InterSystems IRIS への Web ゲートウェイ接続の保護

外部から導入されるパスワード

Web ゲートウェイ管理ページのコンテキスト以外でパスワードを扱うことが必要になる場合もあります。例えば、Web ゲートウェイ構成がカスタム構成スクリプトによって設定されている場合などです。この場合、パスワードをプレーン・テキストとして保存しておくと、Web ゲートウェイを初めて起動したときにこのパスワードが暗号化されます。このメソッドを使用する場合、ゲートウェイ管理フォームへのパスワードを '1' または 'PBKDF2|' で始めることはできず、IRIS へのパスワードを ']]]' で始めることはできません。これらの文字で始まるパスワードが必要な場合は、代わりに OS のコマンド・プロンプトで CSPpwd ユーティリティを使用します。このユーティリティは、Web ゲートウェイ構成ファイルに保持されているパスワードをエンコードします。一般的なフォームは次のとおりです。

CSPpwd <path to the CSPx.so|dll library> <context> <clear text password>

説明：

• context = 0：Web ゲートウェイ管理ページへのパスワード

• context = 2：Cache/IRIS サーバへのパスワード

エンコードされたパスワードが標準出力に書き込まれます。

例 (Windows)：

CSPpwd C:\Inetpub\CSPGateway\CSPx.dll 0 MyGatewayManagementPassword
CSPpwd C:\Inetpub\CSPGateway\CSPx.dll 2 MyIRISServerPassword

例 (UNIX®)：

CSPpwd /opt/webgateway/bin/CSPx.so 0 MyGatewayManagementPassword
CSPpwd /opt/webgateway/bin/CSPx.so 2 MyIRISServerPassword

別のコンピュータで暗号化されたパスワード

Windows では、Web サーバはユーザ・ストアではなくマシン・ストアを使用します。そのため、DPAPI パスワード暗号化はマシン固有です。他のコンピュータで暗号化された Web ゲートウェイ・パスワードを解読することはできません。つまり、クラスタ環境内のマシンが CSP.ini ファイル内の情報を共有することはできません。

この問題に対して考えられるソリューションを以下に示します。

• クラスタ外のマシンを Web サーバとして使用する。

• フェイルオーバーするたびに、Web ゲートウェイで同じパスワードを再設定する。

• そのクラスタに属していないディスクに Web ゲートウェイ構成ファイルのコピーをそれぞれ独自に持つように、クラスタに属する各コンピュータを構成する。InterSystems IRIS が、Web ゲートウェイの DLL をホストするディレクトリにファイルを保持する。個々のコンピュータそれぞれにパスワードを保存し、暗号化したうえで、ノードをクラスタに導入する。

  例えば、各マシンの Disk C がクラスタに属さず、InterSystems IRIS が Disk S にインストールされている場合は、次のようになります。

  CLUNODE-1 ： CLUNODE-1 で暗号化したパスワード XXX を記述した CSP.ini のコピー

  CLUNODE-2 ： CLUNODE-2 で暗号化したパスワード XXX を記述した CSP.ini のコピー

• Web ゲートウェイを起動してパスワードを追加する前に、以下の指示文を構成ファイルに手動で追加することによって、パスワードの暗号化を無効にする。

         [SYSTEM]
         DPAPI=Disabled
  

プログラムによるパスワードの取得 (UNIX®/Linux/macOS)

UNIX®/Linux/macOS システムでは、パスワードそのものをプレーン・テキストで指定するのではなく、安全なストレージ・ソリューション (ボールト･アプリケーションやマウントされたシークレット・ファイルなど) からパスワードを取得するオペレーティング・システム・コマンドを実行するよう Web ゲートウェイに指示できます。それには、Web ゲートウェイ管理ページを使用して、インスタンスのサーバ・アクセス・プロファイルの [パスワード] フィールドで、中括弧 ({}) で囲んでコマンドを指定します。インスタンスに対応する CSP.ini ファイルのセクション内で、対応する CSP.ini パラメータ (Password パラメータ) を直接設定することもできます。例えば、CSP.ini ファイルには以下の行が含まれる場合があります。

Password={sh /tmp/PWretrieve.sh}

文字列は、プレーン・テキストのパスワードのように、CSP.ini ファイル内に base64 ハッシュ値として格納されます。

Web ゲートウェイは、Web ゲートウェイ管理ページを使用してサーバ・アクセス・プロファイルを保存するとき、または CSP.ini ファイルの [SYSTEM] セクションで RELOAD=1 フラグが検出されたときにコマンドを実行します。コマンドの出力は、インスタンスのパスワードとしてメモリに格納されます。指定するコマンドは、追加アクションなしでパスワードを取得できるものである必要があります。安全なストレージ・ソリューションのコマンド行インタフェースをシステムで完全に構成し、必要な認証情報が環境変数または構成ファイルで利用できる必要があります。

Kerberos ライブラリ

Kerberos ベースのいずれかのモードを使用する場合、Web ゲートウェイは次の InterSystems Kerberos クライアント・ライブラリをロードする必要があります。

• Windows DLL ： irisconnect.dll

• UNIX® 共有オブジェクト ： irisconnect.so

オペレーティング・システムの PATH 環境変数に指定した場所、または Web ゲートウェイのインストール場所を基準にした以下のいずれかの場所に、適切なライブラリをインストールします。

• . (Web ゲートウェイのローカル側)

• ./bin

• ../bin

• ../../bin

Web ゲートウェイは、ライブラリが初めて必要になったときにライブラリのロードを試みます。成功すると、Web ゲートウェイ・イベント・ログに次のステータス・メッセージが書き込まれます。

Web Gateway Initialization The IRISCONNECT library is loaded - Version: 5.3.0.175.0. 

