【できるIBM i 7 .6】第1回「IBM i 7.6 ASP1暗号化」

IBM i 7.6が2025年4月に発表されました。
IBM i 7.2以降は、TR（Technology Refresh）と呼ばれる複数のPTFからなるパッケージを適用することで、ゆるやかに機能拡張し続ける方式に改められています。これまで、TRは基本的には春と秋の年2回提供されています。ですので、IBM i 7.6においても目新しい機能が大幅に増えた、というよりも2024年9月出荷開始のIBM i 7.5 TR5から、きめ細かな機能拡張があった、と説明する方が実際的だと思われます。

上述のように申し上げつつも、IBM i 7.6では画期的な機能拡張がいくつか行われています。その最たるものは、IBM i 統合MFA(多要素認証)機能でしょう。
IBM i 7.5以降、IBM i はセキュリティーの強化に特に注力してます。今回は、IBM i 7.6で新しく追加されたASP1暗号化について紹介します。

IBM i のASPとは

IBM i のストレージ管理単位であるASP（Auxiliary Storage Pool：補助記憶域プール）には大きく3種類があります。（図1）

図1. ASPの種類

IBM i 7.5でもユーザーASPの暗号化は可能でしたが、IBM i 7.6ではシステムASP(ASP1)も暗号化できるようになりました。
システムASP(ASP1)は、IBM i OSのブートドライブを含む、IBM i OSの基本的なオブジェクトが格納されるストレージ領域です。
(対してASP2以降（IASP含む）にはOSのブートに必須のシステムオブジェクト等は存在しません。)
今回の拡張で、IBM i OSが管理するすべてのストレージを（ソフトウェアレイヤーで）暗号化する事が可能となりました。

ASP暗号化に必要なライセンスプログラムは　5770-SS1 Option 45 – Encrypted ASP Enablement　で、IBM i 7.6ではIBM i OSに無償バンドルされ、追加費用・追加オーダーは不要です。

ASP1暗号化の目的

これまでIBM i のハッキング、データ改ざん等の報告は1件もありません。にもかかわらずASP1暗号化が追加された理由はなんでしょうか？
答えは、IBM発行のRedbookに記載されていました。

IBM i 7.6 features and function

以下、上記Redbook 2.5.1章からの抜粋を記載します。

ASP1に保存されたデータを暗号化することで、GDPR、HIPAA、PCI DSSなどの規制における「保存データ」のコンプライアンス要件を満たすことができます。ASP1には、IBM iの中核となるオペレーティング・システム、その構成、ユーザー、セキュリティー設定、状態に加え、多数のユーザー・ライブラリー、DLO、IFSオブジェクトが格納されています。そのため、IBM iインスタンスはASP1内に完全に格納されるのが一般的です。ASP1を暗号化することで、データ・セキュリティーがさらに強化され、IBM iユーザーが規制コンプライアンスのニーズをより容易に満たせるようになります。

以上のように法規制対応を目的としたもの、と理解してよいと思います。

ASP1暗号化の際のオーバーヘッド

これもRedbookに記載がありました。「公式なデータではなく、あくまで一例として」と但し書きがありますが、ASP1暗号化におけるオーバーヘッドについて、

本稿の執筆時点では、ASP1 の暗号化によるオーバーヘッドに関する公式の数値は公開されていませんが、筆者によるテストでは、約 20% のオーバーヘッドが示されています。この数値は、読み取り操作と書き込み操作の比率が 80/20 の場合の典型的な加重平均であり、読み取りへの影響は書き込みよりもはるかに小さいと想定されています。このオーバーヘッドは、ASP1 を構成するストレージが内蔵ストレージか外付けストレージか、直接接続か仮想化かに関係なく、一定でした。

多くの IBM i 7.6 システムは、NVMe ベースの高速ストレージ（内蔵ストレージまたは IBM FlashSystemなどの外部 NVMe ベースのデバイスに接続）を利用する新しいハードウェア・プラットフォーム上で稼働します。従来の SAS 回転ディスク (HDD) または以前の世代のソリッド・ステート・ドライブ (SSD) から移行したユーザーは、ディスク・サブシステムのパフォーマンスが向上し、ASP 暗号化の影響が軽減される可能性があります。

ASP1 暗号化手順(概要)

Redbook記載のASP1暗号化手順の概略をご紹介します。
事前に、前提ライセンスプログラムである、5770-SS1 オプション45 – 暗号化ASP有効化を導入します。

操作はDST/SST操作が可能なユーザー・プロフィールで実施します。

以下のASP暗号化手順はシステム稼働中も実行可能ですが、業務処理ピーク時などはパフォーマンスに影響があるので避けることを推奨する、との記載もあります。

また、暗号化処理を途中で中止することも可能ではあるが、よほどの理由がない限り推奨しない旨の記述もあります。一例として、ASP1暗号化実施中にIPLが必要になったケースを想定すると、いったんASP1暗号化をキャンセルして、その後にIPL実行が必要になる。ASP1暗号化のキャンセル（複合化： Decrypting）には長時間が必要、との記載もあるので、暗号化作業の実施は所要時間を十分考慮する必要があります。