Direct Link、MACsec専用CAKのローテーション

鍵を定期的にローテーションすることで、業界標準や暗号のベスト・プラクティスを満たすことができる。

CAKデータがHPCSに保存されている場合は、2026年12月31日までに Secrets Manager への移行を完了してください。同日をもって、 Direct Link でのHPCSベースの新規鍵作成機能が廃止されます。 この切り替えには、接続ごとに短時間の計画的なセッションリセットが伴うため、早めにスケジュールを組むことで、2027年3月28日の削除期限を目前に、締め切りのプレッシャーの中で暗号化やルーティング認証の修正を行うのではなく、各変更を通常のメンテナンス時間帯に組み込むことが可能になります。

主なコンセプト

  • プライマリCAK – 双方がMACsecセッションを確立するために使用する鍵。
  • フォールバック CAK （オプション） – プライマリ CAK とのセッションを確立できない場合にのみ使用されるセーフティネット。
  • SAK – CAK から導出される、通信を暗号化する短命のセキュアアソシエーションキー。 自動的に更新されます。
  • Secrets Manager または HPCS – CAK 資料は、 IBM Cloud に保管されています。 Direct Link これを安全に取得し、 IBM 側をプログラムします。鍵情報は決して平文で送信されることはありません。

開始前に

  • オンプレミス環境で、新しいCAKマテリアルを安全に生成します。
  • 保存用に「 Secrets Manager 」または「HPCS」のインスタンスを用意しておいてください。
  • お使いのデバイスでSAK有効期限タイマーが使用されている場合は、ローテーション中はそれを一時停止するようにしてください。

MACsecのセキュリティポリシーが「 must secure 」に設定されている場合は、鍵の更新を行うためのメンテナンス時間を確保してください。 ローテーション中に予期せぬセッション確立の失敗が発生すると、フレームがドロップされる可能性があります。

Direct Link MACsecを使用した専用プライマリCAKのローテーション

MACsec で Direct Link Dedicated を使用する場合、以下の手順に従ってプライマリ接続アソシエーション鍵（CAK）をローテートする。 このプロセスは、適切に実装されていれば、パケットの取りこぼしは生じない。 ただし、プライマリCAKを使用したセッションの確立に予期せぬ障害が発生した場合に、それを引き継ぐフォールバックCAKをオプションで設定できます。

  1. デバイスにセキュアアソシエーションキー（SAK）の有効期限タイマーが設定されている場合は、一時的に無効にします。 これは、ローテーション中のピアにおけるプライマリキーの不一致によるSAK更新の失敗を回避するのに役立つ。

    次のステップに進む前に、数分待たなければならないかもしれない。 詳しくは機器のマニュアルをご覧ください。

  2. デバイス上で新しいプライマリ CAK 名と材質を設定します。 あなたのデバイスは新しいプライマリ CAK と新しい MACsec セッションの確立を試みる。 しかし、ピア（ IBM デバイス）はまだ更新されていないため、セッションは init 状態のままである。

    既存のMACsecセッションは中断されず、古いプライマリCAKを使用してセキュアなままである。

  3. ステップ2で使用したプライマリCAK材料を Secrets Manager またはHPCSインスタンスに保存する。

  4. Direct Link で、CAK名と、その材料が含まれる Secrets Manager またはHPCSキーCRNを指定して、プライマリCAKを更新します。 IBM Direct Link 更新されたCAKデータを安全に取得し、お使いのデバイスとピアリングしている クロスコンネクトスイッチ（XCS）上で、指定された名前で設定を行います。 IBM

    この手順は、コンソール、CLI、またはAPIから実行できます：

    • コンソール ： Direct Link 専用インスタンスを開き、「 MACsec 」タブを選択して、「 Connectivity association key (CAK) 」テーブルから該当するキーを見つけ、「アクション」メニューから「 ローテーション 」を選択します。

    例： IBM Cloud コンソールでのCAKのローテーション
    例： IBM Cloud コンソールでのCAKのローテーション

    • CLI ： ibmcloud dl コマンドを使用して、ゲートウェイのCAKを更新します。その際、新しいCAK名と、 Secrets Manager またはHPCSキーのCRNを指定してください。
    • API ：CAK名とキーのCRNを指定して、ゲートウェイのMACsec CAKリソースに対してPATCHリクエストを送信します。

  5. 新しい鍵で新しいMACsecセッションが確立されるのを待つ。

    セッションが確立してから次のステップに進むまで、数分待たなければならないかもしれない。 詳しくは機器のマニュアルをご覧ください。

  6. デバイスから古いプライマリCAKを削除します。 SAKの有効期限タイマーを使用している場合は、お使いのデバイスで再度有効にしてください。

    IBM XCSでも同じことをする。

IBM この手順のステップに対応するアクションは、プライマリCAKを更新したときにトリガーされる。

MACsec を使用した Direct Link 専用フォールバック CAK のローテーション

フォールバックCAKの使用は任意である。 フォールバックCAKを設定する場合は、定期的にローテーションする必要があるかもしれません。 ドロップされたフレームを避けるために、プライマリ CAK で MACsec セッションが確立されたときだけフォールバック CAK をローテートすることが推奨される。 フォールバックCAKは、プライマリCAKを使用してセッションを確立できない場合にのみ使用されるため、フォールバックCAKをローテーションするプロセスはより単純である。

この手順は、新しいフォールバックCAK材料がオンプレミスで安全に生成されることを前提としている。

  1. 古いフォールバックCAKを削除し、新しいフォールバックCAKの名前と素材をデバイスに設定します。
  2. ステップ 1 で使用したフォールバック CAK 素材を、 Secrets Manager または HPCS インスタンスに保存してください。
  3. コンソール、CLI、またはAPIを使用して、 Direct Link 内のフォールバックCAKを、CAK名とキーCRNを指定してローテーションしてください。 IBM Direct Link 新しいCAKを安全に取得し、お使いのデバイスとピアリングしているXCSに設定します。