高可用性プロビジョニングのインストール › 冗長コネクタ サーバ › コネクタ サーバ フレームワーク

コネクタ サーバ フレームワーク

複数のコネクタ サーバの使用は、コネクタ サーバ フレームワークと呼ばれます。 コネクタ サーバ フレームワークには、以下の 2 つの重要な特性があります。

• 拡張性 - マルチコネクタ サーバは、1 組のエンドポイント上で作業のロードを共有することができます。

  たとえば、1 つのコネクタ サーバ上のエンドポイント上での長時間の検索は、別のコネクタ サーバによって制御されているエンドポイント上での操作機能に影響を及ぼしません。

• 通信チャネルのセキュリティ - プロビジョニング サーバおよびコネクタ サーバの間の通信は、TLS を使用して暗号化されます。

  エンドポイント タイプが専用プロトコルを使用して、そのプロトコルのコネクタ サーバとエンドポイント間で通信する場合、専用プロトコルの使用範囲はローカル ネットワークどころか、1 つのサーバ内部のローカル通信のみに制限されることがあります。

実装戦略を決めるとき、不正なアクセスから組織内のコネクタ サーバを保護するために、以下の要因を考慮してください。

• コネクタ サーバは、クリア テキストでパスワードを開示するように設定されていることがあります。

  コネクタ サーバを実行するシステムへのアクセス権限、およびコネクタ サーバの設定を変更して。コネクタ サーバを再起動するのに十分な権限を持つどのユーザも、クリア テキストでコネクタ サーバ ログ パスワードを表示させることができます。

  コネクタ サーバは、オープン ソース slapd プロセスに基づいています。 slapd プロセス ログをクリア テキストの受信パスワードにする手順は、パブリック ドメイン、たとえば、http://www.openldap.org のマニュアル ページで参照できます。

• コネクタ サーバは、バインド パスワードによってのみ保護されます。

  コネクタ サーバは、それに接続し、Bind DN および Bind パスワードなど適切なクレデンシャルを提供できるあらゆるクライアントを信頼します。 コネクタ サーバは、その接続がプロビジョニング サーバからなのか、またはそうではないのか識別しません。 内部アクセス権限を持つどのユーザも、バインド パスワードを開示し、別のサーバからコネクタ サーバに接続することができるので、そのコネクタ サーバで制御されているエンドポイントに対して管理者権限を持ちます。

• コネクタ サーバはバインド パスワードへの総当り攻撃から保護されていません。

  プロビジョニング サーバと異なりコネクタ サーバは、さまざまなパスワードを用いたバインドの反復試行から保護されていません。 そのため、攻撃者は、総当り攻撃によってパスワードを推測できる場合があります。 攻撃者がバインド パスワードの推測に成功すると、ロードは攻撃者に対して開かれ、このコネクタ サーバの管理下のエンドポイントを制御できます。

これらの理由により、以下のように実装を設計するようお勧めします。

• 同じ組織単位が、すべてのプロビジョニング サーバおよびコネクタ サーバへの管理アクセスを担当する。
• ユーザのコネクタ サーバはファイアウォールによって適切に保護され、非認可の手段によってポートに到達できないようになっている。
• 非 TLS ポート上のプロビジョニング サーバおよびコネクタ サーバに接続する機能は、実稼働環境で無効化されている必要があります。

複数のコネクタ サーバを 1 台のコンピュータにインストールする場合は、各インスタンスがそれぞれポート番号の一意のセットを使用することを確認します。