Go to Qiita Advent Calendar 2024 Top
LoginSignup
1
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@shinyaarai(Shinya Arai)

CipherTrust Transparent Encryption (CTE)をためす

Last updated at Posted at 2024-03-19

目的

CTE Agent を Windows Server にインストールを行い、"ファイルシステムレベル暗号化" によりファイルが暗号化されることを確認する

構成図

image.png

暗号化設定概要

Guard Point (暗号化対象フォルダ) : C:\Test

暗号化対象 ファイル操作可否 暗号処理可否
正規ユーザ O O
特権ユーザ O X
非正規ユーザ X X

用意したもの

デモ動画

本記事で記載している手順を紹介している動画がございます。

Part 1: CTE Agentのインストール&登録

1. CMへ管理者権限でログイン

  • admin でログイン
    image.png
  • ログイン後、CM管理画面
    image.png

2. Registration Tokenの作成

ここで作成される Registration Tokenは CTE Agent をCMへ登録する際に利用されます。

  • MENU > Access Management > Registration Tokens
    下記のメッセージが表示された場合には、"Client Profile"の作成を先に行う。(CM v2.14以降)

    "Add Registration Token disabled: To add registration token. you first need to create a Client Profile"

    image.png

  • MENU > Access Management > Client Profile

    • "Add Client Profile" をクリック

    • "Profile Name"を入力（任意の名前。例:"client_profie")

    • "CA Type" は”Local CA”そのまま

    • "Select Local CA" は"Default CA(local)"を指定

    • "Add Client Profile"をクリック

      image.png

  • MENU > Access Management > Registration Tokens

    • "Add Registration Token"をクリック

    • "Begin"をクリック

    • "Name Prefix"を入力（任意の名前。例:"registration_token")

    • "Select Profile"をクリック

    • "Client Profile"を選択(例:"client_profie")

    • "Add Token"をクリック

      image.png

3. CTE Agent のインストール

  • Windows Server へ Administrator にてログイン
  • CTE Agent のインストーラ起動

    • "Welcome to the InstallShied wizard for ...."が表示される

    • "Next"をクリック

    • "SOFTWARE LICENSE AGREEMENT"の内容を確認後、"I accept the term in the license agreement"を選択

    • "Next"をクリック

    • "Distination Folder"確認画面が表示される。

    • "Next"をクリック

    • "Install"をクリック

    • インストールが始まる。Statusでインストール状況を確認できる。インストール終了まで待つ

    • "InstallSheild Wizard Completed"が表示される
      image.png

    • "Register CipherTrust Transparent Encryption now"は選択したまま

      • インストール完了後、引き続き、CTE Agent をCMへの登録を行う

    • "Finish"をクリック

4. CMへCTE Agentの登録

  • CMへの登録

    • "Regiter Host"画面が表示される
      image.png

    • "Next"をクリック

    • "Enter the host name of the Key Manager"へ、CMのホスト名を入力する。

      • "CM管理画面のURLのIPアドレス"等を入力
        image.png

    • "Next"をクリック

    • CTE Agentのホスト名指定、及び、H/W関連付け、LDT利用等オプション指定を行う
      image.png

    • Registration Tokenの登録

      • 前の手順で作成した Registration Tokenの値をCMから Copy & Pasteする。
        image.png

    • "Register"をクリック

    • CMへのCTE Agentの登録処理が始まる。完了すると"Finish"をクリックできるようになる
      image.png

    • "Finish"をクリック

  • サーバの再起動
    image.png
    • "Yes"をクリックして、サーバの再起動を行う

5. CTE Agentのステータス確認

  • 再起動後、CTE Agent が自動で実行される
  • タスクバーの通知領域のCTE Agentのアイコンを右クリックするとメニューが表示され、Status等確認できる
    image.png

6. CM管理画面上で登録したCTE Agentの確認

  • CM管理TOP画面より "Trasparent Encrption"を選択
    image.png

  • MENU > Clients > Clients にて、CMに登録済みのCTE Agentが確認できる

    • 今回登録した、Windows ServerのCTE Agentが登録され、Statusが"Healthy"であることを確認する
      image.png

ここまでで、CTE Agentをインストールし、CMへ登録することができるようになりました。
Part2 では、暗号化の設定を行います。

Part 2: CTE暗号化設定

1. Guard Point(暗号化対象フォルダ)の作成

  • 設定を行いたいサーバの"Client Name"をクリック
    image.png
  • "Create GuardPoint"をクリック
    image.png
  • Policyの"Select"を選択(暗号化Policyの選択)
    image.png
  • 今回は初回で、既存のPolicyが無いため、新規作成を行う
  • "Create Policy"をクリック
    image.png

2. Policyの作成

  • Nameに任意のPolicyの名前を入力(例:"cte_policy")

  • "Next"をクリック
    image.png

  • Policy構成要素であるSecurity Ruleの追加を行う

    • 今回は３つのSecurity Ruleを追加する
      Rule # 暗号化対象 ファイル操作可否 暗号処理可否
      1 正規ユーザ O O
      2 特権ユーザ O X
      3 非正規ユーザ X X
    • Security Rule １: '正規ユーザ'向け設定

