ユーザーとサーバーキーのロールオーバー

キーロールオーバーは、ユーザー ID ファイルとサーバー ID ファイルに格納される Notes® のパブリックキーとプライベートキーのセットに対して、更新を行うために使用されるプロセスです。このキーのセットは、プライベートキーの未発見の脆弱性に対する予防措置、プライベートキーの既知の脆弱性からの救済、大規模なキーへのアップグレードによるセキュリティの強化のために、定期的に置き換える必要があります。

このタスクについて

ユーザーキーのロールオーバーを開始するには、セキュリティ設定ポリシー文書でトリガを設定します。また、サーバーキーのロールオーバーを開始するには、サーバー文書でトリガを設定します。トリガには、次のものが含まれます。

  • 既存のキーサイズ
  • 既存のキーの発行日
  • 既存のキーの経過時間

管理者は、キーロールオーバーを使用してセキュリティ設定ポリシー文書を介してユーザーのグループに対して交換キーを配布することができます。

また、Notes® のユーザーは [ユーザーセキュリティ] ダイアログボックスの [新規パブリックキーの作成] ボタンを使用してキーロールオーバーを起動することができます。ユーザーが証明書要求方法として [認証プロトコル] を選択した場合、現在のキーは、ポリシー設定によってロールオーバーが起動された場合と同様に、ロールオーバーされます。ユーザーが [メールプロトコル] を選択した場合、Domino® R6 とそれより前のメール処理方法が使用されます。ユーザーがキーロールオーバーを起動する方法の詳細については、関連リンクを参照してください。

ポリシーが確立されているとき、またはユーザーが [ユーザーセキュリティ] ダイアログボックスによってキーロールオーバーを起動した場合、次にユーザーがホームサーバーで認証したときに、キーロールオーバー情報が ID ファイルに書き込まれます。トリガ条件が発生し、キーロールオーバーを許可するプロンプトをユーザーが受け入れると、キーロールオーバーが開始され、新しいキーがユーザー ID ファイル内に作成されて保留状態のマークが付けられます。新しいキーか保留中のキーが生成された後にユーザーがホームサーバーで認証を行うと、[新規キー要求の認証] がシステム管理要求データベース内に作成されます。

キーロールオーバーのプロセスを完了するには、次の手順を実行します。

手順

  1. Domino® Administrator で、システム管理要求データベースを開きます。
  2. [新規キー要求の認証] ビューで、ユーザーの要求を選択し、[選択エントリの認証] をクリックします。
  3. [認証者の選択] ダイアログボックスで、次のいずれか 1 つを実行します。
    • サーバーベースの認証機関を使用している場合は、ドロップダウンリストから 1 つを選択します。
    • 認証者 ID を使用する場合は、認証者 ID の場所とパスワードを入力します。

    要求が完了して新しいキーが認証されると、ユーザー文書が新しいキーと認証情報で更新されます。

  4. [認証期限日] ダイアログボックスで、その日付が正しいことを確認し、[OK] をクリックします。
  5. [統計] ダイアログボックスで、間違いがないことを確認し、[OK] をクリックします。

タスクの結果

次にユーザーがホームサーバーで認証を行うと、新しいパブリックキーを受け入れるかどうかを尋ねるダイアログボックスが表示されます。新しい証明書を受け入れるには、ここで [OK] をクリックしなければなりません。ユーザー ID ファイル内の新しいキーまたは保留中のキーが有効になり、古いキーはアーカイブされます。

注: アーカイブされたキーは ID ファイルに残るため、そのキーで暗号化された文書の暗号化の解除に使用できます。

サーバーキーのロールオーバーを設定するには

手順

  1. サーバー文書で、[管理] をクリックします。
  2. 次のフィールドに必要な情報を設定します。
    表 1. [パブリックキーの要求] フィールド

    フィールド

    アクション

    キー強度の許可 (最小)

    サーバー ID の最も弱いキーの許容サイズを指定します。これより強いキーはロールオーバーされます。

    • 制限なし
    • すべてのリリースで互換 (630 ビット)
    • Release 6 以降と互換 (1024 ビット)
    • 7.0 以降と互換 (2048 ビット)

    キー強度の許可 (最大)

    最も強いキーの許容サイズを指定します。これより強いキーはロールオーバーされます。

    • すべてのリリースで互換 (630 ビット)
    • 6.0 以降と互換 (1024 ビット) (デフォルト)
    • 7.0 以降と互換 (2048 ビット)

    推奨するキー強度

    キーがロールオーバーされるときに使用されるキー強度を指定します。

    • すべてのリリースで互換 (630 ビット)
    • 6.0 以降と互換 (1024 ビット) (デフォルト)
    • 7.0 以降と互換 (2048 ビット)

    許容するキーの世代 (最大)

    キーのロールオーバーが必要になるまでの最長経過期間を日数で指定します。デフォルトは 36500 日 (100 年) です。

    許容する最初のキー作成日

    この日付より以前に作成されたキーはロールオーバーされます。

    次の条件前に新規キーを自動生成しない

    キー幅要件を満たさないキーがロールオーバーされる最も早い日付を指定します。

    新規キーの作成後に古いキーが使用可能な日数の最大値

    ネットワーク認証中に古いキーを使用できる期間を指定します。Notes® のキー照合中に、すべての証明書 (古いものと新しいものの両方) とすべてのロールオーバーキーは 1 つのツリーに編成されます。このツリー内を移動して、チェーンに含めることができる証明書のセットを探し、キーを確認します。有効期限が過ぎた証明書は、このチェーンの中では使用できません。キーが改ざんされている可能性に対応するためにキーをロールオーバーする場合、そのキーに発行された古い証明書を使用できる期間を短い値に設定することを推奨します。この設定の有効な値は 1 日から 36500 日で、デフォルトは 365 日です。

  3. 文書を保存し、閉じます。キーロールオーバー情報がサーバー ID ファイルに書き込まれます。トリガ条件が発生すると、キーロールオーバーが開始され、新しいキーがサーバー ID ファイル内に作成されて保留状態のマークが付けられます。
  4. サーバーを再始動します。
  5. Domino® Administrator で、システム管理要求データベースを開きます。
  6. [新規キー要求の認証] ビューで、サーバーの要求を選択し、[選択エントリの認証] をクリックします。
  7. [認証者の選択] ダイアログボックスで、次のいずれか 1 つを実行します。
    • サーバーベースの認証機関を使用している場合は、ドロップダウンリストから 1 つを選択します。
    • 認証者 ID を使用する場合は、認証者 ID の場所とパスワードを入力します。
  8. [認証期限日] ダイアログボックスで、その日付が正しいことを確認し、[OK] をクリックします。
  9. [統計] ダイアログボックスで、間違いがないことを確認し、[OK] をクリックします。
  10. サーバーコンソールで「tell adminp process all」と入力し、キーの認証プロセスを完了します。
  11. 「restart server」と入力します。

タスクの結果

サーバーを再起動すると、サーバーは設定を読み込み、新しく認証されたキーを受け入れます。