iSCSI

インターネット小型コンピュータシステムインターフェースまたはiSCSI ( / aɪ ˈ s k ʌ z i / ^iSCSI （ InternetProtocol、インターネットプロトコル）は、データ ストレージ設備をリンクするためのインターネット プロトコル ベースのストレージ ネットワーキング標準です。 iSCSI は、SCSIコマンドTCP/IP伝送することによりストレージ デバイスへのブロック レベルのアクセス。 iSCSI は、イントラネット、ローカル エリア ネットワーク(LAN)、ワイド エリア ネットワーク(WAN)、またはインターネット経由でデータを転送するために使用でき、場所に依存しないデータの保存と取得を可能にします。

このプロトコルにより、クライアント（イニシエーターと呼ばれる）は、リモートサーバー上のストレージデバイス（ターゲット）にSCSIコマンド（ CDB ）を送信できます。これはストレージエリアネットワーク（SAN）プロトコルであり、組織はストレージをストレージアレイに統合し、クライアント（データベースサーバーやWebサーバーなど）にローカルに接続されたSCSIディスクの錯覚を提供できます。^{[1]これは主に}ファイバーチャネルと競合しますが、通常専用のケーブルを必要とする従来のファイバーチャネルとは異なり、^[a] iSCSIは既存のネットワークインフラストラクチャを使用して長距離にわたって実行できます。^[2] iSCSIは1998年にIBMとCiscoによって開発され、2000年3月にドラフト標準として提出されました。^[3]

本質的に、iSCSI は 2 つのホストがネゴシエートし、インターネット プロトコル(IP) ネットワークを使用してSCSIコマンドを交換できるようにします。これにより、iSCSI は一般的な高性能ローカル ストレージ バスを取得し、それを広範囲のネットワーク上でエミュレートして、ストレージ エリア ネットワーク (SAN) を作成します。一部の SAN プロトコルとは異なり、iSCSI には専用のケーブル配線が不要で、既存の IP インフラストラクチャ上で実行できます。その結果、iSCSI は、FCoE (Fibre Channel over Ethernet) 形式を除いて専用のインフラストラクチャを必要とするファイバー チャネルの低コストの代替手段と見なされることがよくあります。ただし、iSCSI SAN 展開のパフォーマンスは、固定量の帯域幅の競合により、専用ネットワークまたはサブネット (LAN またはVLAN ) 上で動作しない場合は大幅に低下する可能性があります。

iSCSI は任意のタイプの SCSI デバイスと通信できますが、システム管理者はほとんどの場合、サーバー (データベース サーバーなど) がストレージ アレイ上のディスク ボリュームにアクセスできるようにするために iSCSI を使用します。iSCSI SAN の目的は通常、次の 2 つのいずれかです。

ストレージ統合

組織は、ネットワーク上のサーバーからさまざまなストレージ リソースを中央の場所 (多くの場合、データ センター) に移動します。これにより、ストレージ自体が特定のサーバーに結び付けられなくなるため、ストレージの割り当ての効率が向上します。SAN 環境では、ハードウェアやケーブルを変更することなく、サーバーに新しいディスク ボリュームを割り当てることができます。

災害復旧

組織は、1 つのデータ センターからリモート データ センターにストレージ リソースをミラーリングします。このデータ センターは、長時間の停止が発生した場合にホット / スタンバイとして機能します。特に、iSCSI SAN を使用すると、構成の変更を最小限に抑えてディスク アレイ全体を WAN 経由で移行できるため、実質的にストレージをネットワーク トラフィックと同じように「ルーティング可能」にすることができます。

イニシエーターはiSCSI クライアントとして機能します。イニシエーターは通常、コンピューターに対して SCSI バス アダプターと同じ役割を果たしますが、SCSI デバイス (ハード ドライブやテープ チェンジャーなど) を物理的にケーブル接続する代わりに、iSCSI イニシエーターは IP ネットワーク経由で SCSI コマンドを送信します。イニシエーターは、大きく分けて 2 つのタイプに分類されます。

