昨今は、サイバー攻撃による被害が増えておりセキュリティという側面に目が向けられることが多くなっています。
Nutanixは、仮想マシン、すなわち攻撃者が狙うデータが入っている場所になるため、攻撃者からすると狙うターゲットとして見られることもあります。
ネットワーク面でのセキュリティ対策は言うまでもありませんが、相手は脆弱性をついた裏口の侵入以外に、正攻法で盗んだユーザ名やパスワードで正規のユーザに成りすましてログインし、悪意のある行動を行うことも考えられます。
CVMへのSSHアクセスは、クラスターロックダウンやそのほかBashシェルの廃止など様々な方面で対策がとられております。Prism Centralは、SAMLによるIdPとの連携で二要素認証なども行うことができますが、Prism Elementの画面自体は、ユーザー名・パスワードの認証がデフォルトとなっており、昨今のセキュリティ事情からみると少し弱いようにも見受けられます。
しかし、Prism Element自体は、オペレーションで必要な画面となりますので、無効化することができません。
そのため今日は、Prism Elementのセキュリティ強化として、証明書認証の手法をお伝えします。
まず、この証明書認証にあたって用意いただくのは、WindowsのActive Directory Domain Controllerと証明書サーバーです。
Prismの証明書認証は、証明書のユーザ情報とADのユーザ情報をマッチさせ、ログインの許可を行います。
では、実際の手順をご紹介します。
1.CAの証明書を登録
WindowsのCAからCAの証明書を取得します。Web証明書サービスをインストールしている場合は、「https://CAサーバー/certsrv」から、取得が可能です。
BASE64形式で取得した証明書を、Prism ElementのSettings→Authentication→Clientタブを開き、Clinet Chain Certificateに先ほどダウンロードしたCAのルート証明書をインポートします。
証明書をインポートするPrismサービスが再起動し、Prism Elementへ再ログインが要求されることを確認し、Yesをクリックします。
2.ドメインコントローラーの登録
再度、Prism Elementにログイン後、Settings→Authenticationから「Directory List]タブを開き、「+New Directory」で、ドメインコントローラーを指定します。
以下のようにドメイントローラーを指定します。
ここで注意が必要なこととしては、Windows Server 2025から、LDAPSでの通信のみがデフォルト許可される形となりましたので、Prism ElementであらかじめDNSサーバーをドメインコントローラーの名前引きができる状態にし、こちらのドメインコントローラーの登録時もい、IPアドレスでの入力ではなく、FQDNで指定をすることで、あらかじめインポートしたルート証明書で承認された形で、LDAPSの通信ができるようになります。
※そのため、手順的に先にCAのルート証明書をインポートする作業を先に行っています。
3.ロールの設定
証明書の登録が終わりましたら、Prism Elementにログインできるグループを指定します。
Settings → Role Mappingから、Create Role Mappingで、ここでは、ActiveDrectoryのグループで「野比家」をCluster Adminを指定します。
AD上では、以下のように作成されています。
4.サービスアカウントの登録と証明書認証の有効化
続いて、Settings → Authenticationから「Client」タブを開き再度、証明書設定行います。
「Configure Service Account」をチェックを入れ、APIコール用に利用するユーザをしています。その設定ののち、「Enable Client Authentication」にチェックを入れ、証明書認証を有効化します。
再度、Prismサービスが再起動する旨が表示されますので、Yesをクリックします。
（Primsサービスを再起度しても仮想マシンの動作には影響ありません）
5.証明書認証のみに設定を行う
再度、Prism Elementにログインし、同じく、Settings → Authenticaionから「Clieint」タブを開き、今度は「Enable CAC Authentication」にチェックを入れます。
再度、Prismサービスの再起動が要求されますので、Yesをクリックします。
ブラウザで、Prism Elementを開こうとすると、ドメインに適合した証明書を保持している場合、証明書の確認画面が表示されます。
この後、ログイン画面をスキップし、Prism Elementの画面が表示されます。
ブラウザの証明書確認画面をキャンセルすると、adminユーザのみログインができりるようになりそれ以外のローカルユーザーやActive Directoryのユーザーは、ログインが許可されません。
従来のID/パスワードだけの認証ですと、セキュリティ面での懸念がある場合、証明書認証との組み合わせでご利用いただくことで、セキュリティ強化を行うことができます。
本設定は、Prism Elementだけではなく、Prism Centralでも同様に設定が可能です。
（参考）
KB10894 / CAC Authentication implementation
KB1825 / How to Fix or Disable Incorrect or Misconfigured CAC Authentication Settings
Common Access Card Authentication with Client Chain Certificate in Prism Element
