セキュリティ

ユーザーとサーバーキーのロールオーバー
キーロールオーバーは、ユーザー ID ファイルとサーバー ID ファイルに格納される IBM(R) Lotus Notes(R) のパブリックキーとプライベートキーのセットに対して、更新を行うために使用されるプロセスです。このキーのセットは、プライベートキーの未発見の脆弱性に対する予防措置、プライベートキーの既知の脆弱性からの救済、大規模なキーへのアップグレードによるセキュリティの強化のために、定期的に置き換える必要があります。

ユーザーキーのロールオーバーを開始するには、セキュリティ設定ポリシー文書でトリガーを設定します。また、サーバーキーのロールオーバーを開始するには、サーバー文書でトリガーを設定します。トリガーには、次のものが含まれます。


キーロールオーバーにより、管理者はセキュリティ設定ポリシー文書を使用してユーザーのグループに対して交換キーを配布できます。

また、Lotus Notes のユーザーは [ユーザーセキュリティ] ダイアログボックスの [新規パブリックキーの作成] ボタンを使用してキーロールオーバーを起動することができます。ユーザーが証明書要求方法として [認証プロトコル] を選択した場合、現在のキーは、ポリシー設定によってロールオーバーが起動された場合と同様に、ロールオーバーされます。ユーザーが [メールプロトコル] を選択した場合、R6 およびそれより前のメール処理方法が使用されます。

ユーザーがキーロールオーバーを起動する方法について詳しくは、「新しい Lotus Notes パブリックキーを作成して Domino ディレクトリに追加する」を参照してください。

ポリシーが確立されているとき、またはユーザーが [ユーザーセキュリティ] ダイアログボックスによってキーロールオーバーを起動した場合、次にユーザーがホームサーバーで認証したときに、キーロールオーバー情報が ID ファイルに書き込まれます。トリガー条件が発生すると、キーロールオーバーが開始され、新しいキーがユーザー ID ファイル内に作成されて保留状態のマークが付けられます。新しいキーか保留中のキーが生成された後にユーザーがホームサーバーで認証を行うと、[新規キー要求の認証] がシステム管理要求データベース内に作成されます。

キーロールオーバーのプロセスを完了するには、次の手順を実行します。

1 IBM(R) Lotus Domino(R) Administrator で、システム管理要求データベースを開きます。

2 [新規キー要求の認証] ビューで、ユーザーの要求を選択し、[選択エントリの認証] をクリックします。

3 [認証者の選択] ダイアログボックスで、次のいずれか 1 つを実行します。


4 [証明書の有効期限] ダイアログボックスで、その日付が正しいことを確認し、[OK] をクリックします。

5 [統計] ダイアログボックスで、間違いがないことを確認し、[OK] をクリックします。

次にユーザーがホームサーバーで認証を行うと、新しいパブリックキーを受け入れるかどうかを尋ねるダイアログボックスが表示されます。新しい証明書を受け入れるには、ここで [OK] をクリックしなければなりません。ユーザー ID ファイル内の新しいキーまたは保留中のキーが有効になり、古いキーはアーカイブされます。

メモ アーカイブされたキーは ID ファイルに残るので、そのキーで暗号化された文書の暗号化の解除に使用できます。

サーバーキーのロールオーバーを設定するには 1 サーバー文書で、[管理] をクリックします。
2 [パブリックキーの要求] で、次のフィールドに必要な情報を設定します。
フィールドアクション
キー強度の許可 (最小)サーバー ID の最も弱いキーの許容サイズを指定します。これより弱いキーはロールオーバーされます。
  • 制限なし
  • すべてのリリースで互換 (512)
  • すべてのリリースで互換 (630 ビット)
  • 6.0 以降と互換 (1024 ビット)
  • 7.0 以降と互換 (2048 ビット)
キー強度の許可 (最大)最も強いキーの許容サイズを指定します。これより強いキーはロールオーバーされます。
  • すべてのリリースで互換 (630 ビット)
  • 6.0 以降と互換 (1024 ビット) (デフォルト)
  • 7.0 以降と互換 (2048 ビット)
推奨するキー強度キーがロールオーバーされるときに使用されるキー強度を指定します。
  • 最小 (512 ビット)
  • すべてのリリースで互換 (630 ビット)
  • 6.0 以降と互換 (1024 ビット) (デフォルト)
  • 7.0 以降と互換 (2048 ビット)
許容するキーの最大経過日数キーのロールオーバーが必要になるまでの最長経過期間を日数で指定します。デフォルトは 36500 日 (100 年) です。
許容する最初のキー作成日この日付より以前に作成されたキーはロールオーバーされます。
次の条件前に新規キーを自動生成しないキー幅要件を満たさないキーがロールオーバーされる最も早い日付を指定します。
新規キーの作成後に古いキーが使用可能な日数の最大値ネットワーク認証中に古いキーを使用できる期間を指定します。Lotus Notes のキー照合中に、すべての証明書 (古いものと新しいものの両方) およびすべてのロールオーバーキーは 1 つのツリーに編成されます。このツリー内を移動して、チェーンに含めることができる証明書のセットを探し、キーを確認します。有効期限が過ぎた証明書は、このチェーンの中では使用できません。キーが改ざんされている可能性に対応するためにキーをロールオーバーする場合、そのキーに発行された古い証明書を使用できる期間を短い値に設定することを推奨します。この設定の有効な値は 1 ～ 36500 日で、デフォルトは 365 日です。
3 文書を保存して閉じます。キーロールオーバー情報がサーバー ID ファイルに書き込まれます。トリガー条件が発生すると、キーロールオーバーが開始され、新しいキーがサーバー ID ファイル内に作成されて保留状態のマークが付けられます。

4 サーバーを再始動します。

5 Lotus Domino Administrator で、システム管理要求データベースを開きます。

6 [新規キー要求の認証] ビューで、サーバーの要求を選択し、[選択エントリの認証] をクリックします。

7 [認証者の選択] ダイアログボックスで、次のいずれか 1 つを実行します。

8 [証明書の有効期限] ダイアログボックスで、その日付が正しいことを確認し、[OK] をクリックします。

9 [統計] ダイアログボックスで、間違いがないことを確認し、[OK] をクリックします。

10 サーバーコンソールで「tell adminp process all」と入力し、キーの認証プロセスを完了します。

11 「restart server」と入力します。サーバーを再起動すると、サーバーは設定を読み込み、新しく認証されたキーを受け入れます。