秘密鍵の暗号化を有効にする

このドキュメントでは、Cassandra データベースに保存されているデベロッパー アプリのコンシューマ シークレット（クライアント認証情報）の暗号化を有効にする方法について説明します。

概要

従来、Apigee Edge for Private Cloud では、Key-Value マップ（KVM）データと OAuth アクセス トークンの暗号化はオプションでした。

次の表に、Apigee for プライベート クラウド の保存データの暗号化オプションを示します。

クライアント認証情報の暗号化を有効にするには、すべての Message Processor ノードと Management Server ノードで次のタスクを実行する必要があります。

• 鍵暗号鍵（KEK）を保存するキーストアを作成します。Apigee は、この暗号化された鍵を使用して、データの暗号化に必要な秘密鍵を暗号化します。
• すべての Management Server ノードと Message Processor ノードで構成プロパティを編集します。
• デベロッパー アプリを作成して、鍵の作成をトリガーします。
• ノードを再起動します。

これらのタスクについては、このドキュメントで説明します。

鍵暗号化機能について知っておくべきこと

このドキュメントの手順では、KEK 機能を有効にする方法について説明します。この機能により、Apigee は、Cassandra データベースに保存されているデベロッパー アプリのコンシューマ シークレットの暗号化に使用される秘密鍵を暗号化できます。

デフォルトでは、データベース内の既存の値は変更されず（書式なしテキストのまま）、以前と同様に機能します。

暗号化されていないエンティティに対して書き込みオペレーションを実行すると、オペレーションの保存時に暗号化されます。たとえば、暗号化されていないトークンを取り消してから、後で承認すると、新しく承認されたトークンは暗号化されます。

鍵を安全に保管する

KEK が保存されているキーストアのコピーは、必ず安全な場所に保管してください。独自の安全なメカニズムを使用してキーストアのコピーを保存することをおすすめします。このドキュメントの手順で説明しているように、キーストアは、ローカル構成ファイルが参照できる各 Message Processor ノードと Management Server ノードに配置する必要があります。ただし、安全な保管とバックアップのために、キーストアのコピーを別の場所に保存することも重要です。

鍵の暗号化を有効にする

コンシューマー シークレット キーの暗号化の手順は次のとおりです。

前提条件

このドキュメントの手順を行う前に、次の要件を満たす必要があります。

• Apigee Edge for Private Cloud 4.50.00.10 以降をインストールまたはアップグレードする必要があります。
• Apigee Edge for Private Cloud の管理者である必要があります。

ステップ 1: キーストアを生成する

鍵暗号鍵（KEK）を保持するキーストアを作成する手順は次のとおりです。

1. 次のコマンドを実行して、KEK の暗号化に使用する鍵を格納するキーストアを生成します。次のコマンドを正確に入力します。（任意のキーストア名を指定できます）:
   

   keytool -genseckey -alias KEYSTORE_NAME -keyalg AES -keysize 256 \
   -keystore kekstore.p12 -storetype PKCS12

   プロンプトが表示されたら、パスワードを入力します。このパスワードは、後のセクションで Management Server と Message Processor を構成するときに使用します。

   このコマンドは、エイリアス KEYSTORE_NAME を持つ鍵を含む kekstore.p12 キーストア ファイルを生成します。

2. （省略可）次のコマンドを使用して、ファイルが正しく生成されたことを確認します。ファイルが正しい場合、コマンドはエイリアス KEYSTORE_NAME を持つ鍵を返します。

   keytool -list -keystore kekstore.p12

ステップ 2: 管理サーバーを構成する

次に、管理サーバーを構成します。複数のノードに Management Server がインストールされている場合は、各ノードでこの手順を繰り返す必要があります。

1. ステップ 1 で生成したキーストア ファイルを、Management Server ノードのディレクトリ（/opt/apigee/customer/application など）にコピーします。例:

   cp certs/kekstore.p12 /opt/apigee/customer/application

2. apigee ユーザーがファイルを読み取れることを確認します。

   chown apigee:apigee /opt/apigee/customer/application/kekstore.p12

   chmod 400 /opt/apigee/customer/application/kekstore.p12

3. /opt/apigee/customer/application/management-server.properties に次のプロパティを追加します。ファイルが存在しない場合は作成します。プロパティ ファイルのリファレンスもご覧ください。
   

   conf_keymanagement_kmscred.encryption.enabled=true
   
   # Fallback is true to ensure your existing plaintext credentials continue to work
   conf_keymanagement_kmscred.encryption.allowFallback=true
   
   conf_keymanagement_kmscred.encryption.keystore.path=PATH_TO_KEYSTORE_FILE
   conf_keymanagement_kmscred.encryption.kek.alias=KEYSTORE_NAME
   
