Gemalto HSMとの連携
設定ステップ
このワークフローを使用して、Check Pointセキュリティゲートウェイ / ClusterXL / Scalable Platformセキュリティグループを構成し、Gemalto HSMサーバと連携させます。
Gemalto HSM環境を構成するには、Gemalto HSMの設定ドキュメントを使用します。
| ステップ | 手順 | ||
|---|---|---|---|
|
1 |
このパッケージをダウンロード: Gemalto SafeNet HSM Help package (007-011136-012_Net_HSM_6.2.2_Help_RevA)
|
||
|
2 |
Windowsベースのコンピュータを使用します。 |
||
|
3 |
Gemalto HSM Helpパッケージを任意のフォルダに解凍します。 |
||
|
4 |
解凍した Gemalto HSM Help フォルダを開きます。 |
||
|
5 |
START_HERE.htmlファイルをダブルクリックします。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメントが開きます。 |
Gemalto HSM のヘルプ文書を使用して、Gemalto HSM サーバをインストールおよび設定します。
| ステップ | 手順 | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|
|
1 |
Gemalto HSM アプライアンスをインストールします。 Gemalto SafeNetネットワーク HSM 6.2.2 製品ドキュメント から、インストールガイド>SafeNet ネットワーク HSM ハードウェアインストール に進みます。 |
|||||||||
|
2 |
Gemalto HSM アプライアンスとGemalto HSM サーバの初期設定を行います。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメント からConfiguration Guideに進み、[Step 1]から[Step 6] に進みます。 |
|||||||||
|
3 |
LunaSH で " Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメントの 構成ガイド>[ステップ7] 信頼できるリンクを作成し、クライアントとアプライアンスを相互に登録します。 |
|||||||||
|
4 |
Check Point セキュリティゲートウェイ / ClusterXL / Security Group で動作するように、Gemalto HSM サーバの設定を完了します:
|
Gemalto HSMクライアントワークステーションを使用して、Gemalto HSMサーバでCA証明書を作成します。
Check Pointセキュリティゲートウェイ / ClusterXL / Scalable Platformセキュリティグループは、このHTTPSインスペクション
SSL(Secure Sockets Layer)プロトコルによって暗号化されたトラフィックにマルウェアや不審なパターンがないか検査するセキュリティゲートウェイの機能(同義語: SSLインスペクション、略語: HTTPSI、HTTPSi)。用CA証明書を使用して、Gemalto HSMサーバのSSLキーを保存し、アクセスします。
|
|
注 - HSMクライアントパッケージがインストールされたCheck Point Security Gateway / ClusterXL / Scalable Platform Security Groupを、HSMクライアントワークステーションとして使用することも可能です。 |
| ステップ | 手順 | |
|---|---|---|
|
1 |
Gemaltoのベンダーからこの HSM クライアントパッケージを入手してください: 610-012382-017_SW_Client_HSM_6.2.2_RevA |
|
|
2 |
Gemalto HSMクライアントワークステーションとして使用するWindowsベースまたはLinuxベースのコンピュータをインストールします。 |
|
|
3 |
コンピュータにHSMクライアントパッケージをインストールします: Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメント から、インストールガイド>SafeNet HSM クライアントソフトウェアのインストール に進みます。 |
|
|
4 |
Gemalto HSMクライアントワークステーションとGemalto HSMサーバの間にトラストリンクを確立します。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメントの 構成ガイド>[ステップ7] 信頼できるリンクを作成し、クライアントとアプライアンスを相互に登録します。 ジェムアルト HSM クライアントワークステーションで、LunaCM を実行します:
|
| ステップ | 手順 | ||||
|---|---|---|---|---|---|
|
1 |
HSMクライアントワークステーションで、コマンドプロンプトまたはターミナルウィンドウを開きます。 |
||||
|
2 |
" Gemalto SafeNetネットワーク HSM 6.2.2 製品ドキュメント から、ユーティリティリファレンスガイド > 証明書管理ユーティリティ (CMU)>cmu generatekeypair を開きます。 例:
|
||||
|
3 |
プロンプトが表示されたら、Gemalto HSMサーバのパーティションのパスワードを入力します(このパスワードはステップ 2/5: Check Point セキュリティゲートウェイ / ClusterXL / Scalable Platform セキュリティグループで動作する Gemalto HSM サーバの設定)。 例:
|
||||
|
4 |
対応する番号を入力してRSAメカニズムを選択します:
|
||||
|
5 |
作成した鍵ペアのハンドルを表示します。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメント から、ユーティリティリファレンスガイド > 証明書管理ユーティリティ (CMU)>cmu list に進みます。
出力例:
|
||||
|
6 |
前の手順のハンドル番号を使用して、CA 証明書を作成します。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメント から、ユーティリティリファレンスガイド > 証明書管理ユーティリティ (CMU) > cmu selfsigncertificate 例:
|
||||
|
7 |
作成した CA 証明書のハンドルを表示します。
出力例:
|
||||
|
8 |
