vSRX仮想ファイアウォール3.0へのMicrosoft Azureハードウェアセキュリティモジュールの導入

目的

HSM との接続を確認するには。

アクション

show security hsm statusコマンドを使用して、HSM のステータスを確認できます。次の情報が表示されます。

• HSM が有効で、到達可能または無効になっている場合

• HSMで作成されたマスターバインディングキー(RSAキーペア)ですか

• マスター暗号化キーが設定されているか - マスター暗号化パスワードの状態 (設定済みまたは未設定)

• クラウドベンダー情報

導入シナリオ

このセクションでは、純粋なIPsec接続を使用してデータセンターに接続する仮想ネットワークで、vSRX仮想ファイアウォール3.0インスタンスをゲートウェイとして起動する導入シナリオについて説明します。

図 4 に、展開シナリオを示します。

図4:IPsec接続を使用したvSRX仮想ファイアウォールの導入シナリオ

pkid プロセスに Microsoft Azure クラウド HSM サービスを使用してキー ペアを生成し、これらのキー ペアを使用して CA サーバーからローカル証明書を取得できます。クラウドHSMサービスに存在するキーペアを、IKEネゴシエーション中のプライベートキーの署名に使用します。

HSM サービスを使用して Microsoft Azure クラウド内で実行される VPN 機能は、 図 5 のようになります。

図 5: Microsoft Azure クラウド の HSM を使用した VPN のコンポーネント

ここで関係するコンポーネントは次のとおりです。

• Microsoft AzureクラウドでリリースされたvSRX仮想ファイアウォール3.0。

• ピア—Azureクラウドで起動された2番目のvSRX仮想ファイアウォール3.0インスタンス。最初のvSRX仮想ファイアウォール3.0と とピアの間にトンネルが確立されます。

• Key Vault—Azureクラウドで起動されたHSMサービス。vSRX仮想ファイアウォール3.0とHSMの間で対話を行うことができます。また、ピアはローカルでキーペアを作成して保存できます。

• 認証局サーバー:vSRX仮想ファイアウォールインスタンスからアクセスできるCAサーバー。CA サーバーが Azure クラウド上で起動されます。

この手順では、クラウドHSMサービスでvSRX仮想ファイアウォールを認証することにより、vSRX仮想ファイアウォールからHSMへのアクセスを許可する手順を説明します。

1. HSM サービスとのセッションを初期化する — HSM と対話する必要がある各プロセスは、独自の個別のセッションを初期化する必要があります。VPN 機能を使用するには、関連するデバイスごとに HSM サービスとのセッションを 2 つ確立する必要があります。1 つのセッションは pkid プロセスで確立され、もう 1 つのセッションは iked プロセスで確立されます。HSM サービスとのこれらのセッションは、デーモンの初期化プロセス中に一度だけ確立されます。デーモンが再起動されると、HSM サービスとの新しいセッションが確立されます。HSM サービスでセッションが正常に確立されると、有効なセッションコンテキストが返されます。マスター暗号化キー (MEK) が有効になっている場合にのみ、HSM サービスとのセッションが確立されます。各セッションは、vSRX仮想ファイアウォールとクラウドHSM間の安全なTLS接続になります。

2. HSM でのキーペアの処理 — HSM でキーペアを作成して保存するには、 コマンドを使用します request security pki generate-key-pair certificate-id certificate-id-name <size> <type> 。

   メモ：

   certificate-id という用語は、生成されたキーペアに関連付けられた単なる識別子です。証明書の作成への接続はまだありません。型とサイズが記述されていない場合は、型のデフォルト値を RSA として、サイズ 2048 が考慮されます。

3. HSM へのリダイレクト—HSM を有効にすると、同じ CLI コマンドが HSM にリダイレクトされます。指定されたパラメーターを持つ新しいキーペアが HSM で作成されます。各vSRX仮想ファイアウォールで作成されたキーには、各VMのUUIDを使用してタグ付けされます。クラウドポータルにログインし、キーにアクセスして、必要なプロパティ/操作を確認できます。各キーの UUID の形式は、<キー名>_<一意の VM インスタンス ID>です。キーの作成時にキー名を指定する必要があります。VM インスタンスは、HSM サービスでキー ID を一意にする要素です。そのため、 VM インスタンス ID は、稼働中の VM ごとに一意である必要があります。これが保証されているのがMicrosoft Azureです。HSM リダイレクトは時間指定呼び出しであり、数秒以内 x に応答が受信されない場合は、エラー メッセージが表示されます call to HSM failed 。

4. 公開キー情報の取得 — HSM でキーペアを作成した後、キーペアの公開キーコンポーネントを取得します。HSM はモジュラスと指数を返します。これらのコンポーネントはEVP_PKEY OpenSSL APIを使用して構造に変換されます。公開キー構造は、キーのハッシュに新しいエントリとして格納されます。このようにして、必要に応じて公開キー コンポーネントをハッシュから取得できます。現在、HSM は重複するキーペアを検出しませんが、代わりにエラーキー ID を再度受信すると、HSM は既存のキーペアを上書きします。このキーペアの上書きを回避するために、公開キーはキー作成自体の時点でハッシュに保存されます。このようにして、重複するキーペアの作成は、HSM を呼び出すことなく、デバイスレベル自体で停止されます。

   以前のキーペアを削除した場合でも、同じ名前を使用して新しいキーペアを作成しようとすると、エラー error: Failed to generate key pair at HSM. Found a key with the same name at HSM. Use a different certificate id next time. Refer to PKID logs for more details が表示されます。

5. キーペアの削除 — HSM は、HSM で作成されたキーペアを削除する API をサポートしていません。CLI で delete keypair コマンドを発行すると、公開鍵コンポーネントがディスクおよび鍵ハッシュから削除されます。キーペアは HSM から削除されません。HSM からキーペアを削除するには、HSM にアクセスし、キーペアを手動で削除する必要があります。Azure Key Vault で論理的な削除機能が有効になっている場合は、キーペア名を再利用する前に、キーペアからキーペアを削除する必要もあります。

   メモ：

   ファイルからのキーのエクスポートはサポートされていません。およびrequest security pki key-pair exportコマンドを使用してrequest security pki local-certificate exportキーをエクスポートすると、エラーメッセージが表示されますExport of keypairs/certificate is not supported when HSM is enabled。

6. プライベートキーの署名 — プライベートキーが HSM に存在するようになりました。そのため、プライベートキーを必要とするすべての操作が HSM にオフロードされています。操作には以下が含まれます。

   秘密キー署名操作は、次のときに使用されます。

   • 証明書署名要求(CSR)の作成

   • CA から受信したローカル証明書の検証

   • IKE ネゴシエーション中の RSA 署名

   • SHA-1 の相互運用性。Azure キー コンテナーでは、SHA-256 ダイジェストに対してのみ秘密キーの署名がサポートされています。