この章では、Sun Java System Portal Server Secure Remote Access の各種アクセラレータの設定方法について説明します。
この章で説明する内容は次のとおりです。
外部アクセラレータは、Secure Socket Layer (SSL) 機能をサーバーの CPU からオフロードする専用のハードウェアコプロセッサです。これを使用することで、CPU は別のタスクを実行できるようになるので、SSL トランザクションの処理速度が向上します。
Sun™ Crypto Accelerator 1000 (Sun CA1000) ボードは、公開鍵と対称暗号化を加速する暗号化コプロセッサとして機能するショート PCI ボードです。この製品には外部インタフェースがありません。ボードは、内部 PCI バスインタフェースを通じてホストと対話します。このボードの目的は、電子商取引アプリケーションのセキュリティープロトコルのために、計算を中心とするさまざまな暗号化アルゴリズムを高速化することです。
RSA [7] や Triple-DES (3DES) [8] など、多くの重要暗号化機能がアプリケーションから Sun CA1000 にオフロードされ、並行処理されます。これにより、CPU をほかのタスクに振り分けられるようになり、SSL トランザクションの処理速度が向上します。
手順については、「Crypto Accelerator 1000 を設定する」を参照してください。
Portal Server Secure Remote Access がインストールされていること、およびゲートウェイサーバー証明書 (自己署名した、または任意の CA が発行した証明書) がインストールされていることを確認します。詳細については、第 10 章「証明書の操作」を参照してください。
「Crypto Accelerator 1000 の有効化」は、SSL アクセラレータをインストールする前に、必要な情報を確認するためのチェックリストです。このリストには、Crypto Accelerator 1000 のパラメータと値が示されています。
表 15–1 Crypto Accelerator 1000 のインストールチェックリスト
パラメータ |
値 |
---|---|
SRA インストールのベースディレクトリ |
/opt |
SRA の証明書データベースへのパス |
/etc/opt/SUNWportal/cert/default |
SRA サーバー証明書のニックネーム |
server-cert |
レルム |
sra-keystore |
レルムユーザー |
crypta |
ユーザーガイドの指示に従って、ハードウェアをインストールします。次の情報を参照してください。
http://www.sun.com/products-n-solutions/hardware/docs/pdf/816-2450-11.pdf
CD から次のパッケージをインストールします。
SUNWcrypm、SUNWcrypu、SUNWcrysu、SUNWdcar、SUNWcrypr、SUNWcrysl、SUNWdcamn、SUNWdcav
次のパッチをインストールします。これらのパッチは http://sunsolve.sun.com から入手できます。
110383-01、108528-05、112438-01
pk12util および modutil というツールがインストールされていることを確認します。
これらのツールは /usr/sfw/bin の下にインストールされます。ツールが /usf/sfw/bin ディレクトリにない場合は、Sun Java System の配布メディアから SUNWtlsu パッケージを手動で追加する必要があります。
Solaris_[sparc/x86]/Product/shared_components/
スロットファイルを作成します。
vi /etc/opt/SUNWconn/crypto/slots
このファイルの唯一の行として、「crypta@sra」を入力します。
レルムを作成し、設定します。
ユーザーを作成します。
作成したユーザーとしてログインします。
secadm{root@sra}> login user=crypta
Password:
secadm{crypta@sra}> show key
No keys exist for this user.