CA証明書をファイルにエクスポートします。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメントの ユーティリティリファレンスガイド > 証明書管理ユーティリティ (CMU) > cmu export
|
このステップには3つのサブステップがあります。
|
|
重要:
|
| ステップ | 手順 | |||
|---|---|---|---|---|
|
1 |
SmartConsole 詳細はR82 Security Management Administration Guide> HTTPSインスペクションの章 |
|||
|
2 |
セキュリティゲートウェイ/各クラスタメンバ/セキュリティグループで、
|
|||
|
3 |
SmartConsoleで、該当するAccess Control Policyをセキュリティゲートウェイ / ClusterXLオブジェクトにインストールします。 |
|||
|
4 |
HTTPSインスペクションが HSMサーバなしで正しく機能することを確認します:
|
|
|
重要:
|
|
|
注 -
|
セキュリティゲートウェイ / ClusterXLの手順:
| ステップ | 手順 | |||
|---|---|---|---|---|
|
1 |
Gemaltoから受け取ったGemalto HSM Clientパッケージを開きます: 610-012382-017_SW_Client_HSM_6.2.2_RevA 次のディレクトリに移動します: |
|||
|
2 |
HSMクライアントパッケージをインストールします。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメント から、インストールガイド>SafeNet HSM クライアントソフトウェアのインストール に進みます。 |
|||
|
3 |
エキスパートモードで、 libCryptoki2.soファイルを /usr/lib/hsm_client/ディレクトリにコピーします:
|
|||
|
4 |
セキュリティゲートウェイ/各クラスタメンバのGemalto HSMクライアントとGemalto HSMサーバの間にトラストリンクを確立します。 Gemalto SafeNetネットワークHSM 6.2.2製品ドキュメントの設定ガイド > [ステップ7] 信頼できるリンクを作成し、クライアントとアプライアンスを相互に登録します。 セキュリティゲートウェイ/各クラスタメンバで、LunaCMを実行します:
|
|||
|
5 |
セキュリティゲートウェイ/各クラスタメンバのパーティションアクセスを調べます:
|
Scalable Platformセキュリティグループの手順:
| ステップ | 手順 | |||
|---|---|---|---|---|
|
1 |
Gemaltoから受け取った Gemalto HSM Client パッケージを開きます: 610-012382-017_SW_Client_HSM_6.2.2_RevA |
|||
|
2 |
ソフトウェアパッケージをセキュリティグループのディレクトリに移します。 例えば、すべてのセキュリティグループメンバに/var/log/HSM_Client/を作成します:
|
|||
|
3 |
Security Groupでコマンドラインに接続します。 |
|||
|
4 |
エキスパート モードにログインします。 |
|||
|
5 |
Gemalto HSM Clientパッケージを解凍します:
|
|||
|
6 |
すべてのセキュリティグループのメンバにGemalto HSMクライアントパッケージをインストールします:
|
|||
|
7 |
セキュリティグループ上のGemalto HSMクライアントとGemalto HSMサーバの間にトラストリンクを確立します。 Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメントの 設定ガイド > [ステップ7] 信頼できるリンクを作成し、クライアントとアプライアンスを相互に登録します。 セキュリティグループで、LunaCMで実行します:
|
|||
|
8 |
セキュリティグループのパーティションアクセスを調べます:
|
|
|
重要:
|
|
|
注 -
|
| ステップ | 手順 | ||||||
|---|---|---|---|---|---|---|---|
|
1 |
セキュリティゲートウェイ/各クラスタメンバ/Scalable Platformセキュリティグループのコマンドラインに接続します。 |
||||||
|
2 |
エキスパート モードにログインします。 |
||||||
|
3 |
|
||||||
|
4 |
|
||||||
|
5 |
これらの属性に必要な値を設定します:
|
||||||
|
|
例: コピー
|
||||||
|
6 |
新しい設定を適用します。
|
||||||
|
7 |
セキュリティゲートウェイ/各クラスタメンバ/セキュリティグループがHSMサーバに接続できること、および送信トラフィックでHTTPSインスペクションが正常に有効化されていることを確認します。 次のコマンドを実行します。
出力には次が表示される必要があります。
詳細はこちら:CLIでHSMによるHTTPSインスペクションのモニタ。 |
||||||
|
8 |
外部へのトラフィックでHTTPSインスペクションが正常に有効になっていることを確認します:
|
Gemalto HSMサーバの追加アクション
Check Point セキュリティゲートウェイとHSMサーバとの間に新しいトラスト リンクを確立する必要がある場合は、現在のトラスト リンクを削除する必要があります。
使用例:Check PointのセキュリティゲートウェイまたはHSMサーバを交換または再構成する場合。
| ステップ | 手順 | ||||
|---|---|---|---|---|---|
|
1 |
Check Pointセキュリティゲートウェイ /各クラスタメンバ / Scalable Platform セキュリティグループの現在のトラスト リンクを削除します:
|
||||
|
2 |
HSMアプライアンス上の現在のトラストリンクを削除します:
|
|
|
注 - 詳細については、Gemalto SafeNet ネットワーク HSM 6.2.2 製品ドキュメントを参照してください。 |
| ステップ | 手順 | |
|---|---|---|
|
1 |
SSHでHSMアプライアンスに接続します。 |
|
|
2 |
設定されているすべてのインタフェースを調べます:
|
|
|
3 |
新しいインタフェースを追加します:
|
|
|
4 |
すべてのインタフェースでネットワークトラストリンクサービス(NTLS)を有効にします。 |
|
|
注 - 詳細については、Gemalto SafeNetネットワークHSM 6.2.2 製品ドキュメント > LunaSHコマンドリファレンスガイド > LunaSHコマンド を参照してください。 |