Red Hat Single Sign-On を使用した IdM でのフェデレーション" Collapse section "3.7. Red Hat Single Sign-On を使用した IdM でのフェデレーション" 3.7.1. フェデレーションのワークフロー 3.8. LDAP ベースのサービスとの統合 Expand section "3.8. LDAP ベースのサービスとの統合" Collapse section "3.8. LDAP ベースのサービスとの統合" 3.8.1. LDAP 統合の仕組み 4. インフラストラクチャーおよび仮想化の強化 Expand section "4. インフラストラクチャーおよび仮想化の強化" Collapse section "4. インフラストラクチャーおよび仮想化の強化" 4.1. 脆弱性の認識 4.2. ネットワークタイムプロトコル Expand section "4.2. ネットワークタイムプロトコル" Collapse section "4.2. ネットワークタイムプロトコル" 4.2.1. 一貫した時刻が重要な理由 4.2.2. NTP 設計 4.2.3. Red Hat OpenStack プラットフォームでの NTP の構成 4.3. Compute Expand section "4.3. Compute" Collapse section "4.3. Compute" 4.3.1. OpenStack のハイパーバイザー Expand section "4.3.1. OpenStack のハイパーバイザー" Collapse section "4.3.1. OpenStack のハイパーバイザー" 4.3.1.1. ハイパーバイザーとベアメタル 4.3.1.2. ハイパーバイザーメモリーの最適化 4.3.2. 仮想化 Expand section "4.3.2. 仮想化" Collapse section "4.3.2. 仮想化" 4.3.2.1. 物理ハードウェア (PCI パススルー) 4.3.2.2. 仮想ハードウェア (QEMU) 4.3.2.3. ラベルとカテゴリー 4.3.2.4. SELinux ユーザーおよびロール 4.3.2.5. コンテナー化されたサービス 4.3.3. コンピュートデプロイメントのハード化 4.3.4. ハードウェアの脆弱性の軽減 Expand section "4.3.4. ハードウェアの脆弱性の軽減" Collapse section "4.3.4. ハードウェアの脆弱性の軽減" 4.3.4.1. PCI パススルーの強化 4.3.4.2. セキュリティー強化管理コンソール 4.3.4.3. ファームウェアの更新 4.4. Block Storage Expand section "4.4. Block Storage" Collapse section "4.4. Block Storage" 4.4.1. ボリュームの接続 4.4.2. ブロックストレージの強化 Expand section "4.4.2. ブロックストレージの強化" Collapse section "4.4.2. ブロックストレージの強化" 4.4.2.1. 設定ファイルのユーザー/グループ所有権を root/cinder に設定します。 4.4.2.2. 設定ファイルの厳密なパーミッションの設定 4.4.2.3. 認証には keystone を使用します。 4.4.2.4. 認証用に TLS を有効にする 4.4.2.5. Block Storage が Compute との通信に TLS を使用するのを確認 4.4.2.6. NFS に使用される NAS デバイスが強化された環境で動作していることを確認します 4.4.2.7. 要求のボディーの最大サイズの設定 4.4.2.8. ボリュームの暗号化の有効化 4.5. ネットワーキング Expand section "4.5. ネットワーキング" Collapse section "4.5. ネットワーキング" 4.5.1. ネットワークアーキテクチャー Expand section "4.5.1. ネットワークアーキテクチャー" Collapse section "4.5.1. ネットワークアーキテクチャー" 4.5.1.1. 物理サーバーでの Neutron サービスの配置 4.5.2. セキュリティーゾーンの使用 4.5.3. ネットワークサービス Expand section "4.5.3. ネットワークサービス" Collapse section "4.5.3. ネットワークサービス" 4.5.3.1. VLAN およびトンネリングを使用した L2 分離 4.5.3.2. VLAN 4.5.3.3. L2 トンネリング 4.5.3.4. ネットワークサービス 4.5.3.5. アクセス制御リスト 4.5.4. L3 ルーティングおよび NAT 4.5.5. Quality of Service (QoS) Expand section "4.5.5. Quality of Service (QoS)" Collapse section "4.5.5. Quality of Service (QoS)" 4.5.5.1. 