バックアップ＆アーカイブのセキュリティ概要

---

概要

Flosum Backup & Archive は、Flosum がホストする環境と顧客がホストする環境の両方で企業レベルのセキュリティを提供するよう設計されています。本記事はそのセキュリティアーキテクチャの包括的な概要を示しており、暗号化、インフラ構成、アイデンティティ管理、および安全な通信の実践を網羅しています。

主要なセキュリティ機能

• 強力な暗号化： 堅牢なデータ保護を確保するために AES-256 および TLS 1.2+ を利用します。

• 安全な鍵管理： 暗号化キーは強化されたセキュリティのために AWS KMS で保護されます。

• アクセス制御： 用途に合わせたアクセス制御のために柔軟なアイデンティティプロバイダのオプションを提供します。

• 互換性： Salesforce Shield や VPN ソリューションとスムーズに統合され、包括的なセキュリティを確保します。

これらの機能により、Flosum Backup & Archive は企業のニーズに応える安全で信頼性の高いバックアップおよびアーカイブソリューションを提供します。

---

システムアーキテクチャの概要

Backup & Archive はクラウドベースの仮想マシン（VM）上で動作し、2つの展開モデルをサポートします：

Flosum ホステッド	Flosum が AWS インフラストラクチャ上でアプリケーションをホストします。
顧客ホステッド	顧客がクラウドインスタンスとインフラストラクチャの所有および管理を行います。

コアコンポーネント

• クラウド仮想マシン：

  • 必要な仕様：32 GB RAM、4 CPU、AWS r5n.xlarge 以上

  • OS：Ubuntu x64

• ドメイン登録および SSL 証明書：

  • 安全なアクセスのために必須

  • TLS 1.2 以降のみサポート（SSL は不可）

  • HTTPS トラフィックは NGINX と SSL 証明書で管理されます

• NGINX プロキシ：

  • Backup & Archive の Docker コンテナへのゲートウェイとして機能します

  • HTTPS とルーティングを管理します

• MySQL データベース：

  • 構成データ（例：アクセストークン、ジョブログ、データセット情報）を格納します

  • 実際の顧客バックアップデータは保存しません

• ストレージオプション：

  • SSD (gp2/gp3) または AWS S3（AWS 展開時のみ）

  • テキスト/データファイルの圧縮をサポート（最大約 60%）

  • バイナリファイルは圧縮されません

• VPN サポート：

  • 完全に互換性があります

  • 匿名アクセスはサポートされません

• Salesforce Shield 互換性：

  • 完全にサポートされます；Backup & Archive は API 経由で競合なく動作します

---

暗号化とデータセキュリティ

鍵管理

• 暗号化キー：

  • に安全に保存されます Backup & Archive データベースと保護されています AWS KMS

  • 接続された各組織ごとに一意のキー

  • サンドボックスのリフレッシュ後もキーは保持されます

• キーのライフサイクル：

  • 自動で回転させることはできません

  • キーを変更するには、新しい Salesforce 組織を接続してください

顧客ホステッド向けの暗号化キーの移行

• 32 バイトの base64 キーを生成：openssl rand -base64 32

• docker-compose にキーを追加：LOCAL_ORGANIZATION_ENCRYPTION_KEY=<key>

• 移行を完了するにはアプリをアップグレードしてください

転送時および保存時の暗号化

• 転送：

  • すべてのデータは経由で送信されます HTTPS (SSL/TLS)

  • Salesforce と Backup & Archive 間の双方向暗号化

• 保存時：

  • データは次を使用して暗号化されます AES-256 クラウドストレージ内で

  • 表示/エクスポート時でも暗号化された状態のままです

GUI 表示のためのデータ復号プロセス

ユーザーが Backup & Archive のストレージから暗号化されたデータを要求する際、次のプロセスが発生します。

1. 暗号化キーが Backup & Archive データベースから取得されます

2. キーは VM の RAM にキャッシュされます

3. 暗号化されたファイルはメモリ内で解凍および復号されます

4. データは GUI 上でユーザーに表示されます

5. ストレージ内のファイルは暗号化されたままです

---

アイデンティティとアクセス管理

Backup & Archive は複数のアイデンティティプロバイダをサポートします：

• ユーザー名とパスワード

• OAuth 2.0

• シングルサインオン（SSO）

Flosum の グローバル設定 アプリはホストされた環境全体のアクセスを安全に管理するために使用されます。

---

ライセンスとバージョン管理

• Backup & Archive と Flosum DevOps は別々の製品です

  • それぞれが独自のライセンスとバージョン番号を持ちます

• マルチ組織サポート：

  • 単一のライセンスで複数の Salesforce 組織を管理できます

  • 追加の組織は必要なストレージを増加させ、追加費用が発生する場合があります

• 現在のリリースを確認する：

  • Backup & Archive の現在のバージョンについてはリリースノートのセクションを参照してください： Backup & Archive