Sun Crypto モジュールをロードします。
環境変数 LD_LIBRARY_PATH が /usr/lib/mps/secv1/ をポイントする必要があります。
次のように入力します。
modutil -dbdir /etc/opt/SUNWportal/cert/default -add "Sun Crypto Module" -libfile /opt/SUNWconn/crypto/lib/libpkcs11.so
次のコマンドを実行して、このモジュールがロードされたことを確認します。
modutil -list -dbdir /etc/opt/SUNWportal/cert /default
次のコマンドを実行し、ゲートウェイ証明書と鍵を「Sun Crypto モジュール」にエクスポートします。
環境変数 LD_LIBRARY_PATH が /usr/lib/mps/secv1/ をポイントする必要があります。
次のように入力します。
pk12util -o servercert.p12 -d /etc/opt/SUNWportal/cert/default -n server-cert
pk12util -i servercert.p12 -d /etc/opt/SUNWportal/cert/default -h "crypta@sra"
次に、show key コマンドを実行します。
secadm{crypta@sra}> show key
このユーザーの 2 つの鍵が表示されます。
/etc/opt/SUNWportal/cert/default/.nickname ファイルでニックネームを変更します。
vi /etc/opt/SUNWportal/cert/default/.nickname
server-cert を crypta@sra:server-cert に置き換えます。
高速化する暗号化方式を有効化します。
Sun CA1000 は RSA 機能をアクセラレートしますが、アクセラレーションがサポートされる暗号化方式は DES と 3DES だけです。
/etc/opt/SUNWportal/platform.conf.gateway-profile-name を変更してアクセラレータを有効化します。
gateway.enable.accelerator=true
端末ウィンドウから、次のコマンドを指定してゲートウェイを再起動します。
./psadmin start-sra-instance -u amadmin -f passwordfile -N profilename -t gateway |
ゲートウェイは、ゲートウェイプロファイルの HTTPS ポートとして指定されているポートで、プレーンサーバーソケット (非 SSL) にバインドします。
着信するクライアントトラフィックに対して、非 SSL 暗号化または復号化が行われます。この処理は、アクセラレータ側で行われます。
このモードでは、PDC は機能しません。
Sun™ Crypto Accelerator 4000 ボードは、ギガビット Ethernet ベースのネットワークインタフェースカードで、Sun サーバーでの IPsec および SSL (どちらも対象および非対称) の暗号化ハードウェアアクセラレーションをサポートします。
暗号化されていないネットワークトラフィックの標準ギガビットイーサネットネットワークインタフェースカードとして機能するほかに、このボードには、暗号化された IPsec トラフィックのスループット向上をサポートする暗号化ハードウェアも含まれます。
Crypto Accelerator 4000 ボードは、ハードウェアとソフトウェアの両方の暗号化アルゴリズムをアクセラレートします。また、DES および 3DES 暗号化方式の一括暗号化もサポートします。
手順については、「Sun Crypto Accelerator 4000 を設定する」を参照してください。
SRA がインストールされていること、およびゲートウェイサーバー証明書 (自己署名した、または任意の CA が発行した証明書) がインストールされていることを確認します。SSL アクセラレータをインストールする前に、次のチェックリストに基づいて必要な情報を入手してください。
「Crypto Accelerator 1000 の有効化」は、Crypto Accelerator 4000 のパラメータと値を示しています。
表 15–2 Crypto Accelerator 4000 のインストールチェックリスト
パラメータ |
値 |
---|---|
Portal Server Secure Remote Access インストールのベースディレクトリ |
/opt |
SRA インスタンス |
デフォルト |
SRA の証明書データベースへのパス |
/etc/opt/SUNWportal/cert/default |
SRA サーバー証明書のニックネーム |
server-cert |
CA4000 キーストア |
srap |
CA4000 キーストアユーザー |
crypta |
ユーザーガイドの指示に従って、ハードウェアとソフトウェアパッケージをインストールします。次の情報を参照してください。
http://www.sun.com/products-n-solutions/hardware/docs/pdf/816-2450-11.pdf
次のパッチをインストールします。このパッチは http://sunsolve.sun.com から入手できます。114795
certutil、pk12util および modutil というツールがインストールされていることを確認します。
これらのツールは /usr/sfw/bin の下にインストールされます。
ツールが /usf/sfw/bin ディレクトリにない場合は、
Sun Java System の配布メディアから SUNWtlsu パッケージを手動で追加する必要があります。
Solaris_[sparc/x86]/Product/shared_components/
ボードを初期化します。
/opt/SUNWconn/bin/vcadm ツールを実行して Crypto ボードを初期化し、次の値を設定します。
Initial Security Officer Name: sec_officer
Keystore name: sra-keystore
Run in FIPS 140-2 Mode: No
ユーザーを作成します。
vcaadm{vca0@localhost, sec_officer}> create user
New user name: crypta
Enter new user password:
Confirm password:
User crypta created successfully.
