HCL Domino V12 DAOS 拡張

HCL Domino 12.0 ベータ版に実装されている DAOS (Domino Attachment and Object Service) 機能の拡張について検証しました。
NLO (Notes Logical Object) の暗号化に使用するキーとして、これまでは「サーバーIDファイル」一択でしたが、オプションとして新たに「SharedKey」が加わりました。これにより別のサーバーで作成/バックアップされたオブジェクトをコピーして復元するとか、重複排除機能のあるバックアップソリューションを使用して複数のDominoから同じオブジェクトをバックアップしないことで容量を削減する、といったことが可能になる可能性があります。

2021年3月の「テクてくLotus技術者夜会」で使用した資料です。

Transcript

1. V12 DAOS 拡張 中野晴幸 Haruyuki Nakano @harunkakano (Twitter) harunakano.blogspot.com (Blog)
2. V12のDAOS拡張 • 暗号化「する/しない」をサーバー文書で設定可能に • 暗号化キーを「シェア」可能に • 暗号化強度を指定可能に • DAOSMGRコマンドの拡張
3. 暗号化「する/しない」を サーバー文書で設定可能に V12 の DAOS 拡張（１）
4. サーバー文書 [DAOS]タブ – DAOS Settings V11.0.1 FP2 V12 Beta 2 暗号化に関する項目
5. DAOSオブジェクトの暗号化 V11.0.1 FP2 notes.ini DAOS_ENCRYPT_NLO=1 0: しない 1: する（デフォルト） V12 Beta 2 サーバー文書
6. 暗号化キーを 「シェア」可能に V12 の DAOS 拡張（２）
7. 暗号化に3つ目の選択肢 1 None 暗号化しない 2 Private to this server 暗号化キーに「サーバーID」を使用 3 Shared 暗号化キーに「Shared Key」を使用
8. 暗号化キー Private to this server Shared Server.id CredStore.nsf SharedKey created by keymgmt command Credential Store App. created by keymgmt command
9. Export/Import CredStore.nsf exportdb.nsf keymgmt export sharedkey exportdb.nsf ServerB/bb ServerA/aa CredStore.nsf ServerB/bb keymgmt import credstore exportdb.nsf exportdb.nsf コピー Shared Key Exportされたキーが入った DBが作成される 指定したサーバー以外で Importするとどんなメッ セージがでるの？ キー共有先サーバー名 サーバー名はドミノディレクトリまたは 2次ディレクトリで検索できなければならない
10. 生成されるNLO Private to this server Shared ServerA.id ServerB.id SharedKey SharedKey aaa.txt xxx.nlo Server A Server B Server A Server B Different NLO Same NLO
11. 現状（～V11）のDAOS • DAOSオブジェクトの暗号化キーとしてサーバーIDを使用する • 同じ添付ファイルから生成したNLOでもサーバーごとに違うも のになる • 重複排除機能のあるバックアップの活用、あるいはNLOの破損 時に他サーバーで生成されたNLOのコピーで復元可能としたい 場合、暗号化をオフにする必要がある • NLOは、暗号化が必須の Tier 2 ストレージ上でも、Pushする サーバー毎に別フォルダーで管理される
12. V12は暗号化キーをシェア可能に • DAOSオブジェクトの暗号化キーの第2の選択肢「Shared Key」 • クラスタ内/外、ドメイン内/外を問わず広範囲にシェア可能 • 同じ添付ファイルから生成されたNLOは、キーを共有したサー バー間で同一になる • Tier 1 でバックアップ時の重複排除が可能、別サーバーからの NLOコピーによる復元が可能 • Tier 2 ストレージ内でNLOを共有可能
13. 暗号化強度を指定可能に V12 の DAOS 拡張（３）
14. DAOS 暗号化強度 • サーバー文書 – [DAOS]タブ – DAOS Settings • DAOS encryption strength
15. 暗号化強度の選択肢 Private to this server Shared • Shared Key 作成時に指定 • AES-128（デフォルト） • AES-256 • サーバー文書上で選択 • Domino classic • AES-128（デフォルト？） • AES-256 Shared の場合 サーバー文書では 変更できない
16. V12でNLOの暗号化はどうなる？ • V12で新規に生成するNLOの暗号化強度は「AES-128」になる • V11までのバージョンで暗号化されたオブジェクトを 「daosmgr nloencryption decrypt」で復号化した後 「daosmgr nloencryption encrypt」で暗号化すると「AES-128」になる • V11までの暗号化強度を維持する notes.ini パラメータ DAOS_ENCRYPTION_METHOS=0
17. DAOSMGR コマンドの拡張 V12 の DAOS 拡張（４）
18. daosmgr objectpull <age>|<nlofilename> • Tier 2 ストレージにある NLO を Tier 1 へ移動する • age 指定した age 以下のNLOを Tier 1 へ移動 • nlofilename 指定した NLO を Tier 1 へ移動
19. daosmgr objectinfo <nlofilename> -v • NLO の暗号化に関する詳細などを知ることが可能
20. スライドの最後