負荷分散 4.5.6. Networking サービスのハードニング Expand section "4.5.6. Networking サービスのハードニング" Collapse section "4.5.6. Networking サービスのハードニング" 4.5.6.1. API サーバーのバインドアドレスの制限: neutron-server 4.5.6.2. OpenStack Networking サービスの DB および RPC 通信を制限 4.5.6.3. プロジェクトネットワークサービスのワークフロー 4.5.6.4. ネットワークリソースポリシーエンジン 4.5.6.5. セキュリティーグループ 4.5.6.6. クォータ 4.5.6.7. ARP スプーフィングの緩和策 4.5.6.8. 設定ファイルのユーザー/グループの所有権を root/neutron に設定します。 4.5.6.9. 設定ファイルの厳密なパーミッションの設定 4.5.6.10. 認証には keystone を使用します。 Expand section "4.5.6.10. 認証には keystone を使用します。" Collapse section "4.5.6.10. 認証には keystone を使用します。" 4.5.6.10.1. 認証にセキュアプロトコルを使用 4.5.6.10.2. Neutron API サーバーでの TLS の有効化 5. director を使用したセキュリティー強化の設定 Expand section "5. director を使用したセキュリティー強化の設定" Collapse section "5. director を使用したセキュリティー強化の設定" 5.1. SSH バナーテキストの使用 5.2. システムイベントの監査 5.3. ファイアウォールルールの管理 5.4. AIDE を使用した侵入検知 Expand section "5.4. AIDE を使用した侵入検知" Collapse section "5.4. AIDE を使用した侵入検知" 5.4.1. 複雑な AIDE ルールの使用 5.4.2. その他の AIDE 値 5.4.3. AIDE の cron 設定 5.4.4. システムアップグレードの影響に関する考慮 5.5. SecureTTY の確認 5.6. Identity サービスの CADF 監査 5.7. login.defs 値の確認 6. Dashboard サービスの強化 Expand section "6. Dashboard サービスの強化" Collapse section "6. Dashboard サービスの強化" 6.1. ダッシュボードデプロイメントの計画 Expand section "6.1. ダッシュボードデプロイメントの計画" Collapse section "6.1. ダッシュボードデプロイメントの計画" 6.1.1. ドメイン名の選択 6.1.2. ALLOWED_HOSTS の設定 6.2. 一般的な Web サーバーの脆弱性の理解 Expand section "6.2. 一般的な Web サーバーの脆弱性の理解" Collapse section "6.2. 一般的な Web サーバーの脆弱性の理解" 6.2.1. クロスサイトスクリプティング (XSS) 6.2.2. クロスサイトリクエストフォージェリー (CSRF) 6.2.3. クロスフレームスクリプティング (XFS) 6.2.4. Dashboard トラフィックの HTTPS 暗号化の使用 6.2.5. HTTP Strict Transport Security (HSTS) 6.3. ダッシュボードコンテンツのキャッシュ Expand section "6.3. ダッシュボードコンテンツのキャッシュ" Collapse section "6.3. ダッシュボードコンテンツのキャッシュ" 6.3.1. フロントエンドキャッシング 6.3.2. セッションバックエンド 6.4. シークレットキーの確認 6.5. セッションクッキーの設定 6.6. 静的メディア 6.7. パスワードの複雑性の検証 6.8. 