--- sourceDocument: Xanadu の Now Platform 機能 sourceDocumentLink: https://www.servicenow.com/docs/r/ja-JP/xanadu/servicenow-platform Release : - xanadu ft:locale : - ja-JP ft:publication_title : - Xanadu の Now Platform 機能 ft:clusterId : - platcap bundleId : - platcap workflow : - Platform --- # MID サーバーの FIPS 適用モード # MID サーバーの FIPS 適用モード {#ariaid-title1} * リリースバージョン: Xanadu * * 更新日 2024年08月01日 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 所要時間：5分 MID サーバーは、National Security Cloud (NSC) IL-5 環境をサポートしています。この環境では、使用するすべての暗号化を FIPS 検証する必要があります。MID サーバーは、FIPS 検証済みの暗号化アルゴリズムのみが使用される FIPS 強制モードで実行できます。 |-| | | [ ] {#mid-fips-enforced__table_yfh_kv4_nhb} 連邦情報処理標準 (Federal Information Processing Standards)は、コンピューターシステムで使用するために米国国立標準技術研究所によって編纂された標準のグループです。FIPS が公開しているものは数多くありますが、ここでは特に「[++Security Requirements for Cryptographic Modules (FIPS 140-2：暗号化モジュールのセキュリティ要件)++](https://csrc.nist.gov/publications/detail/fips/140/2/final)」を参照します。暗号化アルゴリズムは、NIST で指定された検証プロセスを進めることができます。新しい安全なクラウド環境のために、MID サーバーはそのようなプロセスによって検証されたアルゴリズムを利用します。 FIPS 適用モードで実行するように設定できるのは、JRE バージョンが 11.0.9 + 11 以降である Rome リリースファミリ以降の MID サーバーのみです。 ## FIPS 適用モード {#mid-fips-enforced__section_uhm_ygr_gqb} 次のアルゴリズムは、FIPS 適用モードの MID サーバーによってこれらの SSH 機能で使用することはできません。 鍵交換： : diffie-hellman-group1-sha1 Mac： : * hmac-md5 * hmac-md5-96 {#mid-fips-enforced__ul_rjq_ygr_gqb} 現在、FIPS 適用モードの MID サーバーで使用する SNMP について、次の制限が適用されています。 * SNMP v1 および v2 は完全に無効になっています。 * SNMP v3 では、FIPS 適用モードの MID サーバーでは次のプロトコルの使用は許可されていません。 * 認証プロトコル：なしまたは MD5 * プライバシープロトコル：なしまたは DES {#mid-fips-enforced__ul_tjq_ygr_gqb} {#mid-fips-enforced__ul_sjq_ygr_gqb} MID サーバーを利用するその他の機能は、FIPS 適用モードで実行すると影響を受ける可能性があります。具体的な詳細については、機能の専用ドキュメントを参照してください。 **関連概念** * [MID サーバー証明書チェックポリシー](https://www.servicenow.com/docs/fySmC6mexkZo6Fiti6icrg "MID サーバーは、3 種類のセキュリティチェックを使用して外部トラフィックを保護します。セキュリティチェックでは、TLS/SSL 証明書の検証、ホスト名の検証、および OCSP の検証を使用してセキュリティを強化します。MID サーバー 証明書チェックポリシーテーブルを使用して、これらのセキュリティチェックを制御します。") * [MID サーバー認証情報と SOAP 要求](https://www.servicenow.com/docs/9CZshZbC9QbBcWFfqisAHQ#mid-authentication-soap-requests "Web サービスの発動データを更新するためのベーシック認証情報を設定します。セキュリティを強化するため、MID サーバーへの着信 SOAP 要求ごとにベーシック認証を実施することができます。") * [MID Server 統一キーストア](https://www.servicenow.com/docs/CeEA~bqFQYEbpOSJKPmd6w#mid-unified-keystore "MID サーバーの統一キーストアでは、MID サーバー上のすべての製品で共通の証明書とキーペアを使用できます。この機能により、アプリケーションは、MID サーバーがインスタンスに接続するために使用するのと同じ、MID サーバーへの安全な通信チャネルを使用できます。") * [MID サーバー コマンド監査ログ](https://www.servicenow.com/docs/LU1PMwWp0KZvo2NZbd9v3g "コマンド監査ログには、 ディスカバリー アプリケーションに対して MID サーバー によって実行されたコマンドが記録されます。コマンドを確認して、例外やエラーがないことを確認します。") * [MID サーバーガバナンス](https://www.servicenow.com/docs/aErxvtRHPFiKZoQnc4B7ig "非アクティブな MID サーバーを無効にしてシャットダウンする自動タイムアウトを設定することで、MID サーバーのセキュリティを向上させます。この機能を有効にして、非アクティブなタイムアウト期間をグローバルに設定したり、各 MID サーバーに対して設定したりできます。") **関連タスク** * [MID サーバー構成ファイルの値の暗号化または復号化](https://www.servicenow.com/docs/C7cigTqpitJmUdP9ZyTeKw "config.xml ファイル内の任意の MID サーバーパラメーターの値を暗号化できます。すべての暗号化された値の属性は、ログインパスワードのセキュリティ属性を含め、構成ファイル内から管理されます。") * [MID Server 相互認証の有効化](https://www.servicenow.com/docs/wOoTCOu3GzY3PvpVBrBhSA "インスタンスに対する認証にクライアント証明書を使用するように MID サーバーを構成します。