Oracle ACFS暗号化

Oracle ACFS暗号化により、ディスクに保存されたデータ(保存データ)を暗号化できます。暗号化機能は、Oracle ACFSファイルシステム内の暗号化された形式のデータを保護し、データの損失または盗用の場合にデータの認証されていない使用を防ぎます。暗号化されているファイルとされていないファイルは、同じOracle ACFSファイルシステムに共存できます。

暗号化機能には、システム管理者権限が必要なものがあります。この機能には、暗号化の開始、設定および再構成が含まれます。

システム管理者およびOracle ACFSセキュリティ管理者は暗号化の操作を開始できます。また、非特権ユーザーは自分が所有するファイルの暗号化を開始できます。

Oracle ACFS暗号化では、次の2つのタイプの暗号化キーを提供します。

ファイル暗号化キー

これはファイル用のキーで、ファイル内のデータを暗号化するのに使用されます。
ボリューム暗号化キー

これはファイルシステム用のキーで、ファイルの暗号化キーを暗号化するのに使用されます。

まず、暗号化キー・ストアを作成する必要があり、次にファイルシステム・レベルの暗号化パラメータを指定し、ディレクトリを識別する必要があります。ユーザーにファイル・データをアクセスするのに適切な特権があれば、ユーザーが暗号化されたファイルを読み取るのに追加の手順は必要ありません。

Oracle ACFS暗号化では、Oracle Cluster Registry (OCR)とOracle Key Vaultの両方をキー・ストアとしてサポートしています。OCRとOracle Key Vaultは両方とも、同じクラスタ内で使用できます。ただし、単一ファイルシステムでは、両方ではなくOCRまたはOracle Key Vaultのいずれかをキー・ストアとして使用します。Oracle Key Vaultは現在、Linux上のファイルシステムでのみ使用可能です。

関連項目:

Oracle Key Vaultの詳細は、『Oracle Key Vault管理者ガイド』を参照してください。

OCRをキー・ストアとして使用している場合、暗号化鍵の作成または更新後にOCRをバックアップして、ファイルシステムのすべてのボリューム暗号化鍵(VEK)を含むOCRバックアップを作成する必要があります。

Oracle ACFS暗号化は、盗用やストレージ・メディアへの直接アクセスの脅威から、セカンダリ・ストレージに保存されたデータを保護します。データはセカンダリ・ストレージにプレーンテキストで書き込まれることはありません。物理ストレージが盗まれたとしても、保存されたデータは暗号化キーがなければアクセスできません。暗号化キーはプレーンテキストで保存されることはありません。キーは不明瞭化されるか、またはユーザーが指定したパスワードを使用して暗号化されます。

Oracle ACFSセキュリティ管理者はレルムごとに暗号化パラメータを管理できます。ファイルがレルム・セキュリティの下に配置されると、そのファイルではファイル・レベルの暗号化の操作はできません。レルム・セキュリティにより、所有者またはルート・ユーザーがファイルを開くことができる場合でも、ファイル・レベルの暗号化の操作はブロックされます。レルム保護されたファイルの暗号化は、完全にOracle ACFSセキュリティ管理者により管理され、セキュリティ・レルム・レベルでファイルの暗号化を有効および無効にすることができます。

ディレクトリがセキュリティ・レルムに追加されると、そのディレクトリで作成されたすべてのファイルは、レルムレベルの暗号化パラメータを継承します。ディレクトリまたはファイルシステムレベルのパラメータではありません。ファイルがその最後のセキュリティ・レルムから削除されると、そのファイルはファイルシステムレベルの暗号化状態と一致するように暗号化または復号化されます。ファイルがセキュリティ・レルム・パラメータで暗号化された場合、ファイルシステムレベルのパラメータと一致するように再暗号化されません。

システム管理者はファイルシステムまたはファイル・レベルで、レルム保護されたファイルをキー更新できません。すべてのレルム保護されたファイルが最新のボリューム暗号化キー(VEK)で確実に暗号化されるために、最初にすべてのレルムから暗号化を削除してから、暗号化を再度有効にします。このアクションはすべてのファイルを最新のVEKで再暗号化します。

