暗号化を使用してデータを保護する

はじめに

データを保存時に暗号化する機能は、コントロールパネルによって提供され、ポータル上の機密データのセキュリティを確保することができます。

暗号化は、ディスク上に保存されたデータの機密性を維持するために情報を可逆的に変換するプロセスです。したがって、侵入者がハードディスクに保存されたデータにアクセスできたとしても、データが暗号化されているため読むことはできません。

暗号化は、ONLYOFFICEインスタンス内のデータ全体に対してEncrypt-then-MACタイプの暗号化（AES-256-CBC + HMAC-SHA256）に基づいており、AES-256国際データ暗号化標準に準拠しています。ポータル上のデータを暗号化するために、暗号化タイプAES-256とCipherMode.CBC対称アルゴリズムが使用され、SHA256ハッシュ関数とHMACメッセージ認証コードスクリーニングが組み合わされて、暗号化されたデータの整合性と真正性を検証します。

この機能はサーバーバージョンでのみ利用可能です。

暗号化プロセスの準備

暗号化手順を開始する前に、いくつかの準備を行う必要があります。

ディスク上のファイルに変更を加えるサービスを手動で停止します。
Docker（CommunityServerコンテナ内）:
```
systemctl stop onlyofficeMail* systemctl stop onlyofficeThumbnailBuilder.service
```
Linuxの場合:
```
sudo service onlyofficeMail* stop sudo service onlyofficeThumbnailBuilder stop
```
Windowsの場合:
コントロールパネル -> 管理ツール -> サービスに移動し、次のサービスを停止します: ONLYOFFICE Mail Watchdog, ONLYOFFICE Mail Imap, ONLYOFFICE Mail Cleaner, ONLYOFFICE Mail Aggregator, ONLYOFFICE Thumbnail Builder。これを行うには、サービスを右クリックして停止を選択します。
ポータルにサインインし、コントロールパネルアイコンをスタートページでクリックします。または、ポータルの設定に移動し、左側のパネルでコントロールパネルリンクを選択します。
バックアップセクションに切り替えて、データをバックアップします。
自動データバックアップ機能を無効にします。
静的データ用ストレージを接続とCDNとしてストレージを接続の両方に対してローカルストレージオプションを選択します。
データを保存時に暗号化する機能はローカルストレージでのみ動作します。
ハードドライブに十分な空き容量があることを確認します。

準備が整ったら、次のステップに進むことができます。

ストレージを暗号化する

コントロールパネルのストレージセクションに切り替えます。
暗号化プロセスが開始されるときにすべてのアクティブユーザーにメールで通知するために、ポータルが利用できなくなることをユーザーに通知するチェックボックスをオンにします。
暗号化プロセスが正常に完了すると、すべてのアクティブユーザーにもメール通知が送信されます。暗号化プロセス中にエラーが発生した場合、ユーザーに通知オプションに関係なく、すべての管理者に暗号化プロセスの失敗に関するメール通知が送信されます。
ストレージを暗号化するボタンをクリックし、OKをクリックして暗号化プロセスを開始します。

手順を完了するのに必要な時間はデータ量に依存します。暗号化プロセス中はすべてのポータルが利用できなくなります。暗号化が終了すると、ポータルデータは作業可能になります。

暗号化が有効になっている場合、新しく作成されたデータアーカイブのバックアップコピーには復号化されたファイルが含まれます。そのようなコピーが復元されると、ファイルは再びディスク上で暗号化されます。

ディスク上のファイルに変更を加えるサービスを手動で開始する必要もあります。

Docker（CommunityServerコンテナ内）:

systemctl start onlyofficeMailAggregator.service systemctl start onlyofficeMailCleaner.service systemctl start onlyofficeMailImap.service systemctl start onlyofficeMailWatchdog.service systemctl start onlyofficeThumbnailBuilder.service

Linuxの場合:

sudo service onlyofficeMailAggregator start sudo service onlyofficeMailCleaner start sudo service onlyofficeMailImap start sudo service onlyofficeMailWatchdog start sudo service onlyofficeThumbnailBuilder start

Windowsの場合:

コントロールパネル -> 管理ツール -> サービスに移動し、次のサービスを開始します: ONLYOFFICE Mail Watchdog, ONLYOFFICE Mail Imap, ONLYOFFICE Mail Cleaner, ONLYOFFICE Mail Aggregator, ONLYOFFICE Thumbnail Builder。これを行うには、サービスを右クリックして開始を選択します。

ストレージを復号化する

ポータル上のデータを復号化するには、

上記のように、ディスク上のファイルに変更を加えるサービスを手動で停止します。
コントロールパネルのストレージセクションに切り替えます。
復号化プロセスが開始されるときにすべてのアクティブユーザーにメールで通知するために、ポータルが利用できなくなることをユーザーに通知するチェックボックスをオンにします。
復号化プロセスが正常に完了すると、すべてのアクティブユーザーにもメール通知が送信されます。復号化プロセス中にエラーが発生した場合、ユーザーに通知オプションに関係なく、すべての管理者に復号化プロセスの失敗に関するメール通知が送信されます。
ストレージを復号化するボタンをクリックし、OKをクリックして復号化プロセスを開始します。

手順を完了するのに必要な時間はデータ量に依存します。復号化プロセス中はすべてのポータルが利用できなくなります。復号化が終了すると、ポータルデータは作業可能になります。

上記のように、ディスク上のファイルに変更を加えるサービスを手動で開始する必要もあります。