ソフトウェア イニシエーターは、コードを使用して iSCSI を実装します。通常、これはカーネル常駐デバイス ドライバーで行われ、既存のネットワーク カード(NIC) とネットワーク スタックを使用して、iSCSI プロトコルを使用してコンピューターの SCSI デバイスをエミュレートします。ソフトウェア イニシエーターは、ほとんどの一般的なオペレーティング システムで使用でき、iSCSI を展開する最も一般的な方法です。

ハードウェア イニシエーターは、通常、専用ハードウェアとそのハードウェア上で実行されるファームウェアを組み合わせてiSCSI を実装します。ハードウェア イニシエーターは、iSCSI とTCP処理のオーバーヘッドとEthernet 割り込みを軽減するため、iSCSI を使用するサーバーのパフォーマンスが向上する可能性があります。iSCSIホスト バス アダプター(より一般的には HBA) は、ハードウェア イニシエーターを実装します。一般的な HBA は、ギガビット (または 10 ギガビット) Ethernetネットワーク インターフェイス コントローラー、何らかの TCP/IP オフロード エンジン (TOE) テクノロジ、および SCSI バス アダプターの組み合わせとしてパッケージ化されており、オペレーティング システムにはそのように見えます。iSCSI HBA には、iSCSI SAN からの 起動を可能にするPCI オプション ROMを含めることができます。

iSCSIオフロード エンジン、またはiSOE カードは、完全な iSCSI HBA の代替手段を提供します。iSOE は、この特定のネットワーク インターフェイスの iSCSI イニシエータ操作をホスト プロセッサから「オフロード」し、CPU サイクルをメインのホスト アプリケーション用に解放します。iSCSI HBA または iSOE は、ソフトウェア ベースの iSCSI クライアント (イニシエータ) を使用するのではなく、iSCSI に HBA を使用する追加費用を正当化する追加のパフォーマンス強化がある場合に使用されます^{[4] 。iSOE は、} TCP オフロード エンジン(TOE)などの追加サービスとともに実装され、ホスト サーバーの CPU 使用率をさらに削減できます。

iSCSI 仕様では、iSCSI サーバー (より一般的には、そのサーバー上で実行されている iSCSI ストレージ ノードの潜在的に多数のインスタンスの 1 つ) 上にあるストレージ リソースをターゲットと呼びます。

iSCSI ターゲットは、多くの場合、専用のネットワーク接続ハードディスク ストレージ デバイスですが、イニシエーターと同様に、iSCSI ターゲットを提供するソフトウェアがほとんどの主流のオペレーティング システムで利用できるため、汎用コンピューターである場合もあります。

iSCSI ターゲットの一般的な展開シナリオは次のとおりです。

データ センターやエンタープライズ環境では、iSCSI ターゲットは多くの場合、大規模なストレージ アレイ内にあります。これらのアレイは、フリー ソフトウェアベースの iSCSI 実装を備えたコモディティ ハードウェアの形式の場合もあれば、 StorTrends、Pure Storage、HP StorageWorks、EqualLogic、Tegile Systems、Nimble storage、IBM Storwize ファミリ、Isilon、NetApp ファイラー、Dell EMC、Kaminario、NS シリーズ、CX4、VNX、VNXe、VMAX、Hitachi Data Systems HNAS、Pivo​​t3 vSTAC などの商用製品の形式である場合もあります。

ストレージアレイは通常、多数のクライアントに対して個別のiSCSIターゲットを提供します。^[5]

最近の主流のサーバー オペレーティング システム ( BSD、Linux、Solaris、Windows Serverなど) のほぼすべては、組み込み機能または補助ソフトウェアとして iSCSI ターゲット機能を提供できます。一部の特定用途のオペレーティング システムでは、iSCSI ターゲット サポートが実装されています。

