15.2. Tang サーバーのインストールに関する考慮事項
15.2.1. インストールシナリオ
Tang サーバーインストールを計画する場合は、以下の推奨事項を検討してください。
小規模な環境では、複数の Tang サーバーを使用する場合でも、単一のキー情報のセットを使用できます。
- キーのローテーションが容易になりました。
- Tang サーバーは、高可用性を確保できるように簡単にスケーリングできます。
大規模な環境には、複数のキー情報のセットからメリットを得ることができます。
- 物理的なインストールでは、地理的リージョン間のキー情報のコピーおよび同期は必要ありません。
- キーローテーションは大規模な環境ではより複雑です。
- ノードのインストールおよびキー変更には、すべての Tang サーバーへのネットワーク接続が必要です。
- ブートノードが復号化中にすべての Tang サーバーに対してクエリーを実行するため、ネットワークトラフィックがわずかに増加する可能性があります。成功する必要があるのは Clevis クライアントクエリー 1 つのみですが、Clevis はすべての Tang サーバーにクエリーを実行することに注意してください。
複雑性:
-
追加の手動再設定では、ディスクパーティションを復号化するために、
オンラインのサーバー M 台中 N 台の Shamir シークレット共有 (sss) を許可できます。このシナリオでディスクを復号化するには、複数のキー情報のセットと、初回インストール後に Clevis クライアントが含まれる Tang サーバーとノードを手動で管理する必要があります。
-
追加の手動再設定では、ディスクパーティションを復号化するために、
ハイレベルの推奨事項:
- 単一の RAN デプロイメントの場合には、対応するドメインコントローラー (DC) で、一部の Tang サーバーセットを実行できます。
- 複数の RAN デプロイメントの場合には、対応する各 DC で Tang サーバーを実行するか、グローバル Tang 環境が他のシステムのニーズと要件に適しているかどうかを決定する必要があります。
15.2.2. Tang サーバーのインストール
手順
以下のコマンドのいずれかを使用して、Red Hat Enterprise Linux(RHEL) マシンに Tang サーバーをインストールできます。
yumコマンドを使用して Tang サーバーをインストールします。$ sudo yum install tang
dnfコマンドを使用して Tang サーバーをインストールします。$ sudo dnf install tang
インストールはコンテナー化でき、非常に軽量です。
15.2.2.1. コンピュートの要件
Tang サーバーの計算要件は非常に低くなります。サーバーを実稼働環境にデプロイするのに使用する通常のサーバーグレードの設定であれば、十分なコンピュート容量をプロビジョニングできます。
高可用性に関する考慮事項は、可用性のみを対象としており、クライアントの要件に対応するための追加のコンピュート能力ではありません。
15.2.2.2. 起動時の自動開始
Tang サーバーが使用するキー情報は機密性が高いため、Tang サーバーの起動シーケンス中の手動介入のオーバーヘッドが有益である可能性があるので、忘れないでください。
デフォルトでは、Tang サーバーが起動し、想定されるローカルボリュームにキー情報がない場合には、新しいマテリアルを作成し、それを提供します。既存のキー情報を使用して開始するか、起動を中止して手動の介入を待つことで、このデフォルトの動作を避けることができます。
15.2.2.3. HTTP 対 HTTPS
Tang サーバーへのトラフィックは、暗号化 (HTTPS) またはプレーンテキスト (HTTP) にすることができます。このトラフィックを暗号化してもセキュリティーの面で大きな利点はなく、トラフィックを復号化したままにすると、Clevis クライアントを実行するノードでのトランスポート層セキュリティー (TLS) 証明書チェックに関連する複雑性や障害状態がなくなります。
ノードの Clevis クライアントと Tang サーバー間の暗号化されていないトラフィックのパッシブモニタリングを実行することは可能ですが、このトラフィックを使用してキーの情報を判断する機能はせいぜい、理論的な懸念事項を判断できる程度です。このようなトラフィック分析には、大量のキャプチャーデータが必要になります。キーローテーションはすぐに無効になります。最後に、パッシブモニタリングを実行できる脅威アクターは、Tang サーバーへの手動接続に必要なネットワークアクセスをすでに取得しており、キャプチャーされた Clevis ヘッダーの単純な復号化を実行できます。
ただし、インストールサイトで実施されている他のネットワークポリシーでは、アプリケーションに関係なくトラフィックの暗号化が必要になる場合があるため、この決定はクラスター管理者に任せることを検討してください。
15.2.3. Network-Bound Disk Encryption に関するインストール時の考慮事項
Network-Bound Disk Encryption(NBDE) はクラスターノードのインストール時に有効にする必要があります。ただし、ディスク暗号化ポリシーは、インストール時の初期化後に、いつでも変更できます。
