PAMSC/PIM でSSL やTLS 1.0 を使わないようにするには

Products

• CA Privileged Access Manager - Server Control (PAMSC)
• CA Privileged Identity Management Endpoint (PIM)

Issue/Introduction

Privileged Access Manager Server Control ( 以下、PAMSC) が稼働する環境において、PCI DSS スキャンを実行した際に通信プロトコルに関するいくつかの問題点が見つかった。
これを回避するためにどのようにしたらよいか？

Environment

Privileged Access Manager Server Control: 14.0/14.1 の全てのバージョン

Privileged Identity Manager: 12.8 の全てのバージョン

Resolution

Privileged Identity Manager ( 以下、 PIM) でも同様です。

crypto セクションの fips_only=1 に設定します。

この設定で LCA プロトコルに基づく通信、例えば、policyfetcher と DH 間のポート 5249 を通したコミュニケーションなどが TLS 1.2 を使用します。

注: この設定を行うことで、communication_mode の設定は無視されます。

Additional Information

FIPSモードは通信モードの変更のみでなくFIPSに準拠するため動作が変更になるため、設定には注意が必要です。
以下のドキュメントもご参照ください。

FIPS 準拠 (日本語)
crypto (日本語)

FIPS Compliance (英文)
crypto (英文)

なお、本文書は 以下の英文の KB を翻訳し、加筆修正しました。

Article ID: 189071: How to prevent usage of TLS v1 or SSL in PIM