インターネット経由でも安全なファイル共有を提供するサーバレスのAzureサービス「Azureファイル共有」に、「強化された暗号化アルゴリズム」「SMBマルチチャンネル」「予約購入」の3つの新機能が提供されました。
この記事は会員限定です。会員登録(無料)すると全てご覧いただけます。
Microsoft Azureのサービス「Azureファイル共有」は、Windows、Linux、macOSクライアントに同一のAzure仮想ネットワーク上ではSMB(Server Message Block)2.1/3.0/3.1.1、およびNFS(Network File System)の機能サブセットによるファイル共有を、インターネット経由ではSMB 3.0以降の「SMB暗号化」を必須とする安全なファイル共有への接続を提供する、サーバレスのファイル共有サービスです。また、AzureのStandardおよびPremiumストレージアカウント機能の一部でもあります。
Microsoftは2021年9月初め、Azureファイル共有のSMB暗号化において、これまでの「Windows 8」以降のSMB 3.0の「AES-128-CCM」に加え、「Windows 10」以降のSMB 3.1.1の「AES-128-GCM」、および「Windows Server 2022」と「Windows 11」のSMB 3.1.1に追加される「AES-256-GCM」に正式に対応したことを発表しました。
以下のドキュメントでは、AES-256-GCMへの対応はWindows 10 バージョン21H1からで、パフォーマンス上の理由により、既定ではAES-128-CCMまたはAES-128-GCMでネゴシエートが行われると説明されています。
一方、以下のドキュメントによると、Windows Server 2022とWindows 11からは「AES-256-GCM」と「AES-256-CCM」の暗号化スイートが導入され、高度な暗号化方法が自動的にネゴシエートされるか、「グループポリシー」で強制できると説明されています。
ただし、セキュリティとパフォーマンスの最適なバランスを実現するために、Windows Server 2022とWindows 11では、既定ではAES-128-CCMまたはAES-128-GCMでネゴシエートが行われるとも説明されています。
暗号化強度のネゴシエートの順番は、SMBサーバ(LAN Managerサーバ)およびSMBクライアント(Lanmanワークステーション)の以下のポリシー設定で調整できます。
Windows Server 2022とWindows 11では、このポリシー設定が未構成の場合、既定の優先順位である「AES-128-GCM」→「AES-128-CCM」→「AES-256-GCM」→「AES-256-CCM」(ポリシー設定としてはハイフンではなくアンダーバー)の順番でネゴシエートが行われます。そのため、256bit暗号化に対応しているこれらのOS同士の場合でもAES-128-GCMが使用されます。また、Azureファイル共有との接続にもAES-128-GCMが使用されることになります。Windows 10 バージョン21H1(Windows 10バージョン1607以降も同じ)の場合は、「AES-128-GCM」→「AES-128-CCM」が既定の順番になります(画面1)。
試しにWindows 10 バージョン21H1のSMBクライアントのポリシー設定に「AES_256_GCM」だけを記述してみましたが、Azureファイル共有やSMB暗号化が有効なWindows Server 2022のファイル共有に接続することはできませんでした(アクセスが拒否されます)。そのため、Windows 10 バージョン21H1でのAES-256-GCMのサポートに関する記述はドキュメントミスである可能性があります。当初、バージョン21H1での実装を目指して開発されてきたのかもしれません。
AES-256-GCMのサポートは、Windows Server 2022およびWindows 11から(Windows 10 バージョン21H1はAES-128-GCM)とドキュメント(英語)が訂正されました。
SMB 3.0とSMB 3.1.1は、ファイルサーバとSMBクライアントの両方で複数のネットワーク接続(複数のネットワークアダプター、または単一のRSS対応アダプター)が利用可能である場合、「SMBマルチチャンネル」を利用することが可能です。SMBマルチチャンネルは、SMBクライアントに対して2倍以上の読み取り速度と3倍以上の書き込み速度、ネットワーク障害に対する冗長性(複数のネットワークアダプターが利用可能な場合)を提供します。
Windows 10以降のSMB 3.1.1を使用するSMBクライアントでは、Azureファイル共有に対するSMBマルチチャンネルによる接続が正式にサポートされました。なお、Azureファイル共有を利用できるのは、PremiumストレージアカウントのAzureファイル共有に限られ、既定では「無効」になっています(画面2、画面3)
3つ目の新機能は、機能ではなく新しい購入オプション「Reserve capacity」です。従来の従量価格とは別に、Azureファイル共有で使用する容量をあらかじめ購入予約することで、全体のコストを節約できるようになりました。購入予約は、「Premium」「ホット」「クール」の各層について、10TBまたは100TBの単位で、1年または3年のコミットメントで購入できます(画面4)。
岩手県花巻市在住。Microsoft MVP 2009 to 2022(Cloud and Datacenter Management)。SIer、IT出版社、中堅企業のシステム管理者を経て、フリーのテクニカルライターに。Microsoft製品、テクノロジーを中心に、IT雑誌、Webサイトへの記事の寄稿、ドキュメント作成、事例取材などを手掛ける。個人ブログは『山市良のえぬなんとかわーるど』。近著は『Windows版Docker&Windowsコンテナーテクノロジ入門』(日経BP社)、『ITプロフェッショナル向けWindowsトラブル解決 コマンド&テクニック集』(日経BP社)。
Copyright © ITmedia, Inc. All Rights Reserved.