SCSI用語では、LU は論理ユニットの略で、一意の論理ユニット番号で指定されます。LUN は、物理 SCSI デバイス (ターゲット) の一部である、個別にアドレス指定可能な (論理) SCSI デバイスを表します。iSCSI 環境では、LUN は基本的に番号が付けられたディスク ドライブです。イニシエータはターゲットとネゴシエートして LUN への接続を確立します。その結果、SCSI ハード ディスクへの接続をエミュレートする iSCSI 接続が確立されます。イニシエータは、iSCSI LUN を SCSI または IDE ハード ドライブと同じように扱います。たとえば、NFSまたはCIFS環境で行われるようにリモート ディレクトリをマウントするのではなく、iSCSI システムは iSCSI LUN 上のファイル システムをフォーマットし、直接管理します。

エンタープライズ展開では、LUN は通常、大規模なRAIDディスク アレイのサブセットを表し、多くの場合、クライアントごとに 1 つ割り当てられます。iSCSI では、複数のコンピューターが個別の LUN を共有することにルールや制限は課されません。単一の基盤となるファイル システムへの共有アクセスは、オペレーティング システムのタスクとして残されます。

すでに起動しているコンピュータ上の一般的なデータ ストレージの場合、iSCSI デバイスへのアクセスには、任意のタイプの汎用ネットワーク インターフェイスを使用できます。^{[引用が必要] ただし、汎用のコンシューマ グレードのネットワーク インターフェイスでは、リモート iSCSI データ ソースからディスクレス コンピュータを起動することはできません。[引用が必要]}代わりに、^{サーバーがTFTP}サーバーまたはローカル ブート デバイスから初期オペレーティング システムをロードし、ローカル デバイスからのブートが完了したら、データ ストレージに iSCSI を使用するのが一般的です。 [^{引用が必要]}

ネットワーク ブート機能を備えたインターフェイスが iSCSI 経由でブートできるように、別のDHCP サーバーを構成することもできます。この場合、ネットワーク インターフェイスはPXEまたはbootpブート イメージを提供する DHCP サーバーを探します。^[6]これは iSCSI リモート ブート プロセスを開始するために使用され、ブート ネットワーク インターフェイスのMAC アドレスを使用して、コンピューターを正しい iSCSI ブート ターゲットに誘導します^[要出典]。次に、ソフトウェアのみのアプローチを使用して、小さなブート プログラムをロードし、リモート iSCSI ターゲットをローカル SCSI ドライブであるかのようにマウントし、その iSCSI ターゲットからブート プロセスを起動することができます^{[要出典] 。これは、多くの有線イーサネット アダプターで使用できる既存の}Preboot Execution Environment (PXE) ブート ROM を使用して実現できます。ブート コードは、CD/DVD、フロッピー ディスク (またはフロッピー ディスク イメージ)、USB ストレージからロードすることも、再フラッシュ可能なアダプター上の既存の PXE ブート コードを置き換えることもできます。^[7] iSCSIブートサポートを提供する最も人気のあるフリーソフトウェアはiPXEです。^[8]

サーバー用のIntelイーサネットコントローラのほとんどはiSCSIブートをサポートしています。^[9]

iSCSI はプロトコル自体に TCP (通常はTCP ポート860 と 3260) を使用し、プロトコル内のオブジェクトのアドレス指定には上位レベルの名前を使用します。特殊な名前は iSCSI イニシエーターとターゲットの両方を参照します。iSCSI には 3 つの名前形式があります。

iSCSI 修飾名 (IQN)

形式: iSCSI 修飾名は RFC 3720 で文書化されており、名前のさらなる例は RFC 3721 に記載されています。簡単に言うと、フィールドは次のとおりです。

• リテラル iqn (iSCSI 修飾名)
• 命名機関がドメインの所有権を取得した日付 (yyyy-mm)
• 権限の逆ドメイン名 (例: org.alpinelinux、com.example、to.yp.cr)
• 命名機関によって指定されたストレージ ターゲット名の前に付けるオプションの ":"。

RFCより: ^[10]

拡張固有識別子 (EUI)

フォーマット: eui.{EUI-64 ビット アドレス} (例eui.02004567A425678D)