キーストアにトークンをマッピングします。
vi /opt/SUNWconn/cryptov2/tokens
次に、このファイルに sra-keystore を追加します。
一括暗号化を有効にします。
touch /opt/SUNWconn/cryptov2/sslreg
Sun Crypto モジュールをロードします。
環境変数 LD_LIBRARY_PATH が /usr/lib/mps/secv1/ をポイントする必要があります。
次のように入力します。
modutil -dbdir /etc/opt/SUNWportal/cert/default -add "Sun Crypto Module" -libfile /opt/SUNWconn/cryptov2/lib/libvpkcs11.so
次のコマンドを実行することで、このモジュールがロードされたことを確認できます。
modutil -list -dbdir /etc/opt/SUNWportal/cert/default
次のコマンドを実行し、ゲートウェイ証明書と鍵を「Sun Crypto モジュール」にエクスポートします。
環境変数 LD_LIBRARY_PATH が /usr/lib/mps/secv1/ をポイントする必要があります。
pk12util -o servercert.p12 -d /etc/opt/SUNWportal/cert/default -n server-cert
pk12util -i servercert.p12 -d /etc/opt/SUNWportal/cert/default -h "sra-keystore"
次のコマンドを実行することで、鍵がエクスポートされたことを確認できます。
certutil -K -h "sra-keystore" -d /etc/opt/SUNWportal/cert/default
/etc/opt/SUNWportal/cert/default/.nickname ファイルでニックネームを変更します。
vi /etc/opt/SUNWportal/cert/default/.nickname
server-cert を sra-keystore:server-cert に置き換えます。
高速化する暗号化方式を有効化します。
端末ウィンドウから、次のコマンドを指定してゲートウェイを再起動します。
./psadmin start-sra-instance -u amadmin -f passwordfile -N profilename -t gateway |
ゲートウェイは、キーストアのパスワードを要求します。
"sra-keystore":crypta:crytpa-password のパスワードまたは Pin を入力します。
ゲートウェイは、ゲートウェイプロファイルの HTTPS ポートとして指定されているポートで、プレーンサーバーソケット (非 SSL) にバインドします。
着信するクライアントトラフィックに対して、非 SSL 暗号化または復号化が行われます。この処理は、アクセラレータ側で行われます。
このモードでは、PDC は機能しません。
オープンモードの Portal Server Secure Remote Access (SRA) の前段で外部 SSL デバイスを実行できます。これは、クライアントと SRA の間に SSL リンクを提供します。
次のタスクを実行できます。
SRA がインストールされ、ゲートウェイがオープンモード (HTTP モード) で稼動していることを確認します。
HTTP 接続を有効にします。
次の表は、外部 SSL デバイスとプロキシアクセラレータのパラメータと値を示しています。
パラメータ |
値 |
---|---|
SRA インスタンス |
デフォルト |
ゲートウェイのモード |
http |
ゲートウェイポート |
880 |
外部デバイス/プロキシのポート |
443 |
ユーザーガイドの指示に従って、ハードウェアとソフトウェアパッケージをインストールします。
必須のパッチがあれば、それをインストールします。
HTTP を使用するために、ゲートウェイインスタンスを設定します。
platform.conf ファイルに次の値を入力します。
gateway.enable.customurl=true
gateway.enable.accelerator=true
gateway.httpurl=https:// external-device-URL:port-number
ゲートウェイ通知は、次の 2 つの方法で設定できます。
Access Manager がポート 880 でゲートウェイマシンにアクセスできる場合 (セッション通知の形式は HTTP) は、platform.conf ファイルに次の値を入力します。
vi /etc/opt/SUNWportal/platform.conf.default
gateway.protocol=http
gateway.port=880
Access Manager がポート 443 で外部デバイス/プロキシにアクセスできる場合 (セッション通知の形式は HTTPS) は、platform.conf ファイルに次の値を入力します。
vi /etc/opt/SUNWportal/platform.conf.default
gateway.host=External Device/Proxy Host Name
gateway.protocol=https
gateway.port=443
SSL デバイス、プロキシが稼動し、トラフィックがゲートウェイポートにトンネルされるように設定されたことを確認します。
端末ウィンドウから、次のコマンドを指定してゲートウェイを再起動します。
./psadmin start-sra-instance -u amadmin -f passwordfile -N profilename -t gateway |