      • "Add Security Rule"をクリック
        image.png

      • "User Set"の"Select"を選択
        image.png

      • "Create User Set"を選択
        image.png

      • Nameに任意の名前を指定 (例:"user_set_allow")

      • "Next"をクリック
        image.png

      • "Create User"をクリック
        image.png

      • "Browse to Add Users"をクリック

      • "Connection Type"で"Agent"を選択
        image.png

      • Agentで"Select"をクリック
        image.png

      • 対象のサーバ(CTE Agentをインストールしたサーバ。今回は一つのみ)を選択

      • "Select"を選択

      • "User Type"で"System"を選択

      • "Member Choice"で"Users"を選択

      • "Apply"をクリック

      • CTE Agent経由で、対象サーバのユーザ(/グループ)のリストが表示される

      • "正規ユーザ"をクリック (例:"approved_user")
        image.png

      • "Create"をクリック

      • "Next"をクリック
        image.png

      • "Save"をクリック
        image.png

      • "Action"で"Select"をクリック
        image.png

      • "all_ops"を選択

        • 全てのファイル操作オペレーションを対象とする

      • "Select"を選択
        image.png

      • Effectで"Select"をクリック
        image.png

      • "Effect Permission"で"Permit"を選択

        選択肢 ファイルアクセス
        Permit O
        Deny X

      • "Effect Options"で、"ApplyKey"及び"Audit"を選択

        選択肢 意味
        ApplyKey 暗号鍵利用(暗号化/符号化)許可
        Audit 監査ログへの記録

      • "Select"をクリック
        image.png

      • "Add"をクリック
        image.png

    • Security Rule 2: '特権ユーザ'向け設定
      • '特権ユーザ'用のSecurity Rule 2の下記項目を Security Rule 1作成時と同様の手順で作成
        -　User Set: 任意の名前(例: "user_set_deny"で特権ユーザ "Administrator"を登録
        -　Action: all_ops
        -　Effect: permit, audit
    • Security Rule 3: '非正規ユーザ'向け設定
      • '非正規ユーザ'用のSecurity Rule 3の下記項目を Security Rule 1,2作成時と同様の手順で作成
        -　User Set: 無し
        -　Action: all_ops
        -　Effect: deny, audit

  • 各Security Ruleの設定確認
    image.png

    • CTE Agentはファイルアクセス時、上段の優先度の高いSecurity Ruleから順番に、下段へ該当する User Setであるか確認を行う

      • (今回は User Setしか利用していないが、Resource Set及び、Process Setも同様に利用可)

    • User Setに該当した場合、Effectで指定された処理を行う

      Rule # 暗号化対象 User Set User Set 登録 user ファイル操作可否 暗号処理可否 監査ログ
      1 正規ユーザ user_set_allow approved_user O (permit) O (applykey) O (audit)
      2 特権ユーザ user_set_deny Administrator O (permit) X O (audit)
      3 非正規ユーザ X (deny) X O (audit)

    • "Next"を選択

3. Key Ruleの指定

image.png

  • "Create Key Rule"を選択
    image.png

  • 暗号化で使用する鍵を選択。今回は新規作成を行う

  • "Select"を選択
    image.png

  • "Create a New Key"を選択
    image.png

  • Nameへ任意の名前を指定(例:"cte_key")

  • "Create"をクリック
    image.png

  • 作成した鍵(例:"cte_key")を選択

  • "Next"を選択
    image.png

  • "Add"を選択

  • "Next"を選択
    image.png

  • Policyの確認画面、"Save"を選択
    image.png

  • 作成したPolicy(例:"cte_policy")を選択

  • "Select"を選択

4. Guard Point (暗号化対象フォルダ) の指定

image.png

  • "Browse"をクリック
    image.png
  • "Select Path:"から、Guard Point (暗号化対象フォルダ) を指定 (例:"C:\Test")
  • "Select Path"を選択
  • "Add"を選択
    image.png
  • "Create"を選択
    image.png
  • Satusが "Unknown"から"Active"に変更されるのを待つ

以上で、CTEの暗号化設定は完了です。
設定がうまく行っているか動作確認を行います。

Part3: 暗号化動作確認

1. 正規ユーザ 'approved_user'

  • 任意のファイル(例: CSVファイル)をGuardPoint(C:\Test)へコピー
    • C:\Testへの書き込み時、暗号化される
  • Guard Point(C:\Test)上のファイルをオープン時、復号化される
    image.png

2. 特権ユーザ 'Administrator'

  • Guard Point(C:\Test)上のファイルは復号化されずに、オープンされる
    • 許可されていないユーザ(特権ユーザ含む)は、ファイルの中身を確認することができない
      image.png

2. 非正規ユーザ 'unaprroved_user'

  • Guard Point(C:\Test)上のファイルにアクセスできない
    • 許可されていないユーザは、ファイルにアクセスできない
      image.png
1
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
1
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?