T11 ネットワーク アドレス オーソリティ (NAA)

フォーマット: naa.{NAA 64 または 128 ビット識別子} (例naa.52004567BA64678D)

IQN 形式のアドレスが最も一般的に使用されます。ドメイン名は期限切れになったり、別のエンティティに取得されたりする可能性があるため、日付 (yyyy-mm) で修飾されます。

IEEE 登録機関は、EUI-64 標準に従って EUI を提供します。NAA は、IEEE 登録機関によって提供される OUI の一部です。NAA 名形式は、ファイバ チャネルおよびシリアル アタッチド SCSI (SAS) ストレージ テクノロジで使用される命名規則との互換性を提供するために、RFC 3980 で iSCSI に追加されました。

通常、iSCSI 参加者は 3 つまたは 4 つのフィールドで定義できます。

1. ホスト名または IP アドレス (例: "iscsi.example.com")
2. ポート番号（例：3260）
3. iSCSI 名 (例: IQN「iqn.2003-01.com.ibm:00.fcd0ab21.shark128」)
4. オプションのCHAPシークレット (例: "secretsarefun")

iSCSI イニシエータは、インターネット ストレージ ネーム サービス(iSNS) プロトコルを使用して適切なストレージ リソースを見つけることができます。理論上、iSNS は専用のファイバ チャネルSANと同じ管理モデルを iSCSI SAN に提供します。実際には、管理者は iSNS を使用せずに iSCSI の多くの展開目標を満たすことができます。

iSCSIイニシエータとターゲットはCHAPを使用して相互にIDを証明します。CHAPには、平文パスワードが回線上に表示されないようにするメカニズムが含まれています。CHAP自体は、辞書攻撃、スプーフィング、リフレクション攻撃に対して脆弱です。注意深く従えば、iSCSI内でCHAPを使用するためのベストプラクティスは、これらの攻撃の対象領域を減らし、リスクを軽減します。^[11]

さらに、すべての IP ベースのプロトコルと同様に、IPsec はネットワーク層で動作できます。 iSCSI ネゴシエーション プロトコルは他の認証方式に対応するように設計されていますが、相互運用性の問題により、その導入は制限されます。

有効なイニシエーターのみがストレージ アレイに接続するようにするために、管理者は論理的に分離されたバックチャネル ネットワーク経由でのみ iSCSI を実行するのが最も一般的です。この展開アーキテクチャでは、ストレージ アレイの管理ポートのみが汎用内部ネットワークに公開され、iSCSI プロトコル自体は専用のネットワーク セグメントまたはVLAN経由で実行されます。これにより、認証に関する懸念が軽減されます。権限のないユーザーは iSCSI 用に物理的にプロビジョニングされないため、ストレージ アレイと通信できません。ただし、これにより、推移的な信頼の問題も生じます。つまり、iSCSI ディスクを持つ 1 つの侵害されたホストが、他のホストのストレージ リソースを攻撃するために使用される可能性があるのです。

iSCSI は、VLAN のみを使用して一般ネットワークから論理的に分離できますが、他のネットワーク機器と何ら違いはなく、ソースとターゲットの間に完全な信号パスがある限り、任意のケーブルまたはポートを使用できます。ネットワーク技術者によるケーブル接続の 1 つのミスにより、論理分離の障壁が損なわれる可能性があり、偶発的なブリッジはネットワーク エラーを引き起こさないため、すぐに検出されない可能性があります。

iSCSI を通常のネットワークとさらに区別し、接続を変更するときに配線ミスを防ぐために、管理者は、iSCSI 接続には黄色のケーブルのみを使用し、通常のネットワークには青色のケーブルのみを使用する、iSCSI 専用に使用されるポートとスイッチに明確なラベルを付けるなど、独自に定義した色分けとラベル付けの標準を実装できます。

