安全なファイル共有接続のためのMount Helper
Mount Helperは、 File Storage for VPC における転送中のデータの暗号化を自動化します。 このユーティリティは、ゾーン共有に対してIPsecトンネルを設定し、リージョン共有に対して TLS 接続を設定します。
マウント・ヘルパーとは何ですか？
Mount Helper は、コンピューティングリソース（仮想サーバーインスタンスやベアメタルサーバー）と File Storage for VPC との間で、安全な通信を設定・確立するためのオープンソースの自動化ツールです。 このユーティリティは、転送中の暗号化の設定、証明書の管理、安全なトンネルの確立といった複雑な作業を処理するため、ユーザーはセキュリティインフラの設定に時間を割くことなく、ファイル共有の利用に集中することができます。
Mount Helper が使用する暗号化方式は、ファイル共有の種類によって決まります：
- ゾーンごとのファイル共有に対する IPsecカプセル化
- 地域間のファイル共有における Stunnelによるセキュア接続
転送中の暗号化方式
ゾーン共有用のIPsecカプセル化接続
このユーティリティは strongSwan を使用し、 swanctl を使用して、 Linux OS を実行しているコンピュートホスト上で IPsec を設定します。
File Storage for VPC IPsec接続には相互認証が必要です。 マウント・ヘルパーは、メタデータ・サービスからインスタンスまたはベアメタル・サーバーの識別トークンを取得します。 その後、IDトークンを使用して、インスタンスまたはベアメタルサーバーのID証明書の作成を要求します。
Mount Helperは、証明書の有効期間が1時間であるため、45分ごとに新しい証明書の発行をリクエストします。 新しい証明書は、接続が途切れることなく維持されるよう、古い証明書の有効期限が切れる前に生成されます。 セキュリティ上の理由から、証明書は有効期間が短く設定されています。
Mount Helper を使用すると、暗号化された接続と暗号化されていない接続の両方を設定できます。 暗号化された接続の場合、Mount Helper は、 http または https のいずれかに設定されたメタデータサービスプロトコルオプションを使用します。 詳細については、 インスタンスのプロビジョニングおよび
ベアメタルサーバーのプロビジョニングにおける「 metadata_service 」オプションのAPIリファレンスを参照してください。
地域共有フォルダ向けのStunnelによるセキュア接続
Mount Helper ユーティリティは、 Linux OS を実行しているコンピュートホストに stunnel をインストールします。 Stunnelは、クライアントとサーバーの間に暗号化された TLS トンネルを構築し、安全な通信を実現するアプリケーションです。 クライアントモードでは、Stunnel が仮想サーバーインスタンスまたはベアメタルサーバーからファイル共有へ接続を確立し、安全な接続を介してデータをトンネル転送します。 Stunnel では、 PEM ファイルが必要です。このファイルには通常、秘密鍵と証明書が含まれています。
stunnelがクライアントモードで動作する場合、システム全体の SSL / TLS の設定および証明書に依存します。 カスタム証明書を生成する代わりに、 Linux ディストリビューションに付属するデフォルトの PEM ファイルを使用することができます。 PEM ファイルは、多くの場合、 /etc/ssl/private または /etc/pki/tls/private フォルダ内にあります。
要件
Mount Helper を使用する前に、お使いの環境が以下の要件を満たしていることを確認してください：
- ゾーンファイル共有との安全な接続を確立するには、コンピュートホスト上で メタデータサービスを 有効にする必要があります。
- コンピュートホストが仮想サーバーインスタンスの場合は、次のトピックを参照してください： コンソールでメタデータを有効にする。 CLI からメタデータを有効にする。 API からのメタデータの有効化。
- コンピュートホストがベアメタルサーバーの場合は、次のトピックを参照してください： コンソールでメタデータを有効にする。 CLI からメタデータを有効にする。 API からのメタデータの有効化。
- ゾーンまたはリージョンのファイル共有には、 セキュリティグループのアクセスモード を設定する必要があります。これにより、VPCのセキュリティアクセスグループを使用して、どのコンピュートホストが共有をマウントできるかを定義できるようになります。
- マウント先では、転送中のデータ暗号化を有効にする必要があります。
- コンピュートホストとマウント先が、同じ セキュリティグループ に所属している必要があります。
- マウント先には 仮想ネットワークインターフェース を設定して作成する必要があります。これにより、VPC 内で仮想 NFS サーバーを表す IP アドレスが割り当てられます。
cloud-init の設定に、Mount Helperのインストーラスクリプトを追加しないでください。 このユーティリティは、ホストの身元確認のためにメタデータAPIへのリクエストを行うため、動作中かつ安定したVSIが必要です。
制約事項と制限事項
以下の制約事項に注意してください。
- IPsecカプセル化の場合、複数のリージョンで同じ証明書を使用することはできません。
- 「マウント・ヘルパー」は、 Linux ホストでのみサポートされています。 サポートされているディストリビューションについては、以下の表をご覧ください：
| サポートされる OS | サポートされる OS | サポートされる OS |
|---|---|---|
| RHEL_8 [8.4, 8.6, 8.8, 8.10] | RHEL_9 [9.0, 9.2, 9.4] | RHCOS 4.1 以降 |
| UBUNTU_2204 | UBUNTU_2404 | SAP_SLES_15_SP3_HANA |
| CENTOS_STREAM_9 | CENTOS_STREAM_10 | SAP_SLES_15_SP4_HANA |
| DEBIAN_11 | DEBIAN_12 | SAP_SLES_15_SP3_APPLICATIONS |
| ROCKYLINUX_8 [8.9, 8.10] | ROCKYLINUX_9 [9.4, 9.5] | SAP_SLES_15_SP4_APPLICATIONS |