暗号化の説明

オペレーティングシステムレベルでの権限のないアクセスからディスクに保存されたデータを保護するために、SAP HANA データベースでは、パーシスタンスレイヤでのデータ暗号化がサポートされています。データボリューム暗号化によってディスク上のデータ領域が保護され、REDO ログ暗号化によってディスク上のログ領域が保護されます。SAP HANA データバックアップおよびログバックアップも暗号化することができます。

SAP HANA データベースは、パフォーマンスを最大化するためにほとんどのデータをインメモリに保持します。ただし、障害の場合のフォールバックとして永続ディスクストレージが引き続き使用されます。通常の操作では、データは通常のセーブポイントでメモリからディスクに自動的に保存されます。また、すべてのデータ変更が REDO ログエントリにキャプチャされます。REDO ログエントリは、コミットされたデータベーストランザクションごとにディスクに書き込まれます。電源障害の後、SAP HANA はディスクベースのデータベースと同様に再起動できます。最後のセーブポイント以降の REDO ログエントリを再生することで、最新の整合性のある状態に戻ります。

• 安全な通信 - ネットワークでのデータ通信の暗号化

  ネットワークトラフィックは、TLS (Transport Layer Security) を使用して暗号化できます。TLS は、SAP HANA データベースとクライアントの間、および分散 SAP HANA システムのホスト間です。

• データパーシスタンスレイヤの暗号化

  • SAP HANA データベースでは、保存データを暗号化することができます。

  • 暗号化はページレベルで機能し、AES256 暗号化アルゴリズムを使用します。

サーバ上の暗号化サービスプロバイダは、以下の機能を提供します。

• TLS を使用したセキュア通信の設定

• パーシスタンスレイヤの暗号化

SAP HANA では、以下の暗号ライブラリがサポートされています。

• CommonCryptoLib (デフォルト)

• OpenSSL

CommonCryptoLib (libsapcrypto.so) は、SAP HANA サーバのインストールの一部として $DIR_EXECUTABLE にデフォルトでインストールされます。

OpenSSL ライブラリは、オペレーティングシステムのインストールの一部としてデフォルトでインストールされます。ほとんどの場合、CommonCryptoLib の代わりに OpenSSL を使用することができます。ただし、SAP HANA には CommonCryptoLib でのみサポートされている機能がいくつかあります。将来の機能も CommonCryptoLib でのみサポートされる場合があります。詳細については、SAP ノート 2093286 を参照してください。

データボリューム、REDO ログ、およびバックアップ (データおよびログ) は、以下のように暗号化することができます。

• データボリュームの暗号化

  データボリュームを暗号化すると、ディスク上のデータ領域にあるすべてのページが AES-256-CBC アルゴリズムを使用して暗号化されます。ページは、ロードプロセスの一部として透過的にメモリに復号化されます。したがって、メモリにあるページは暗号化されず、インメモリページアクセスのパフォーマンスオーバヘッドは発生しません。データの変更がディスクに保持されると、関連するページは書込操作の一部として自動的に暗号化されます。

  ページは、256 ビットのページ暗号化キーを使用して暗号化および復号化されます。ページキーは特定の範囲のセーブポイントに対して有効で、SQL 文を実行して変更できます。データボリューム暗号化が有効になると、開始ページキーが自動的に生成されます。ページキーはプレーンテキストで読み込むことはできませんが、専用のデータボリューム暗号化ルートキーを使用してそれ自体で暗号化されます。このキーは、インストール時にランダムに生成されます。

• REDO ログ暗号化

  REDO ログが暗号化されている場合、ログエントリは、ディスクに書き込まれる前に AES-256 - CBC アルゴリズムを使用して暗号化されます。ログエントリは、256 ビット長のルートキーを使用して暗号化および解読されます。このルートキーは、インストール時にランダムに生成されます。