これにより、MID サーバー構成のキーストアにベーシック認証情報を作成する必要がなくなります。") * [MID サーバー Azure Key Vault 統合](https://www.servicenow.com/docs/FYCDC6~SkA7LCEkhIVldtg#mid_azure_key_vault_integration "MID サーバーと Azure Key Vault を統合すれば、インスタンスに認証情報を保存しなくても、オーケストレーション、ディスカバリー、サービスマッピングを実行することができます。") * [MID サーバーのリキー](https://www.servicenow.com/docs/UT0hNNyftkLZQlkL9of9qg "MID サーバーをリキーして、新しい秘密鍵を生成します。秘密鍵は、MID サーバーが情報を安全に送信できるように、自動認証情報を復号化するために使用されます。キーペアは、MID サーバーの検証時に最初に生成され、セキュリティ要件を満たすために定期的に MID サーバーをリキーする必要があります。") * [MID サーバー用の SSL 証明書を追加する](https://www.servicenow.com/docs/xtYZ~W8Y8gHAxcUinC_43w#add-ssl-certificates "SSL 経由でソースにコネクトするように MID サーバーを設定します。") * [ファイル同期された MID サーバーへのスクリプトファイルの添付](https://www.servicenow.com/docs/0rjS7GJixc3YOevpfNma0g#mid-server-script-attach "スクリプトファイルを添付して、接続された MID サーバーと同期させることができます。Windows Internet Explorer 拡張セキュリティは、潜在的に危険であると判断したダウンロード ファイルをブロックします。ただし、ファイルを同期することでこのセキュリティ上の問題を回避できます。") **関連資料** * [MID サーバー構成ファイルのセキュリティ](https://www.servicenow.com/docs/joQxpXFYZVLI~HQX8BswVQ "機密性の高い MID サーバー構成データは、内部および外部のデータ暗号化や外部データ ストレージを含むいくつかの異なるスキームを使用して保護することができます。") * [MID Server SSH 暗号化アルゴリズム](https://www.servicenow.com/docs/kvk_vCZt2I2Igv9RmRY9mg "MID サーバーは SSH クライアントを利用して多くのディスカバリーアクションを実行します。SSH ハンドシェイクでは、クライアントとサーバーの両方が、最初に双方がサポートするアルゴリズムを決定し、次にクライアントが最も優先度の高いアルゴリズムを選択します。ホストキーアルゴリズムの場合、クライアントは、キータイプに一致する、双方がサポートする最も優先度の高いアルゴリズムを選択します。") ## MID サーバーの FIPS 適用モードの有効化 {#ariaid-title2} MID サーバーは、FIPS 検証済みの暗号化アルゴリズムのみが使用される FIPS 強制モードで実行できます。 ### 始める前に 必要なロール：admin ### 手順 1. 新しい MID サーバーを展開するか、既存の MID サーバーを Rome ファミリリリース以降にアップグレードします。 2. MID サーバーをシャットダウンします。 3. 提供されている次のバンドルスクリプトを実行して、MID を FIPS 適用モードで実行するように変換します。 * Windows ホストの場合： `> \agent\bin\scripts\set-fips-enforced-mode.bat on` * Linux ホストの場合： `$ /agent/bin/scripts/set-fips-enforced-mode.sh on` {#mid-enable-fips-enforced__ul_eqw_whr_gqb} 成功は、変更されたファイルの場所と変換プロセス中に生成されたバックアップを含めて、コンソールに記録されます。プログラムで呼び出された場合、成功は 0 の戻りコードで示されます。 4. MID サーバーを起動します。 ### 次のタスク MID の実行モードは、次の 2 つの方法で確認できます。 1. 起動後にエージェントログを確認し、次のログ行を探します： `Running in FIPS Enforced mode` 2. インスタンスの ecc_agent テーブルを確認し、FIPS Enforced ブール列の値を探します。 {#mid-enable-fips-enforced__ol_hnb_f3r_gqb} ## MID サーバーを手動で FIPS 適用モードに変換する {#ariaid-title3} MID サーバーは、FIPS 検証済みの暗号化アルゴリズムのみが使用される FIPS 強制モードで実行できます。 ### 始める前に 必要なロール：admin ### このタスクについて 外部 JRE の使用中に MID サーバーを FIPS 適用モードに手動で変換するには、MID サーバーのシャットダウン中に次の手順を実行する必要があります。 * JRE のトラストストアを BCFKS タイプに変換します。 * JRE のデフォルトのキーストアタイプを BCFKS に設定します。 * MID サーバーの構成ファイルで FIPS 適用モードフラグを設定します。 {#mid-manual-fips-enforced__ul_rhg_djr_gqb} ### 手順 1. 次のようなコマンドで [Java Keytool](https://docs.oracle.com/javase/8/docs/technotes/tools/unix/keytool.html) を使用して、JRE の cacerts ファイルタイプを BCFKS に変換します。 `$ keytool -importkeystore -srckeystore `****` -srcstoretype `****` -srcstorepass changeit -destkeystore `****` -deststoretype BCFKS -deststorepass changeit -provider org.bouncycastle.jcajce.provider.BouncyCastleFipsProvider -providerpath `****` ` 注: Rome 以降の MID インストールには、この目的に適した BouncyCastle jar が含まれています。これは .../agent/lib/bc-fips.jar にあります。 2. JRE のデフォルトのキーストアタイプは、\\\conf\\security\\java.security ファイルで設定できます。 3. そのファイルで `keystore.type` 行を見つけて、その値を `keystore.type=bcfks ` のように設定します。 4. MID サーバーの .../agent/conf/wrapper-override.conf ファイルで、FIPS 行をコメント解除し、値を true に設定します。 行は次のようになります。`wrapper.java.additional.106=-Dorg.bouncycastle.fips.approved_only=true`