4.7. 属性暗号化の管理

手順

1. userRoot データベースをエクスポートします。

   # dsconf <instance_name> backend export -E userRoot

   Copy to Clipboard Toggle word wrap

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. telephoneNumber 属性の AES 暗号化を有効にします。

   # dsconf <instance_name> backend attr-encrypt --add-attr telephoneNumber dc=example,dc=com

   Copy to Clipboard Toggle word wrap

3. インスタンスを停止します。

   # dsctl <instance_name> stop

   Copy to Clipboard Toggle word wrap

4. LDIF ファイルをインポートします。

   # dsctl <instance_name> ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   Copy to Clipboard Toggle word wrap

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

5. インスタンスを起動します。

   # dsctl <instance_name> start

   Copy to Clipboard Toggle word wrap

手順

1. userRoot データベースをエクスポートします。

   # dsconf <instance_name> backend export -E userRoot

   Copy to Clipboard Toggle word wrap

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. Web コンソールで、Database Suffixes suffix_entry Encrypted Attributes に移動します。
3. 暗号化する属性を入力し、Add Attribute をクリックします。
4. Actions メニューで、Stop Instance を選択します。

5. コマンドラインで、LDIF ファイルをインポートします。

   # dsctl <instance_name> ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   Copy to Clipboard Toggle word wrap

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

6. Web コンソールで Actions メニューを開き、Start Instance を選択します。

手順

1. userRoot データベースをエクスポートします。

   # dsconf <instance_name> backend export -E userRoot

   Copy to Clipboard Toggle word wrap

   サーバーは、エクスポートを /var/lib/dirsrv/slapd-instance_name/ldif/ ディレクトリーの LDIF ファイルに保存します。-E オプションは、エクスポート中にすでに暗号化されている属性を復号化します。

2. プライベートキーおよび証明書署名要求 (CSR) を作成します。外部ユーティリティーを使用して作成する場合は、この手順を省略します。

   • ホストが 1 つの名前のみで到達可能である場合は、以下を実行します。

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization"

     Copy to Clipboard Toggle word wrap

   • 複数の名前でホストにアクセスできる場合は、以下を行います。

     # dsctl <instance_name> tls generate-server-cert-csr -s "CN=server.example.com,O=example_organization" server.example.com server.example.net

     Copy to Clipboard Toggle word wrap

     最後のパラメーターとしてホスト名を指定した場合、このコマンドは DNS:server.example.com, DNS:server.example.net エントリーで SAN (Subject Alternative Name) 拡張を CSR に追加します。

   -s subject パラメーターで指定した文字列は、RFC 1485 に従って有効なサブジェクト名である必要があります。サブジェクトの CN フィールドが必要で、サーバーの完全修飾ドメイン名 (FQDN) の 1 つに設定する必要があります。このコマンドは、/etc/dirsrv/slapd-<instance_name>/Server-Cert.csr ファイルに CSR を保存します。

3. 認証局 (CA) に CSR を送信し、発行した証明書を取得します。詳細は、CA のドキュメントを参照してください。

4. CA が発行するサーバー証明書を NSS データベースにインポートします。

   • dsctl tls generate-server-cert-csr コマンドを使用して秘密鍵を作成した場合は、以下を入力します。

     # dsconf <instance_name> security certificate add --file /root/instance_name.crt --name "server-cert" --primary-cert

     Copy to Clipboard Toggle word wrap

     --name _certificate_nickname パラメーターで設定した証明書の名前を書き留めておきます。これは後のステップで必要になります。

   • 外部ユーティリティーを使用して秘密鍵を作成した場合は、サーバー証明書および秘密鍵をインポートします。

     # dsctl <instance_name> tls import-server-key-cert /root/server.crt /root/server.key

     Copy to Clipboard Toggle word wrap

     このコマンドでは、最初にサーバー証明書へのパスを指定してから、秘密鍵へのパスを指定する必要があります。このメソッドは、証明書のニックネームを常に Server-Cert に設定します。

5. CA 証明書を NSS データベースにインポートします。

   # dsconf <instance_name> security ca-certificate add --file /root/ca.crt --name "Example CA"

   Copy to Clipboard Toggle word wrap

6. CA 証明書の信頼フラグを設定します。

   # dsconf <instance_name> security ca-certificate set-trust-flags "Example CA" --flags "CT,,"

   Copy to Clipboard Toggle word wrap

   これにより、Directory Server が、TLS による暗号化および証明書ベースの認証に対して CA を信頼するように設定します。

7. インスタンスを停止します。

   # dsctl <instance_name> stop

   Copy to Clipboard Toggle word wrap

8. /etc/dirsrv/slapd-<instance_name>/dse.ldif ファイルを編集し、属性を含む次のエントリーを削除します。

   • cn=AES,cn=encrypted attribute keys,cn=database_name,cn=ldbm database,cn=plugins,cn=config
   • cn=3DES,cn=encrypted attribute keys,cn=database_name,cn=ldbm database,cn=plugins,cn=config
   重要

   全データベースのエントリーを削除します。nsSymmetricKey 属性を含むエントリーが、`/etc/dirsrv/slapd-<instance_name>/dse.ldif ファイルに残されると、Directory Server は起動に失敗します。

9. LDIF ファイルをインポートします。

   # dsctl <instance_name> ldif2db --encrypted userRoot /var/lib/dirsrv/slapd-instance_name/ldif/None-userroot-2022_01_24_10_28_27.ldif

   Copy to Clipboard Toggle word wrap

   --encrypted パラメーターを使用すると、スクリプトで属性を暗号化して、インポート中に暗号化を設定できます。

10. インスタンスを起動します。

    # dsctl <instance_name> start

    Copy to Clipboard Toggle word wrap