管理者パスワードチェックの強制 6.9. iframe 埋め込みの拒否 6.10. パスワード表示の無効化 6.11. Dashboard へのログインバナーの表示 Expand section "6.11. Dashboard へのログインバナーの表示" Collapse section "6.11. Dashboard へのログインバナーの表示" 6.11.1. テーマのカスタマイズ 6.12. ファイルのアップロードサイズの制限 6.13. Dashboard サービスのデバッグ 7. Shared File Systems (Manila) のセキュリティー強化 Expand section "7. Shared File Systems (Manila) のセキュリティー強化" Collapse section "7. Shared File Systems (Manila) のセキュリティー強化" 7.1. manila のセキュリティーに関する考慮事項 7.2. manila のネットワークおよびセキュリティーモデル 7.3. ファイル共有バックエンドモード 7.4. manila のネットワーク要件 7.5. manila を使用したセキュリティーサービス Expand section "7.5. manila を使用したセキュリティーサービス" Collapse section "7.5. manila を使用したセキュリティーサービス" 7.5.1. セキュリティーサービスの概要 7.5.2. セキュリティーサービスの管理 7.6. ファイル共有へのアクセスの制御 7.7. 共有種別のアクセス制御 7.8. ポリシー 8. オブジェクトストレージ Expand section "8. オブジェクトストレージ" Collapse section "8. オブジェクトストレージ" 8.1. ネットワークセキュリティー 8.2. 一般的なサービスセキュリティー Expand section "8.2. 一般的なサービスセキュリティー" Collapse section "8.2. 一般的なサービスセキュリティー" 8.2.1. 非 root ユーザーとしてのサービスの実行 8.2.2. ファイル権限 8.3. ストレージサービスのセキュリティー保護 Expand section "8.3. ストレージサービスのセキュリティー保護" Collapse section "8.3. ストレージサービスのセキュリティー保護" 8.3.1. Object Storage アカウントの用語 8.4. プロキシーサービスのセキュリティー保護 Expand section "8.4. プロキシーサービスのセキュリティー保護" Collapse section "8.4. プロキシーサービスのセキュリティー保護" 8.4.1. HTTP リッスンポート 8.4.2. ロードバランサー 8.5. Object Storage の認証 Expand section "8.5. Object Storage の認証" Collapse section "8.5. Object Storage の認証" 8.5.1. Keystone 8.6. 保存されている swift オブジェクトの暗号化 8.7. その他の項目 9. 監視およびロギング Expand section "9. 監視およびロギング" Collapse section "9. 監視およびロギング" 9.1. モニタリングインフラストラクチャーの強化 9.2. 監視するイベントの例 10. プロジェクトのデータのプライバシー Expand section "10. プロジェクトのデータのプライバシー" Collapse section "10. プロジェクトのデータのプライバシー" 10.1. データプライバシーの懸念 Expand section "10.1. データプライバシーの懸念" Collapse section "10.1. データプライバシーの懸念" 10.1.1. データ保持 10.1.2. データの破棄 10.1.3. 安全に消去されないデータ 10.1.4. インスタンスメモリーのスクラブ 10.1.5. cinder ボリュームデータの暗号化 10.1.6. Image サービスの削除遅延機能 10.1.7. Compute のソフト削除機能 10.1.8. コンピュートインスタンスの一時ストレージ 10.2. ベアメタルプロビジョニングのセキュリティー強化 Expand section "10.2. ベアメタルプロビジョニングのセキュリティー強化" Collapse section "10.2. ベアメタルプロビジョニングのセキュリティー強化" 10.2.1. ハードウェアの特定 10.3. データの暗号化 Expand section "10.3. データの暗号化" Collapse section "10.3. データの暗号化" 10.3.1. ボリュームの暗号化 10.3.2. 一時ディスクの暗号化 Expand section "10.3.2. 一時ディスクの暗号化" Collapse section "10.3.2. 一時ディスクの暗号化" 10.3.2.1. 暗号化された LVM 一時ディスクの作成と使用方法 10.3.2.2. キー管理サービスとの対話 10.3.3. Object Storage オブジェクト 10.3.4. Block Storage のパフォーマンスおよびバックエンド 10.3.5. ネットワークデータ 10.4. キー管理 11. インスタンスのセキュリティーの管理 Expand section "11. インスタンスのセキュリティーの管理" Collapse section "11. インスタンスのセキュリティーの管理" 11.1. インスタンスへのエントロピーの提供 11.2. ノードへのインスタンスのスケジューリング 11.3. 