• バックアップ暗号化

  バックアップ暗号化をオンに切り替えると、後続のデータバックアップ、デルタバックアップ、およびログバックアップがすべて暗号化されます。データボリュームの暗号化が有効でない限り、データスナップショットは暗号化されないことに注意してください。

起動時に、管理者による操作は不要です。データボリューム暗号化、REDO ログ暗号化、およびバックアップ暗号化のルートキーは、ファイルシステム内のセキュアストレージ (SSFS) 機能を使用して保存され、そこから自動的に取得されます。

SAP HANA では、データボリュームと REDO ログを互いに独立して暗号化することができます。ただし、パーシスタンスレイヤで完全保護が必要な場合は、両方を有効化する必要があります。

暗号化を有効にしてもデータサイズは増加しません。

パーシスタンス暗号化機能では、データベーストレースは暗号化されません。

セキュリティ上の理由から、短期分析以上の場合は拡張トレースを使用してシステムを実行しないでください。これは、トレーシングによって、パーシスタンスレイヤでは暗号化されているが、トレースでは暗号化されていないセキュリティ関連データが公開される可能性があるためです。したがって、それぞれの分析タスク以外の目的で、そのようなトレースファイルをディスク上に保持しないでください。

以下の外部および内部通信チャネルを保護することができます。

SAP HANA と外部コンポーネントとアプリケーションの間の接続は、以下のカテゴリに分類されます。

SAP HANA では、ネットワーク通信チャネルの暗号化された通信がサポートされています。盗聴などのネットワーク攻撃が他のネットワークセキュリティ対策 (エンドユーザネットワークからのアクセスなど) によって保護されていない場合は、暗号化されたチャネルを使用します。または、仮想プライベートネットワーク (VPN) トンネルを使用して、暗号化された情報を転送することもできます。

内部通信と外部通信では、個別の証明書コレクションがサポートされています。

証明書コレクションは、パーソナルセキュリティ環境または PSE とも呼ばれます。これは、SAP HANA サーバの公開情報 (公開鍵証明書) および秘密情報 (秘密鍵) が保存される安全な場所です。証明書コレクションには、信頼できる通信パートナの公開情報 (公開鍵証明書) または信頼された認証機関からのルート証明書を含めることもできます。

デフォルトでは、JDBC/ODBC を介したクライアント/サーバ通信の証明書コレクションはデータベース内に格納されます。ただし、以前のリリースとの互換性を維持するために、証明書コレクション (PSE) をファイルシステムに保存することもできます。証明書コレクションは、データベースに直接作成できます。

内部通信用の証明書コレクションのキーおよび証明書は、以下の通信に使用されます。

• データベースサービス間の通信

• マルチホストシステムのホスト間の通信

• システムレプリケーションシナリオにおけるホストとサイトの間の通信。

外部通信 (JDBC クライアントアクセス、HTTP アクセスなど) 用の証明書は、通常、外部で利用可能な認証機関 (CA) によって署名されます。これは、CA 証明書を関連クライアントに統合する必要があるためです。

TLS/SSL プロトコルにより、SAP HANA データベースとデータベースの SQL インタフェースにアクセスするクライアント間の通信が保護されます。この機能を使用するには、サーバとクライアントの両方で TLS/SSL を設定します。

サーバ証明書のチェックは、クライアントサーバ通信に対して TLS/SSL を有効化することで提供されます。サーバは、接続が確立されたときに、クライアント自身を識別します。これにより、中間者攻撃のリスクが軽減され、偽のサーバがクライアントから情報を取得することが防止されます。

SAP HANA に接続しているクライアントの ID をチェックする必要がある場合は、クライアント証明書チェックを有効化することもできます。

SAP HANA サーバで TLS/SSL を設定する場合は、以下の一般的な前提条件が適用されます。

• SAP 暗号ライブラリ CommonCryptoLib がサーバで利用可能です。

• SAP HANA サーバは、公開鍵と秘密鍵のペア、および公開鍵証明書を所有します。

SAP HANA では、X.509 クライアント証明書を使用して、内部および外部通信チャネル、および複数のユーザ認証メカニズムを保護します。証明書は、ファイルシステムのファイル、および場合によっては SAP HANA データベースで直接保存および管理することができます。