監査および診断データがOracle ACFS暗号化用に記録されます。ログ・ファイルには、実行したacfsutilコマンド、セキュリティまたはシステム管理者権限の使用、実行時障害などの情報が含まれます。ログは次のファイルに書き込まれます。

mount_point/.Security/encryption/logs/encr-hostname_fsid.log

このディレクトリはacfsutil encr setコマンドにより作成され、セキュリティが有効な場合、Oracle ACFSセキュリティにより保護されます。「acfsutil encr set」を参照してください。
GRID_HOME/log/hostname/acfs/security/acfssec.log

このファイルに記録されるメッセージは、acfsutil encr initなどの、特定のファイルシステムと関連付けられていないコマンドに対してのものです。このディレクトリはインストール中に作成され、ルート・ユーザーが所有します。

アクティブ・ログ・ファイルが事前に定義した最大サイズ(10MB)まで増大すると、ファイルは自動的にlog_file_name.bakに移動し、管理者に通知され、ログは通常のログ・ファイル名で継続します。管理者に通知されると、管理者はlog_file_name.bakファイルをアーカイブするか削除する必要があります。アクティブ・ログ・ファイルが最大サイズまで増大し、log_file_name.bakファイルが存在する場合は、バックアップ・ファイルが削除されるまでログは停止します。バックアップ・ファイルが削除されると、ログは自動的に再開します。

Oracle ACFS暗号化での処理では次のことに注意してください。

暗号化されたファイルのコピーは、そのファイルのコピーが暗号化されたディレクトリで作成されないかぎり暗号化されません。

viエディタなど、アプリケーションによっては、ファイルが変更されるとファイルが再作成されるものがあります。変更されたファイルは一時ファイルとして保存され、元のファイルが削除され、一時ファイルがコピーされて、その名前として元のファイル名が使用されます。この処理では新しいファイルが作成されます。新しいファイルは、それが暗号化されたディレクトリで作成されないかぎり暗号化されません。暗号化されたファイルのコピーを計画している場合、親ディレクトリも暗号化されていることを確認する必要があります。
Oracle ACFSでのデータベース・ファイルによる暗号化の使用は、サポートされていません。

LinuxでOracle ACFS暗号化機能を使用するには、ASMおよびADVMのディスク・グループの互換性属性が11.2.0.2以上に設定されていることが必要です。次のような場合、LinuxではASMとADVMに対するディスク・グループの互換性属性は11.2.0.3以上に設定される必要があります。

Oracle ASM 11gリリース2 (11.2.0.3)で初回時に暗号化を設定する場合。
ソフトウェアのOracle ASM 11gリリース2 (11.2.0.3)へのアップグレードに伴って暗号化パラメータを変更、または新しいボリュームの暗号化キーを作成する必要がある場合。詳細は、「acfsutil encr set」および「acfsutil encr rekey」を参照してください。

WindowsでOracle ACFS暗号化機能を使用するには、ASMおよびADVMのディスク・グループの互換性属性が11.2.0.3以上に設定されていることが必要です。

ディスク・グループの互換性の詳細は、「ディスク・グループの互換性」を参照してください。

Oracle ACFS暗号化およびスナップショットの詳細は、「Oracle ACFSスナップショット」を参照してください。

Oracle ACFSファイルシステムの暗号化情報はV$ASM_ACFS_ENCRYPTION_INFOビューに表示されます。V$ASM_ACFSビュー詳細は、「ビューを使用したOracle ACFS情報の表示」を参照してください。

暗号化を構成し、暗号化されたOracle ACFSファイルシステムを管理するには、「Oracle ACFSファイルシステムの暗号化」および「暗号化用のOracle ACFSコマンドライン・ツール」で説明している、acfsutil encrコマンドライン機能を使用できます。また、「ASMCAによるOracle ACFSのセキュリティおよび暗号化の管理」で説明しているように、Oracle ASMコンフィギュレーション・アシスタントを暗号化機能とともに使用できます。