信頼できるイメージの使用 Expand section "11.3. 信頼できるイメージの使用" Collapse section "11.3. 信頼できるイメージの使用" 11.3.1. イメージの作成 11.3.2. イメージの署名の確認 11.4. インスタンスの移行 Expand section "11.4. インスタンスの移行" Collapse section "11.4. インスタンスの移行" 11.4.1. ライブマイグレーションのリスク 11.4.2. ライブマイグレーションの緩和 Expand section "11.4.2. ライブマイグレーションの緩和" Collapse section "11.4.2. ライブマイグレーションの緩和" 11.4.2.1. ライブマイグレーションの無効化 11.4.2.2. 移行ネットワーク 11.4.2.3. 暗号化されたライブマイグレーション 11.5. モニタリング、アラート、およびレポート Expand section "11.5. モニタリング、アラート、およびレポート" Collapse section "11.5. モニタリング、アラート、およびレポート" 11.5.1. 更新およびパッチ 11.5.2. ファイアウォールおよびインスタンスプロファイル Expand section "11.5.2. ファイアウォールおよびインスタンスプロファイル" Collapse section "11.5.2. ファイアウォールおよびインスタンスプロファイル" 11.5.2.1. セキュリティーグループ 11.5.3. インスタンスのコンソールへのアクセス 11.5.4. 証明書の挿入 12. メッセージキュー Expand section "12. メッセージキュー" Collapse section "12. メッセージキュー" 12.1. メッセージングセキュリティー 12.2. メッセージングトランスポートのセキュリティー Expand section "12.2. メッセージングトランスポートのセキュリティー" Collapse section "12.2. メッセージングトランスポートのセキュリティー" 12.2.1. RabbitMQ サーバーの SSL 設定 12.3. キュー認証およびアクセス制御 Expand section "12.3. キュー認証およびアクセス制御" Collapse section "12.3. キュー認証およびアクセス制御" 12.3.1. RabbitMQ 用 OpenStack サービスの設定 12.3.2. Qpid 用 OpenStack サービスの設定 12.4. メッセージキュープロセスの分離およびポリシー Expand section "12.4. メッセージキュープロセスの分離およびポリシー" Collapse section "12.4. メッセージキュープロセスの分離およびポリシー" 12.4.1. Namespaces 13. API エンドポイントの強化 Expand section "13. API エンドポイントの強化" Collapse section "13. API エンドポイントの強化" 13.1. API エンドポイント構成の推奨事項 Expand section "13.1. API エンドポイント構成の推奨事項" Collapse section "13.1. API エンドポイント構成の推奨事項" 13.1.1. 内部 API 通信 13.1.2. Identity サービスカタログでの内部 URL の設定 13.1.3. 内部 URL のアプリケーションの設定 13.1.4. Paste およびミドルウェア 13.1.5. API エンドポイントプロセスの分離およびポリシー 13.1.6. Namespaces 13.1.7. ネットワークポリシー 13.1.8. 必須のアクセス制御 13.1.9. API エンドポイントのレート制限 Settings Close Language: 日本語 English Language: 日本語 English Format: Multi-page Single-page PDF Format: Multi-page Single-page PDF Language and Page Formatting Options Language: 日本語 English Language: 日本語 English Format: Multi-page Single-page PDF Format: Multi-page Single-page PDF セキュリティーおよび強化ガイド Red Hat OpenStack Platform 15グッドプラクティス、コンプライアンス、およびセキュリティーの強化概要 このガイドでは、Red Hat OpenStack Platform 環境のセキュリティーを強化するためのグッドプラクティスのアドバイスと概念的な情報を提供します。 Next