SAP HANA のすべての証明書ベースのユーザ認証メカニズムは、デジタル署名の認証および検証のために X.509 クライアント証明書に依存します。SAP HANA とデータベースの SQL インタフェースにアクセスするクライアントとの間の安全な通信も、これらの証明書に依存します。管理を改善するために、これらの証明書を保存し、その使用を SAP HANA データベースに直接設定することができます。

マルチテナントデータベースコンテナをサポートするシステムでは、2 つのシステム間でのテナントデータベースのコピーまたは移動時に、データベース内証明書を使用して通信を保護することもできます。

可能な場合は、インデータベースストレージを使用することをお奨めしますが、ファイルシステム内のトラストストアとキーストアに証明書を保存および管理することができます。これらは、個人のセキュリティ環境または PSE です。

ただし、すべての証明書をデータベースに保存できるわけではありません。特に、システムの公開鍵基盤 (システム PKI) およびSAP Web ディスパッチャを使用した HTTP クライアントアクセスで内部通信チャネルを保護するために必要な証明書は、そこに保存することができません。これらの証明書は、ファイルシステム内の PSE ファイルに含まれています。これらのファイルをファイルシステムから削除しないでください。

データベースで管理される証明書ストア内の証明書は、さまざまな通信チャネルで TLS を保護するために使用されます。

データベースで管理される証明書ストアでは、以下がサポートされています。

JDBC/ODBC を介したクライアント/サーバ通信、テナントデータベースレプリケーション、LDAP サーバ通信、および SAML。SAP ログオンチケットとアサーションチケット、および X.509 認証も含まれます。

ファイルシステムで管理される証明書では、以下がサポートされています。

HTTP を介したクライアント/サーバ通信および内部通信。

データベース内証明書および証明書コレクションは、SAP HANA コックピットで完全に管理することができます。

SAP HANA データベース内の証明書の管理は、一般的なワークフローに従います。ユーザ権限により、職務を完全に分離することができます。完全なワークフローは、SAP HANA コックピットでサポートされています。

データベース内の証明書は、SAP HANA コックピットまたは SQL を使用して管理することができます。HTTP 用の TLS/SSL、内部通信用の TLS/SSL など、ファイルシステムで管理される証明書もあります (SystemPKI による自動設定)。これらは、SAP HANA コックピット機能では管理できません。これらのシナリオの設定の簡易化は、他の方法 (SystemPKI) で実現されます。

以下の内部通信チャネルを保護することができます。

• マルチコンテナシステムのデータベース間

  MDC システムでは、暗号化のみが使用可能であり、テナント認証は利用できません。

• スケールアウトシステムのホスト間

  単一ホストシステムのプロセス間も同様です。

• システムレプリケーションシナリオの SAP HANA システム間

  メタデータとデータチャネルが対象です。

• SAP HANA データベースと追加サーバコンポーネントの間

  たとえば、拡張ストレージサーバ (SAP HANA 動的階層化オプション) やスマートデータストリーミングサーバ (SAP HANA スマートデータストリーミングオプション) などです。

TLS を使用して内部通信チャネルを保護するための公開鍵基盤 (PKI システム) は、インストール時に自動的に設定されます。設定にユーザインタラクションは不要です。

PKI システムで使用されるキーおよび証明書には、以下の機能があります。

• 各コンポーネント (ホスト、データベース、追加サーバなど) は、相互認証用の公開鍵/秘密鍵ペアおよび公開鍵証明書を受け取ります。

• 証明書は、専用の信頼される認証機関 (CA) によって署名されます。これは SAP HANA システムごとに固有です。

• 証明書は自動的に更新されます。

• CommonCryptoLib は、暗号ライブラリとして使用されます。

通信チャネルによっては、TLS を明示的に有効化する必要がある場合があります。

SAP HANA で使用される 2 つの SSFS を保護する初期デフォルトマスタキーは、インストールまたはアップグレード時に変更されます。ハードウェアまたはホスティングパートナからシステムがプレインストールされている場合は、引渡の直後に変更し、組織の外部で認識されないようにします。

