4.8. クラスタートランスポートの暗号化

1. Data Grid クラスターの最初のノードであるコーディネーターノードは、秘密鍵を生成します。
2. 参加ノードは、コーディネーターとの証明書認証を実行して、相互に ID を検証します。
3. 参加ノードは、コーディネーターノードに秘密鍵を要求します。その要求には、参加ノードの公開鍵が含まれています。
4. コーディネーターノードは、秘密鍵を公開鍵で暗号化し、参加ノードに返します。
5. 参加ノードは秘密鍵を復号してインストールします。
6. ノードはクラスターに参加し、秘密鍵でメッセージを暗号化および復号化します。

1. ノードは、起動時に Data Grid クラスパスのキーストアから秘密鍵をインストールします。
2. ノードはクラスターに参加し、秘密鍵でメッセージを暗号化および復号化します。

手順

1. Data Grid がノードの ID を検証できるようにする証明書チェーンでキーストアを作成します。

2. クラスター内の各ノードのクラスパスにキーストアを配置します。

   Data Grid Server の場合は、$RHDG_HOME ディレクトリーにキーストアを配置します。

3. 以下の例のように、SSL_KEY_EXCHANGE プロトコルおよび ASYM_ENCRYPT プロトコルを Data Grid 設定の JGroups スタックに追加します。

   <infinispan>
       <jgroups>
            <stack name="encrypt-tcp" extends="tcp"> 1
              <SSL_KEY_EXCHANGE keystore_name="mykeystore.jks" 2
                                keystore_password="changeit" 3
                                stack.combine="INSERT_AFTER"
                                stack.position="VERIFY_SUSPECT"/> 4
              <ASYM_ENCRYPT asym_keylength="2048" 5
                       asym_algorithm="RSA" 6
                       change_key_on_coord_leave = "false" 7
                       change_key_on_leave = "false" 8
                       use_external_key_exchange = "true" 9
                       stack.combine="INSERT_AFTER"
                       stack.position="SSL_KEY_EXCHANGE"/> 10
            </stack>
       </jgroups>
       <cache-container name="default" statistics="true">
         <transport cluster="${infinispan.cluster.name}"
                    stack="encrypt-tcp" 11
                    node-name="${infinispan.node.name:}"/>
      </cache-container>
   </infinispan>

   1

   Data Grid のデフォルト TCP スタックを拡張する "encrypt-tcp" という名前のセキュアな JGroups スタックを作成します。

   2

   ノードが証明書認証を実行するために使用するキーストアに名前を付けます。

   3

   キーストアのパスワードを指定します。

   4

   stack.combine 属性と stack.position 属性を使用して、デフォルトの TCP スタックの VERIFY_SUSPECT プロトコルの後に SSL_KEY_EXCHANGE を挿入します。

   5

   コーディネーターノードが生成する秘密鍵の長さを指定します。デフォルト値は 2048 です。

   6

   コーディネーターノードが秘密鍵の生成に使用する暗号化エンジンを指定します。デフォルト値は RSA です。

   7

   コーディネーターノードが変更されたときに新しい秘密鍵を生成して配布するように Data Grid を設定します。

   8

   ノードが離脱するときに新しい秘密鍵を生成して配布するように Data Grid を設定します。

   9

   証明書認証に SSL_KEY_EXCHANGE プロトコルを使用するように Data Grid ノードを設定します。

   10

   stack.combine 属性と stack.position 属性を使用して、デフォルトの TCP スタックの SSL_KEY_EXCHANGE プロトコルの後に ASYM_ENCRYPT を挿入します。

   11

   セキュアな JGroups スタックを使用するように Data Grid クラスターを設定します。

手順

1. シークレットキーが含まれるキーストアを作成します。

2. クラスター内の各ノードのクラスパスにキーストアを配置します。

   Data Grid Server の場合は、$RHDG_HOME ディレクトリーにキーストアを配置します。

3. 次の例のように、Data Grid 設定の JGroups スタックに SYM_ENCRYPT プロトコルを追加します。

   <infinispan>
       <jgroups>
            <stack name="encrypt-tcp" extends="tcp"> 1
              <SYM_ENCRYPT keystore_name="myKeystore.p12" 2
                           keystore_type="PKCS12" 3
                           store_password="changeit" 4
                           key_password="changeit" 5
                           alias="myKey" 6
                           stack.combine="INSERT_AFTER"
                           stack.position="VERIFY_SUSPECT"/> 7
            </stack>
       </jgroups>
       <cache-container name="default" statistics="true">
         <transport cluster="${infinispan.cluster.name}"
                    stack="encrypt-tcp" 8
                    node-name="${infinispan.node.name:}"/>
      </cache-container>
   </infinispan>

   1

   Data Grid のデフォルト TCP スタックを拡張する "encrypt-tcp" という名前のセキュアな JGroups スタックを作成します。

   2

   ノードが秘密鍵を取得するキーストアに名前を付けます。

   3

   キーストアのタイプを指定します。JGroups はデフォルトで JCEKS を使用します。

   4

   キーストアのパスワードを指定します。

   5

   秘密鍵のパスワードを指定します。

   6

   秘密鍵のエイリアスを指定します。

   7

   stack.combine 属性と stack.position 属性を使用して、デフォルトの TCP スタックの VERIFY_SUSPECT プロトコルの後に SYM_ENCRYPT を挿入します。

   8

   セキュアな JGroups スタックを使用するように Data Grid クラスターを設定します。