NetApp ONTAP で TLS/SSL 証明書をインストールする方法

HTTPS は、機密データを送信するインターネット通信の標準的な方法です。TLS プロトコルは HTTPS の基盤であり、送信された情報が傍受されたり改ざんされたりできないように接続を暗号化します。

HTTPS は、機密データを送信するローカル Web アプリケーションでも使用する必要があります。これには NetApp サーバーも含まれます。外部アプリケーションやユーザーが、NetApp ONTAP オペレーティング システムと連携して認証、認可、データ転送を行う必要があるためです。そのため、クラスタまたはストレージ仮想マシン (SVM) のレベルで、タイプ「server」のデジタル証明書をインストールする必要があります。

NetApp クラスタまたは SVM を作成すると、SSL サーバー認証を有効にするために、自分で署名したサーバー証明書が自動的に作成され、インストールされます。とはいえ、より強固なセキュリティのために、信頼できる認証局 (CA) によって署名された証明書をインストールすることを強く推奨します。

このブログ記事では、CA によって署名された証明書をインストールし、クラスタまたは SVM がそれを使用できるように設定する方法を説明します。(NetApp は CA によって署名された証明書の申請 を支援できます。)

ONTAP クラスタまたは SVM に TLS 証明書をインストールする

以下の例のコマンドは SVM レベル向けですが、クラスタ レベルにも簡単に適用できます。さらに、これらは「server」証明書用ですが、外部アプリケーション サーバーとの安全な ONTAP 通信のために「client-ca」証明書をインストールする際にも使用できます。

また、「SSL」という用語は、SSL プロトコルが後継の TLS プロトコルに取って代わられ、長い間非推奨となっているにもかかわらず、今でも一般的に使われている点にも注意してください。

始める前に、証明書の公開鍵と秘密鍵を手元に用意しておいてください。すべての秘密鍵を安全に保つことが非常に重要であることを忘れないでください。秘密鍵が侵害されると大きなセキュリティリスクとなり、速やかに失効させて置き換える必要があります。

証明書をインストールし、クラスターまたは SVM がそれを使用するように設定するには、次の手順を実行します。

1. クラスターの CLI インターフェースに SSH 接続し、次のコマンドを実行してください。

      security certificate install -vserver <svm_name> -type server
      

2. プロンプトが表示されたら公開鍵を貼り付けて ENTER を押し、その後秘密鍵を貼り付けてもう一度 ENTER を押します。 「—–BEGIN CERTIFICATE—–」および「—–END CERTIFICATE—–」を含め、各キーのテキスト全体を必ず入力（貼り付け）してください。

3. 次に、新しい証明書を見つけるために、クラスタまたは SVM 上のサーバー証明書に関する情報を表示します:

      security certificate show -vserver <svm_name> -type server
The output should look like the following, which shows a self-signed certificate:
      

      Vserver    Serial Number   Certificate Name                       Type
---------- --------------- -------------------------------------- ------------
dpi_svm    <cert_serial_num>
                           dpi_svm_1625F0D07A496E63               server
    Certificate Authority: dpi_svm
          Expiration Date: Wed Jul 28 14:27:01 2021

      

4. 証明書から、シリアル番号、コモンネーム、および CA のプロパティが必要です。特定の証明書についてさらに情報を表示する必要がある場合は、次のコマンドを実行します:

      security certificate show -serial <cert_serial_number> -instance
      

5. これで、この情報を使ってクラスタまたは SVM の SSL 認証（auth）パラメータを変更し、インストールした証明書を使用するようにできます:

      security ssl modify -vserver <svm_name> -server-enabled true -serial <cert_serial_number> -commonname <cert_common_name> -ca <cert_certificate_authority>
      

6. 指示が表示されたら、証明書チェーンで必要な場合はルート証明書または中間証明書のインストールを続行できます。手順やチェーンについて不明な点がある場合は、証明書発行機関（Certificate Authority）を参照してください。

7. ほとんどの場合、証明書のインストールを完了するには “n” を入力します。 ただし、自分で署名した証明書に関する警告が表示される場合でも、それを使用するつもりであれば “y” を入力して続行してください。

8. 証明書がクラスターまたは SVM のサーバー認証パラメーターに関連付けられていることを確認するには、次のコマンドを実行します:

      security ssl show -vserver <svm_name> -instance
      

出力の「SSL Server Authentication Enabled」の値は「true」である必要があり、予期される証明書のシリアル番号が表示されている必要があります

      Vserver: dpi_svm
                   Server Certificate Issuing CA: dpi_svm
                Server Certificate Serial Number: <cert_serial_num>
                  Server Certificate Common Name: dpi_svm
               SSL Server Authentication Enabled: true
Certificate installation and SSL server auth configuration are now complete, and the cluster or SVM now supports network communication as a server via HTTPS.
      

Netwrix はどのように役立てるのでしょうか？

Netwrix StealthAUDIT には、よく知られていて信頼できる多くの Certificate Authorities が含まれるルート証明書ストアが付属しています。これにより、ネットワーク内の NetApp クラスタおよび SVM に対応する CA 署名のサーバー証明書をインストールすると、通信プロセスが簡素化されます。

さらに、Netwrix StealthAUDIT により、次のことが可能になります：

• 攻撃者が IT システムを侵害し、あなたのデータに到達するために悪用し得る脆弱性を特定します。
• システムのパッチ適用状況を迅速かつ効率的に評価して、追加のセキュリティ上の不備を見つけます。
• baseline configuration の分析を通じて、セキュリティおよび運用ポリシーを徹底します。
• 特権アカウントを監査し、統制します。
• あらかじめ用意されたレポートと、完全なシステム可視性によって、コンプライアンスをより簡単に証明できます。