メイン コンテンツをスキップする

TLS 暗号

このページ上

TLS 暗号

暗号は、ネットワーク通信を暗号化するために使用される一連のアルゴリズムです。Qlik NPrinting コンポーネントはさまざまな暗号に対応しており、各種のセキュリティ プロトコルを使用可能にします。

Qlik NPrinting では、異なるオペレーティング システムやプラットフォームとの互換性を保証するために特定のセキュアな暗号を強制的に設定することは行われていません。

Qlik NPrinting プロキシの暗号

プロキシ構成パラメータ tls.ciphersuites を使用すると、Qlik NPrinting プロキシ内の暗号のカスタムセットを管理できます。

プロキシ構成ファイルは次の通りです。

  • %ProgramData%\NPrinting\webconsoleproxy\app.conf
  • %ProgramData%\NPrinting\newsstandproxy\app.conf

これらのファイルには、カスタマイズ可能な構成プロパティのリストが含まれています。これらはすべて既定設定でコメントされています。これらのファイルは、Qlik NPrinting が新しいバージョンにアップグレードされても変更されません。したがってこの構成プロパティは、古いバージョンからアップグレードするとすぐには表示されません。そのため、設定が失われることはありません。

制限

  • Qlik NPrinting プロキシは限られた暗号セットのみをサポートしています。新しいアルゴリズムを含めるか、他のものを廃止するために、リストは製品のアップグレード後に変更される場合があります。

  • サポートされている暗号の一部は、HTTP/2 プロトコルにより TLS 1.2 に対しては非セキュアとみなされています。これらは、ブラックリストに載っていない暗号の後にカスタム値のリストに入れる必要があります。これを行わないとプロキシは起動できず、次のエラーが表示されます。

    "http2: TLSConfig.CipherSuites index %index% contains an HTTP/2-approved cipher suite (%ciphername%)」(インデックス %index% には HTTP/2 で承認された暗号 (%ciphername%) が含まれています)。しかし、これは未承認の暗号の後にあります。この構成では、以前の承認された暗号をサポートしていないクライアントには、HTTP/2 で承認されていない暗号が割り当てられて接続が拒否される可能性があります。

  • %index% および %ciphername% は次の変数であることにご留意ください。
    • %index%: インデックス名。
    • %ciphername%: 問題が発生した暗号の名前。

  • 暗号 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (HTTP/2 RFC が必要) または TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (t ECDSA のみに対応のサーバーをサポートするため) が必須です。これを行わないとプロキシは起動できず、次のエラーが表示されます。

    "http2: TLSConfig.CipherSuites is missing an HTTP/2-required AES_128_GCM_SHA256 cipher 」(TLSConfig.CipherSuites で、HTTP/2 に必要な AES_128_GCM_SHA256 暗号が欠けています。)

サポートされている暗号

TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305

TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256

TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_RSA_WITH_AES_128_GCM_SHA256

TLS_RSA_WITH_AES_256_GCM_SHA384

TLS_RSA_WITH_AES_128_CBC_SHA256

TLS_RSA_WITH_AES_128_CBC_SHA

TLS_RSA_WITH_AES_256_CBC_SHA

// RC4-based cipher suites are disabled by default (// RC4 ベースの暗号は既定設定では無効)

TLS_RSA_WITH_RC4_128_SHA

TLS_ECDHE_RSA_WITH_RC4_128_SHA

TLS_ECDHE_ECDSA_WITH_RC4_128_SHA

// black-listed by default (// 既定設定ではブラックリスト登録済み)

TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA

TLS_RSA_WITH_3DES_EDE_CBC_SHA

カスタム暗号リストへのアクセス

以下を実行します。

  1. QlikNPrintingWebEngine サービスを停止します。
  2. Qlik NPrinting web console をカスタマイズするには、webconsoleproxy\app.conf を開きます。NewsStand をカスタマイズするには、newsstandproxy\app.conf を開きます。
  3. tls.ciphersuites のコメントを外すか、または追加します。
  4. コンマで区切った暗号値のリストを入力します (優先順位の高いものから順に)。
  5. ファイルを保存します。
  6. QlikNPrintingWebEngine サービスを再起動します。

例

RFC 7540 規格で安全とみなされる暗号のみを設定します。

# set a custom set of supported ciphersuites ordered from most to least preferred
tls.ciphersuites = "TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384"

 

Qlik NPrinting messaging service 暗号

これらは Qlik NPrinting scheduler service と Qlik NPrinting Engine の間での TLS 通信のために Qlik NPrinting messaging service が対応している暗号です。RabbitMQ と TLS 1.2 がこれらに対応しています。

クライアント証明書の認証との TLS 接続を解除してシンプル認証を使用するには、次を参照してください。シンプル認証のためのメッセージ サービスの構成。

制限

  • Qlik NPrinting messaging service 用の暗号をカスタマイズすることはできません。

サポートされている暗号

TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384

TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384

TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384

TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

TLS_DHE_DSS_WITH_AES_256_GCM_SHA384

TLS_DHE_RSA_WITH_AES_256_CBC_SHA256

TLS_DHE_DSS_WITH_AES_256_CBC_SHA256

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256

TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256

TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256

TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256

TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

TLS_DHE_DSS_WITH_AES_128_GCM_SHA256

TLS_DHE_RSA_WITH_AES_128_CBC_SHA256

TLS_DHE_DSS_WITH_AES_128_CBC_SHA256

TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

TLS_DHE_RSA_WITH_AES_256_CBC_SHA

TLS_DHE_DSS_WITH_AES_256_CBC_SHA

TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA

TLS_ECDH_RSA_WITH_AES_256_CBC_SHA

TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

TLS_DHE_RSA_WITH_AES_128_CBC_SHA

TLS_DHE_DSS_WITH_AES_128_CBC_SHA

TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA

TLS_ECDH_RSA_WITH_AES_128_CBC_SHA

トラブルシューティング

Qlik NPrinting Designer エラー「CEF rendering request failed, error: One or more errors occurred.」(CEF レンダリングの要求に失敗しました。エラー: 1 つ以上のエラーが発生しました。)

Qlik Sense 接続からの画像を含むレポート テンプレートで、次のエラーによってプレビューに失敗しました。「CEF rendering request failed, error: One or more errors occurred.」(CEF レンダリングの要求に失敗しました。エラー: 1 つ以上のエラーが発生しました。)

Possible cause  

Qlik NPrinting Server では証明書と暗号のセットを制限しているため、レンダリングの問題が発生します。

Proposed action  

特定の暗号を有効化する必要があります。

以下を実行します。

  1. IIS Crypto 2.0 をダウンロードします。

  2. これを管理者権限で実行し、左側の [暗号] タブに移動します。

  3. 以下の暗号が有効化されます。リストに表示されていない場合は、右側の [追加] ボタンをクリックして入力します。
    1. Qlik NPrinting Engine または Qlik NPrinting Server がインストールされているマシンで、次の内最低 1 つを有効化する必要があります。
      • TLS_RSA_WITH_AES_128_CBC_SHA
      • TLS_RSA_WITH_AES_256_CBC_SHA
      • TLS_RSA_WITH_AES_128_GCM_SHA256
      • TLS_RSA_WITH_AES_256_GCM_SHA384
    2. Qlik NPrinting Server がインストールされているマシンで、次の内最低 1 つを有効化する必要があります。

      • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

      • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

  4. [OK]、次に [適用] をクリックします。
  5. マシンを再起動します。