MACsec による Direct Link Dedicated のガイドラインと制限事項

MACsec for Direct Link 専用には、以下のガイドラインと制限がある：

  • MACsec 機能は、 Direct Link Dedicated オファリングでのみサポートされています
  • Direct Link MACsec Key Agreement (MKA)プロトコル対応
  • 同じインターフェイスに対する複数のMACsecピア（異なるSCI値）はサポートされていない

主な制限

コネクティビティ・アソシエーション・キー（CAK）は、名前と素材の両方で構成される。 MACsec デバイスと IBM MACsec デバイスでは、名前と材質の両方が一致していなければならない。 CAK名はサービスに直接提供されるが、素材は Secrets Manager または Hyper Protect Crypto Services (HPCS)インスタンスにインポートされた鍵として確保されなければならない。 Secrets Manager または HPCS インスタンスへの Direct Link サービスアクセスを有効にするには、IAM サービス間認証を構成する必要があります。

CAK 名は特定の MACsec 命名規則に従わなければならない。 名前は偶数の16進文字（0-9, a-f, A-F ）で構成され、最大64文字でなければならない。

プライマリまたはフォールバックの各CAKには、一意のCAK名を使用する必要がある。

CAK材料は16進数で64文字でなければならない。 生成された素材が64文字未満の場合、必要な長さになるまでゼロを右詰めする必要があります。 その後、その材料を Secrets Manager または HPCS インスタンスにキーとしてインポートする必要があります。

インポートするには base64-encodeSecrets Manager、またはHPCSインスタンスにインポートする必要があります。 エンコードされていない素材は、 IBM MACsecデバイス上で設定される。

必ず Add key > Import a key オプションを使用してください。 キーを作成するオプションを使用すると、生成されたキー文字列は64文字のキー長チェックを破ります。

フォールバックの制限

  • フォールバック MACsec セッションは、ピアデバイスが CAK 名またはマテリアルの不一致のためにプライマリセッションを確立できない場合にのみ開始される。

  • プライマリ CAK のローテーションの間、MACsec セッションは新しいプライマリ CAK で確保できるまで、前のプライマリ CAK で確保される。 新しいプライマリCAKに不一致がある場合、デバイスは以前のプライマリCAKで保護されたままとなり、フォールバック・セッションは開始されない。

  • ライフタイムが一定である単一のフォールバックCAKのみがサポートされる。 複数のフォールバックCAKはサポートされていない。

  • インターフェイス上の完全な MACsec 設定も削除しない限り、インターフェイス上のフォールバック設定を削除することはできない。

MACsecポリシーの制限

  • 既存の MACsec ポリシーを変更することはできません。 代わりに、新しい MACsec ポリシーを作成し、それをインターフェイスにアタッチする必要があります。または、インターフェイスから MACsec ポリシーを削除し、それを編集し、それを再度アタッチすることができます。 ポリシーの変更は、ネットワークの混乱を引き起こす可能性がある。

  • MACsecセッションがセキュアになる前にBPDUパケットが送信されるかもしれない。

相互運用性の制限：

  • ピア MACsec デバイスは XPN 暗号スイートをサポートしなければならない。