(このライブラリは、Web ゲートウェイと InterSystems IRIS の間のオプションの Kerberos ベースのセキュリティで使用されます。)

Web ゲートウェイが IRISCONNECT ライブラリを見つけられない場合や、リンクできない場合は、失敗を示す適切な説明やエラー・メッセージが Web ゲートウェイ・イベント・ログに書き込まれます。

Web ゲートウェイと InterSystems IRIS 間の通信が Kerberos で保護されている場合は、Web ゲートウェイが Kerberos クライアントになります。

Kerberos を使用するように Web ゲートウェイを構成する手順は、Windows のセクションに記載されています。

SSL/TLS を使用する場合のライブラリ・パスのオーバーライド

既定の Web ゲートウェイでは、そのホーム・ディレクトリ (つまり、Web ゲートウェイ・バイナリを保持するディレクトリ) に依存セキュリティ・ライブラリ (共有オブジェクト) がインストールされることを想定しています。

Web ゲートウェイと InterSystems IRIS 間で SSL/TLS 接続を使用する場合、これらのライブラリとして IRISCONNECT ライブラリおよび SSL/TLS ライブラリ (UNIX® の場合：libssl.so と libcrypto.so、Windows の場合：libcrypto-1_1-x64.dll と libssl-1_1-x64.dll) があります。

Web ゲートウェイおよび IRISCONNECT ライブラリ (Web サーバの処理領域にロードされます) が SSL/TLS ライブラリのコピーをロードする場合、ホスト Web サーバによって以前にロードされた同じライブラリの異なるバージョン間で競合が発生します。SSL/TLS ライブラリの 1 つのコピーだけが Web サーバの処理領域にロードされるようにするには、Web ゲートウェイが IRISCONNECT ライブラリに対して、ホスト Web サーバで使用されているものと同じ場所から SSL/TLS ライブラリをロードするように指示する必要があります。

Web ゲートウェイ管理の [デフォルトパラメータ] ページでは、OpenSSL ライブラリの代替セットを使用するためのパラメータ [SSL/TLS ライブラリ・パス] が提供されます。例えば、以下のとおりです。

SSL/TLS Library Path = /usr/bin/  

Important:

OpenSSL の使用を許可しない Apache インストールを作成することも、OpenSSL を無効にするように Apache を構成することも可能です。この状況では、[SSL/TLS ライブラリ・パス] が別の場所に設定されない限り、Web ゲートウェイは付属していたライブラリをロードします。

ライブラリ・バージョンが Apache と Web ゲートウェイで一致しない場合、Web ゲートウェイと InterSystems IRIS インスタンス間の TLS 接続は失敗する可能性があります。接続を試みたときに TLS エラーが発生したり、OpenSSL 関数を呼び出すときに Web ゲートウェイが SIGSEGV でクラッシュする可能性があります。

Windows

Windows の場合、Kerberos キー・テーブルは実装されません。したがって、ホスト・サービスが指定のアカウントで開始したときに取得されるネットワーク資格情報、またはホスト・サービスをシステム・ログオン・セッションで (LOCAL SYSTEM として) 実行するときに Trusted Computing Base (TCB) から取得されるネットワーク資格情報が認証で使用されます。

Windows のドメイン・アカウントは、パスワードから派生した永続キーを使用して、ローカル・マシン用の Kerberos Ticket Granting Ticket (TGT) およびサービス・チケットを取得します。ローカル・マシンにも、ドメイン・コントローラの Key Distribution Centre (KDC) コンポーネントとの間で共有される永続 Kerberos キーが必要です。このキーを使用して、InterSystems IRIS などの別の Kerberos プリンシパルに対して認証を行うための TGT やサービス・チケットを取得できます。

実際に、Windows ベースの Web サーバ内で実行する Web ゲートウェイは、ネットワーク・サービス・ログオン・セッションまたはシステム・ログオン・セッションによって動作しています。使用するアカウントには、バッチ・ジョブとしてログオンする権利を割り当てる必要があります。

組み込みネットワーク・サービス・ログオン・セッションは、マシンの資格情報にアクセスできます。このセッションは、その他のマシンに対して認証を行うためにネットワーク資格情報を必要とするサービス用に設計されています。ただし、ネットワーク・サービス・ログオン・セッションは常に存在するわけではありません。InterSystems IRIS に対して Web ゲートウェイを認証する目的でシステム・ログオン・セッションを使用することもできます。

IIS インストール (特に ISAPI 拡張) の場合、ネットワーク・サービス・ログオン・セッションを使用して両方のデータベース (ローカルおよびリモート) とリモート・コンピュータにアクセスするのが望ましい方法です。

Kerberos のための UNIX® Web ゲートウェイ構成

これらのオペレーティング・システムは、Kerberos キー・テーブルをサポートします。

相互 TLS

相互 TLS は、パスワード認証の代替手段として Web ゲートウェイと InterSystems IRIS の間で適用できる認証形式です。詳細は、"相互 TLS (mTLS)" を参照してください。