セキュリティ管理
はじめに
キー ローテーションは追加のセキュリティ機能です。元のキーが侵害された場合に攻撃を受ける可能性の軽減に役立ちます。キーを定期的にローテーションできるため、キー侵害攻撃をさらに減らせます。キー ローテーションは既定では有効化されていません。有効にすることをお勧めします。
Atlassian Data Center の管理者は、一連の REST API を通じて Confluence Data Center によって生成された AES キーのライフサイクルを管理できます。これらの API を使用して、キーを手動またはプログラムで管理できます。
AES キー管理 API
この API は、AES キーのローテーション、非アクティブなキーの取得、非アクティブなキーの削除のためのエンドポイントを提供します。以下に、URL、受け入れ HTTP メソッド、可能な応答コード、それらの意味など、各エンドポイントの詳細な説明を示します。
Endpoints
1. Rotate AES Key
This endpoint is used to rotate the AES encryption key. Existing secrets will be re-encrypted with the new key.
- Method:
POST URL:
https://<HOSTNAME>:<PORT>/rest/secrets/1.0/keys/rotateQuery parameters: None
Request body: None
Response Codes
200 OK: AES キーが正常にローテーションされた場合に返されます。
401 権限なし: ユーザーに操作を実行する権限がない場合に返されます。
406 受け入れ不可: 条件が無効なためにローテーションを実行できない場合に返されます。
500 内部サーバー エラー: 操作の実行中に予期しないエラーが発生した場合に返されます。
Response body
{
"message": "<detailed_message>",
"status": "<rotation_status>"
}非アクティブな AES キーを取得する
キーのローテーションが完了すると、古い AES キーは無効になります。このエンドポイントは、非アクティブな AES キーのリストを取得します。
メソッド:
GETURL:
https://<HOSTNAME>:<PORT>/rest/secrets/1.0/keys/inactiveクエリ パラメーター: なし
リクエスト本文: なし
Response Codes
200 OK: 非アクティブな AES キーが正常に削除された場合に返されます。
401 権限なし: ユーザーに操作を実行する権限がない場合に返されます。
500 内部サーバー エラー: 操作の実行中に予期しないエラーが発生した場合に返されます。
Response body
{
"inactiveKeys": [
"<inactive_key_name>"
]
}3. Delete Inactive AES Keys
キーのローテーションが完了すると、古い AES キーは無効になります。このエンドポイントは、非アクティブな AES キーをすべて削除します。
メソッド:
DELETEURL:
https://<HOSTNAME>:<PORT>/rest/secrets/1.0/keys/inactiveクエリ パラメーター: なし
リクエスト本文: なし
Response Codes
200 OK: 非アクティブな AES キーが正常に削除された場合に返されます。
401 権限なし: ユーザーに操作を実行する権限がない場合に返されます。
500 内部サーバー エラー: 操作の実行中に予期しないエラーが発生した場合に返されます。
Response body
{
"deletedKeys": [
"<deleted_key_name>"
]
}監査ログ
キー ローテーションと削除イベントはすべて Confluence の監査ログにあります。
トラブルシューティングとヒント
認証
All endpoints require the user to be authorized. Ensure that you include the appropriate authorization headers with your requests.
エラー処理
500 応答 (内部サーバー エラー) が発生した場合は、アプリのログを確認して、不具合の原因を調査します。
401 (無許可) という応答を受け取ったら、自分の資格情報と権限を確認してください。
使用上の注意
<HOSTNAME> と <PORT> は、必ず DC インスタンスの実際のホストとポートに置き換えてください。