SSFS マスタキーは、コマンド行ツール rsecssfx を使用して変更します。これには、オペレーティングシステムアクセス (<sid>adm ユーザ) が必要です。SSFS マスタキーの変更方法の詳細については、SAP HANA 管理ガイドを参照してください。

暗号化ルートキーは、インスタンス SSFS に格納されます。これらのルートキーを変更する前に、キー変更プロセスがデータベースのリカバリ性に与える影響を理解することが重要です。場合によっては、暗号化ルートキーのバックアップが使用可能である必要があります。

推奨されるアプローチは、常にすべてのルートキーをバックアップすることです。

SAP HANA では、インストール時に一意のキーが生成されます。ただし、ハードウェアベンダから SAP HANA が事前インストールされている場合は、組織外に知られないように変更することができます。これは、ハードウェアパートナから引き渡された直後に実行します。

SAP HANA コックピットを使用して、データボリューム暗号化ルートキー、REDO ログ暗号化ルートキー、バックアップ暗号化ルートキー、および内部アプリケーション暗号化サービスルートキーを変更します。主な変更プロセスは、以下のとおりです。

1. 新しいキーを生成します。
2. 新しいキーをバックアップします。
3. 新しいキーを有効化します。
4. 有効化されたキーをバックアップします。

詳細については、『SAP HANA 管理ガイド』を参照してください。

すべての個別キーをマニュアルで変更することができます。

インストール時に暗号化を有効化した場合 (デフォルト) や新しい暗号化ルートキーを生成または有効化した場合、または新しいルートキーを使用して新しいテナントデータベースを登録した場合は、すべてのルートキーをバックアップする必要があります。

ルートキーをバックアップする前に、ルートキーのバックアップパスワードを設定する必要があります。ルートキーのバックアップファイルは、安全な場所に保存します。このファイルを失うと、データベースをリカバリできなくなる可能性があります。

前述のとおり、データ、ログ、およびバックアップの暗号化はインストール時にデフォルトで設定されます。そのため、デフォルト設定に従わない場合は、以下の手順に従って、SAP HANA システムで初めてデータ暗号化を設定および管理することになります。

1. インスタンス SSFS およびシステム PKI SSFS のマスタキーを変更します。

   一意のマスタキーは、インストールまたは更新時に生成されます。また、マスタキーはいつでも変更することができます。

   管理者は、コマンド行ツール rsecssfx およびオペレーティングシステムユーザ <sid>adm の認証情報を使用して SSFS マスタキーを変更することができます。そのため、SAP HANA システムを停止する必要があります。スナップショットベースのバックアップとリストア、システムレプリケーションなどの特別なシナリオについては、SAP ノート 2194396 - アップグレード後または SSFS キーの変更後に、システムレプリケーションセカンダリサイトで不適切な SSFS キーが表示される (After upgrade or SSFS key change wrong SSFS key on System Replication secondary site) を参照してください。

2. ルートキーバックアップのパスワードを設定します。

   このパスワードは、データのリカバリ時にルートキーをバックアップし、バックアップされたルートキーをリストアするために必要です。

3. 以下を含むすべての暗号化サービスの暗号化ルートキーを変更します。

   • データボリュームの暗号化

   • REDO ログの暗号化

   • 内部アプリケーションの暗号化

4. 以下の必要なサービスを有効化します。

   • データボリュームの暗号化

   • REDO ログの暗号化

5. セキュリティポリシーに従って、SSFS マスタキーおよび暗号化ルートキーを定期的に変更します。

6. ルートキーをバックアップします。