14장. 복제 변경 로그 암호화

복제 변경 로그를 암호화하여 인스턴스의 보안을 높입니다. 공격자가 서버의 파일 시스템에 액세스할 수 있는 경우

변경 로그 암호화는 서버의 TLS 암호화 키와 동일한 generated을 사용하여 키를 잠금 해제합니다. 서버를 시작할 때 CloudEvent를 수동으로 입력하거나 CloudEvent 파일을 사용해야 합니다.

Directory Server는 임의로 생성된 대칭 암호화 키를 사용하여 변경 로그를 암호화하고 암호 해독합니다. 서버는 구성된 각 암호에 대해 별도의 키를 사용합니다. 이러한 키는 서버의 TLS 인증서에서 공개 키를 사용하여 래핑되며 결과의 래핑 키는 서버의 구성 파일에 저장됩니다. 특성 암호화의 효과적인 장점은 래핑에 사용되는 서버의 TLS 키의 기능과 동일합니다. 서버의 개인 키와 CloudEvent에 액세스하지 않으면 래핑된 복사본에서 대칭 키를 복구할 수 없습니다.

14.1. 명령줄을 사용하여 변경 로그 암호화

복제 토폴로지의 보안을 강화하기 위해 공급자 및 허브의 변경 로그를 암호화하십시오. 다음 절차에서는 dc=example,dc=com 접미사에 대해 변경 로그 암호화를 활성화하는 방법을 설명합니다.

사전 요구 사항

  • 서버에는 TLS 암호화가 활성화되어 있습니다.
  • 호스트는 복제 토폴로지의 공급업체 또는 허브입니다.

절차

  1. 예를 들어 변경 로그를 /tmp/changelog.ldif 파일로 내보냅니다.

    # dsconf -D "cn=Directory Manager" ldap://server.example.com replication export-changelog to-ldif -o /tmp/changelog.ldif -r "dc=example,dc=com"
  2. dc=example,dc=com 접미사의 변경 로그 암호화를 활성화합니다.

    # dsconf -D "cn=Directory Manager" ldap://server.example.com replication --suffix "dc=example,dc=com" --encrypt
  3. /tmp/changelog.ldif 파일에서 changelog를 가져옵니다.

    # dsconf -D "cn=Directory Manager" ldap://server.example.com replication import-changelog from-ldif -r "dc=example,dc=com" /tmp/changelog.ldif
  4. 인스턴스를 다시 시작하십시오.

    # dsctl instance_name restart

검증

  1. 항목 업데이트와 같은 LDAP 디렉토리를 변경합니다.
  2. 인스턴스를 중지합니다.

    # dsctl instance_name stop
  3. 접미사와 해당 데이터베이스를 나열합니다.

    # dsconf -D "cn=Directory Manager" ldap://server.example.com backend suffix list
    dc=example,dc=com (userroot)

    변경 로그 암호화를 활성화한 데이터베이스의 이름을 기록해 둡니다.

  4. 다음 명령을 입력하여 변경 로그의 일부를 표시합니다.

    # dbscan -f /var/lib/dirsrv/slapd-instance_name/db/userroot/replication_changelog.db | tail -50

    변경 로그가 암호화된 경우 암호화된 데이터만 볼 수 있습니다.

  5. 인스턴스를 시작합니다.

    # dsctl instance_name start