証拠のオフサイト保管

このページで解決すること

証拠がシステムと同じホストに置いてあると、そのホストを握った人が証拠も握ることになります。オフサイト保管は、録画と証拠パッケージの複製を組織自身のオブジェクトストレージへ上げ、一件ずつ台帳に記します。取り戻すときは、ハッシュとサイズが合うことを確かめてから渡します。ローカルの複製を消したあとも、再生も書き出しもそのまま行えます。

オフサイト保管設定ページ：保管先、資格情報、キュー

必要なもの

S3 互換または Google Cloud Storage のバケット。導入側で用意します。
書き込みと読み取りができる資格情報一組。
バケットのバージョニング、保持、ライフサイクルの規則は導入側で設定します。推奨はバックアップと復元にあります。

設定のしかた

「オフサイト保管」のページは二つの段に分かれます。

保管先

ストレージのサービス（S3 互換か GCS）、エンドポイントのアドレス、バケット、パスの接頭辞、リージョン、そして path-style のアドレスを使うかどうか（自前で立てたオブジェクトストレージではよく要ります）。

アクセスの資格情報

S3 ではアクセスキー ID とシークレットキーを、GCS ではサービスアカウントの JSON を入れます。資格情報は上書きだけができ、読み出せません。保存するとエンベロープ暗号化して書き込み、以後どの読み取りでも元の値は返しません。画面には「設定済み、クラウド既定の資格情報チェーンを使用、失効済み、未設定」の四つの状態のどれかだけが出ます。空欄なら保存済みの資格情報を引き継ぎます。両方の欄を空にして既存の資格情報を消すと、クラウド既定の資格情報チェーンに切り替わります。

ストレージのサービス、エンドポイント、バケットを変えるときは、資格情報を入れ直さないと保存できません。

先に試してから保存する

「接続テスト」はフォームのいまの値で試すので、先に保存する必要はありません。テストは二組の手順に分かれます。バケットの現況（到達できるか、バージョニング、保持の設定）と、書き込みと取り戻しの実測（書き込み、読み戻して照合、テスト用オブジェクトの削除）です。各手順の結果は、通過、確認できない、失敗、未実行のいずれかです。どれかの項目を変えると、前のテスト結果は再テストが要ると示されます。

世代の切り替え

保管先を変えると、新しい保管設定の世代ができます。台帳にすでにオブジェクトがある場合は、保存の前に確認のダイアログが出て、影響を受けるオブジェクトの数と古い世代の行き先を示します。古い世代の資格情報は残し、既存のオブジェクトを取り戻すために使えるようにします。

「オフサイトを停止」は新しいアップロードを止め、いまの設定を過去の世代に移します。既存のオブジェクトは取り戻せ、資格情報も失効させず、ストレージ側のオブジェクトも消しません。「資格情報を失効させる」を選ぶと、その世代のオブジェクトは取り戻せなくなります。この操作は戻せません。画面が先にそう示します。

ローカルの複製の保存日数

出荷時は 0 で、早めの削除は行いません。0 より大きくすると、オフサイトへ上げ終えた録画のローカルの複製は期限で消え、台帳にはローカル削除済みと記され、再生はオフサイトの複製が受け持ちます。

キューと再試行

ページの保管キューには、アップロード待ち、アップロード中、アップロード済み、失敗、完全性の不一致、古い保管設定、ローカル削除済みのそれぞれの件数が並び、新しいアップロードか後追いかの別と、いちばん長い待ち時間も出ます。

アップロードの失敗の一覧は、保持の期限が近い順に並びます。行ごとに種類、対象、最後の試行の時刻、理由、試行の回数、保持の期限までの日数が出ます。まとめて再試行することも、行ごとに再試行することもできます。

監査で見えること

保管台帳はいまの状態で、監査イベントは足跡です。次のイベントをシステムの身元で監査に書きます。

アップロードの成功、再試行の上限に達しての失敗、詰まっている項目。
保持の期限によるローカルの削除。
取り戻したときに内容がアップロード時と合わないこと。
保管設定の世代の切り替えとオフサイトの停止。
過去の世代の資格情報の失効。

一件ごとに、台帳のオブジェクトの識別子、種類、持ち主、バケットとオブジェクトのキーが入り、あてはまる場合はハッシュ、サイズ、結果、理由のコードも入ります。エンドポイントと資格情報は入りません。世代に関わるイベントには新旧の世代の識別子、フィンガープリント、影響を受けたオブジェクトの数が入ります。

セッション詳細のページには、セッションごとのオフサイトの状態が出ます。未登録、アップロード待ち、アップロード中、オフサイト保管済み、アップロード失敗、完全性の不一致、ローカル削除済み、古い保管設定などで、それぞれに説明が付きます。

アップロードの失敗が上限に達すると、オフサイトアップロードの仕組みの分類で機能不全のアラートを出し、失敗の数が 0 に戻るまで続きます。保持の期限で消すのはローカルのファイルだけで、台帳に印を付けます。リモートのオブジェクトへ削除の呼び出しは送りません。