vSRX仮想ファイアウォール3.0へのMicrosoft Azureハードウェアセキュリティモジュールの導入

目的

HSM との接続を確認します。

アクション

show security hsm status コマンドを使用して、HSM のステータスを確認できます。次の情報が表示されます。

• HSMが有効で、到達可能または無効になっている場合

• HSMで作成されたマスターバインディングキー(RSAキーペア)です

• マスター暗号化キーが構成されていますか - マスター暗号化パスワードのステータス(設定または未設定)

• クラウドベンダー情報

導入シナリオ

このセクションでは、vSRX仮想ファイアウォール3.0インスタンスを仮想ネットワークのゲートウェイとして起動し、純粋なIPsec接続を使用してデータセンターに接続する導入シナリオについて説明します。

図 4 は、展開シナリオを示しています。

図4:IPsec接続を使用したvSRX仮想ファイアウォールの導入シナリオ

pkid プロセス用の Microsoft Azure クラウド HSM サービスを使用してキー ペアを生成し、これらのキー ペアを使用して CA サーバーからローカル証明書を取得できます。IKE ネゴシエーション中の秘密キーの署名には、クラウド HSM サービスに存在するキーペアを使用します。

HSMサービスを使用してMicrosoft Azureクラウド内で実行されるVPN機能を 図5に示します。

図 5: Microsoft Azure Cloud の HSM を使用した VPN のコンポーネント

ここで関連するコンポーネントは次のとおりです。

• vSRX仮想ファイアウォール3.0がMicrosoft Azureクラウドでリリースされました。

• ピア—Azureクラウドで起動された2つ目のvSRX仮想ファイアウォール3.0インスタンス。最初のvSRX仮想ファイアウォール3.0とピアの間にトンネルが確立されます。

• Key Vault - Azure クラウドで起動された HSM サービス。vSRX仮想ファイアウォール3.0とHSMの間で対話を行うことができます。また、ピアはキーペアをローカルに作成して保存できます。

• 認証局サーバー—vSRX仮想ファイアウォールインスタンスからアクセスできる任意のCAサーバー。CA サーバーが Azure クラウドで起動されます。

この手順では、クラウド HSM サービスで vSRX仮想ファイアウォールを認証することにより、vSRX仮想ファイアウォールから HSM へのアクセスを許可する手順を示します。

1. HSM サービスとのセッションの初期化 - HSM と対話する必要がある各プロセスは、独自の個別のセッションを初期化する必要があります。VPN 機能を使用するには、関係するデバイスごとに HSM サービスとの 2 つのセッションを確立する必要があります。1 つのセッションは pkid プロセスで確立され、もう 1 つのセッションは iked プロセスで確立されます。HSM サービスとのこれらのセッションは、デーモンの init プロセス中に 1 回だけ確立されます。デーモンが再起動されると、HSM サービスとの新しいセッションが確立されます。HSM サービスとのセッションが正常に確立されると、有効なセッションコンテキストが返されます。HSMサービスとのセッションは、マスター暗号化キー(MEK)が有効になっている場合にのみ確立されます。各セッションは、vSRX仮想ファイアウォールとクラウドHSM間のセキュアなTLS接続になります。

2. HSM でのキーペアの処理 - HSM でキーペアを作成して保存するには、 request security pki generate-key-pair certificate-id certificate-id-name <size> <type> コマンドを使用します。

   手記：

   certificate-id という用語は、生成されたキーペアに関連付けられた識別子にすぎません。証明書作成への接続はまだありません。type と size が指定されていない場合、type は RSA で、size は 2048 のデフォルト値と見なされます。

3. HSM へのリダイレクト:HSM を有効にすると、同じ CLI コマンドが HSM にリダイレクトされます。指定されたパラメータを持つ新しいキーペアがHSMに作成されます。各vSRX仮想ファイアウォールによって作成されたキーは、各VMのUUIDを使用してタグ付けされます。クラウドポータルにログインし、キーにアクセスして、必要なプロパティ/操作を確認できます。各キーの UUID の形式は、<key-name>_<unique vm-instance id>です。キーの作成時にキー名を指定する必要があります。VM インスタンスは、キー ID を HSM サービスで一意にする要因です。したがって、 vm-instance ID は、稼働中の VM ごとに一意である必要があります。これは、Microsoft Azure によって保証されます。HSM リダイレクトは時間指定呼び出しであり、 x 秒以内に応答が受信されない場合は、エラー メッセージ call to HSM failed が表示されます。

4. 公開キー情報の取得 — HSM でキーペアを作成した後、キーペアの公開キーコンポーネントを取得します。HSM は、剰余と指数を返します。これらのコンポーネントはEVP_PKEY OpenSSL APIを使用して構造に変換されます。その後、公開鍵構造は、鍵のハッシュに新しいエントリとして格納されます。このようにして、公開鍵コンポーネントは、必要に応じてハッシュから取得できます。現在、HSMは重複するキーペアを検出しませんが、代わりにエラーキーIDが再度受信されると、HSMは既存のキーペアを上書きします。このキーペアの上書きを回避するために、公開キーはキーの作成時にハッシュに保存されます。これにより、重複するキーペアの作成は、HSMを呼び出すことなく、デバイスレベル自体で停止されます。

   同じ名前を使用して新しいキーペアを作成しようとすると、以前のキーペアを削除した場合でも、エラー error: Failed to generate key pair at HSM. Found a key with the same name at HSM. Use a different certificate id next time. Refer to PKID logs for more details が表示されます。

5. キーペアの削除 - HSM は、HSM で作成されたキーペアを削除する API をサポートしていません。CLI で delete keypair コマンドを発行すると、公開キー コンポーネントがディスクとキー ハッシュから削除されます。キーペアは HSM から削除されません。HSM からキーペアを削除するには、HSM にアクセスし、キーペアを手動で削除する必要があります。Azure Key Vault で論理的な削除機能が有効になっている場合は、キーペア名を再利用する前に、キーペアからキーペアを削除する必要もあります。

   手記：

   ファイルからのキーのエクスポートはサポートされていません。 request security pki local-certificate export コマンドと request security pki key-pair export コマンドを使用してキーをエクスポートすると、エラー メッセージ Export of keypairs/certificate is not supported when HSM is enabledが表示されます。

6. [Private Key Signing]:秘密キーが HSM に存在するようになりました。そのため、秘密キーを必要とするすべての操作は HSM にオフロードされています。操作には以下が含まれます。

   秘密キーの署名操作は、次の場合に使用します。

   • 証明書署名要求(CSR)の作成

   • CAから受信したローカル証明書の検証

   • IKE ネゴシエーション中の RSA 署名

   • SHA-1 相互運用性。Azure Key Vault では、SHA-256 ダイジェストに対してのみ秘密キーの署名がサポートされています。