   # These could alternately be set as environment variables. These variables should be
   # accessible to Apigee user during bootup of the Java process. If environment
   # variables are specified, you can skip the password configs below.
   # KMSCRED_ENCRYPTION_KEYSTORE_PASS=
   # KMSCRED_ENCRYPTION_KEK_PASS=
   See also Using environment variables for configuration properties.
   
   conf_keymanagement_kmscred.encryption.keystore.pass=KEYSTORE_PASSWORD
   conf_keymanagement_kmscred.encryption.kek.pass=KEK_PASSWORD

   キーストアの生成に使用したツールによっては、KEK_PASSWORD が KEYSTORE_PASSWORD と同じになる場合があります。

4. 次のコマンドを使用して、管理サーバーを再起動します。

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server wait_for_ready

   管理サーバーの準備が整うと、wait_for_ready コマンドは次のメッセージを返します。

   Checking if management-server is up: management-server is up.

5. 複数のノードに Management Server がインストールされている場合は、各 Management Server ノードで上記の手順 1 ～ 4 を繰り返します。

ステップ 3: デベロッパー アプリを作成する

管理サーバーが更新されたので、クライアント認証情報データの暗号化に使用される鍵の生成をトリガーするデベロッパー アプリを作成する必要があります。

1. デベロッパー アプリを作成して、データ暗号鍵（KEK）の作成をトリガーします。手順については、アプリの登録をご覧ください。
2. 必要に応じて、デベロッパー アプリを削除します。暗号鍵が生成されたら、この鍵を保持する必要はありません。

ステップ 4: Message Processor を構成する

Message Processor で暗号化が有効になるまで、ランタイム リクエストは暗号化された認証情報を処理できません。

1. 手順 1 で生成したキーストア ファイルを、Message Processor ノードのディレクトリ（/opt/apigee/customer/application など）にコピーします。例:

   cp certs/kekstore.p12 /opt/apigee/customer/application

2. apigee ユーザーがファイルを読み取れることを確認します。

   chown apigee:apigee /opt/apigee/customer/application/kekstore.p12

3. /opt/apigee/customer/application/message-processor.properties に次のプロパティを追加します。ファイルが存在しない場合は作成します。プロパティ ファイルのリファレンスもご覧ください。

   conf_keymanagement_kmscred.encryption.enabled=true
   
   # Fallback is true to ensure your existing plaintext credentials continue to work
   conf_keymanagement_kmscred.encryption.allowFallback=true
   
   conf_keymanagement_kmscred.encryption.keystore.path=PATH_TO_KEYSTORE_FILE
   conf_keymanagement_kmscred.encryption.kek.alias=KEYSTORE_NAME
   
   # These could alternately be set as environment variables. These variables should be
   # accessible to Apigee user during bootup of the Java process. If environment
   # variables are specified, you can skip the password configs below.
   # KMSCRED_ENCRYPTION_KEYSTORE_PASS=
   # KMSCRED_ENCRYPTION_KEK_PASS=
   See also Using environment variables for configuration properties.
   
   
   conf_keymanagement_kmscred.encryption.keystore.pass=KEYSTORE_PASSWORD
   conf_keymanagement_kmscred.encryption.kek.pass=KEK_PASSWORD

   キーストアの生成に使用したツールによっては、KEK_PASSWORD が KEYSTORE_PASSWORD と同じになる場合があります。

4. 次のコマンドを使用して、Message Processor を再起動します。

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor wait_for_ready

   Message Processor がメッセージを処理する準備が整うと、wait_for_ready コマンドから次のメッセージが返されます。

   Checking if message-processor is up: message-processor is up.

5. 複数のノードに Message Processor がインストールされている場合は、Message Processor ノードごとに手順 1 ～ 4 を繰り返します。

概要

今後作成するデベロッパー アプリでは、認証情報のシークレットが Cassandra データベースに保存されるときに暗号化されます。

構成プロパティに環境変数を使用する

また、環境変数を使用して、次の Message Processor と Management Server の構成プロパティを設定することもできます。設定すると、環境変数は Message Processor または Management Server の構成ファイルで設定されたプロパティをオーバーライドします。

conf_keymanagement_kmscred.encryption.keystore.pass=
conf_keymanagement_kmscred.encryption.kek.pass=

対応する環境変数は次のとおりです。

export KMSCRED_ENCRYPTION_KEYSTORE_PASS=KEYSTORE_PASSWORD

export KMSCRED_ENCRYPTION_KEK_PASS=KEK_PASSWORD

これらの環境変数を設定すると、Message Processor ノードと Management Server ノードの構成ファイルからこれらの構成プロパティを省略できます。これらのプロパティは無視されます。

conf_keymanagement_kmscred.encryption.keystore.pass
conf_keymanagement_kmscred.encryption.kek.pass

プロパティ ファイルのリファレンス

このセクションでは、このドキュメントの前半で説明したように、すべての Message Processor ノードと Management Server ノードに設定する必要がある構成プロパティについて説明します。