iSCSI は、一般的なネットワーク用途にも使用される大規模なマルチポート スイッチ上のポートの VLAN クラスターとして実装することもできますが、管理者は、誤って接続されたケーブルが間違ったポートに差し込まれて論理バリアがブリッジされる可能性をさらに防ぐために、代わりに iSCSI VLAN 専用の物理的に分離されたスイッチを使用することを選択できます。

iSCSI は多数のサーバーのストレージを単一のストレージ アレイに統合することを目的としているため、iSCSI の導入には、関連のないイニシエーターがストレージ リソースにアクセスできないようにする戦略が必要です。異常な例として、単一のエンタープライズ ストレージ アレイに、企業会計に関するサーベンス オクスリー法、医療給付情報に関するHIPAA、クレジットカード処理に関するPCI DSSなど、さまざまな規制の対象となるサーバーのデータが格納されている場合があります。監査中、ストレージ システムは、ある規制下にあるサーバーが別の規制下にあるサーバーのストレージ資産にアクセスできないようにするための制御を実証する必要があります。

通常、iSCSI ストレージ アレイは、イニシエーターを特定のターゲット LUN に明示的にマップします。イニシエーターは、ストレージ アレイではなく、使用する特定のストレージ アセットに対して認証を行います。ただし、SCSI コマンドのターゲット LUN は、iSCSI ネゴシエーション プロトコルと基礎となる SCSI プロトコルの両方で表現されるため、アクセス制御が一貫して提供されるように注意する必要があります。

iSCSIはほとんどの場合、SCSIトランザクション中に移動するデータに暗号化保護を提供しないクリアテキストプロトコルとして動作します。その結果、iSCSIイーサネットトラフィックを傍受できる攻撃者は次のことが可能になります。^[12]

• 回線上で転送されるファイルとファイルシステムを再構築してコピーする
• 偽のiSCSIフレームを挿入してファイルの内容を変更する
• イニシエーターによってアクセスされる破損したファイルシステムにより、十分にテストされていないファイルシステム コードのソフトウェア欠陥がサーバーに発生する可能性があります。

これらの問題は iSCSI でのみ発生するわけではなく、暗号化セキュリティのないすべてのSANプロトコルに当てはまります。IPsecなどの IP ベースのセキュリティ プロトコルは、このトラフィックに標準ベースの暗号化保護を提供できます。

次の表の日付は、各オペレーティングシステムでネイティブドライバーが初めて登場した日付を示しています。WindowsおよびLinux用のサードパーティ製ドライバーは、IBMのIP Storage 200iアプライアンスに接続するためのものとして、2001年にはすでに利用可能でした。^[13]

ほとんどの iSCSI ターゲットにはディスクが関係しますが、iSCSI テープ ターゲットやメディア チェンジャー ターゲットも人気があります。これまでのところ、物理デバイスにはコンポーネント レベルでネイティブ iSCSI インターフェイスは搭載されていません。代わりに、パラレル SCSIまたはファイバー チャネルインターフェイスを備えたデバイスは、iSCSI ターゲット ソフトウェア、外部ブリッジ、またはデバイス エンクロージャ内部のコントローラを使用してブリッジされます。

あるいは、ディスク ターゲットとテープ ターゲットを仮想化することもできます。実際の物理デバイスを表すのではなく、エミュレートされた仮想デバイスが表示されます。基盤となる実装は、仮想テープ ライブラリ(VTL) 製品の場合と同様に、表示されたターゲットから大幅に異なる場合があります。VTL は、仮想テープに書き込まれたデータを格納するためにディスク ストレージを使用します。実際の物理デバイスと同様に、仮想ターゲットは、iSCSI ターゲット ソフトウェア、外部ブリッジ、またはデバイス エンクロージャ内部のコントローラを使用して表示されます。

セキュリティ製品業界では、一部のメーカーが iSCSI RAID をターゲットとして使用し、イニシエーターとして IP 対応のエンコーダーまたはカメラを使用しています。

ファイバ チャネル、SCSI、および SAS デバイスを iSCSI 経由で IP ネットワークに接続できるようにするシステムは複数存在します。これらを使用すると、古いストレージ テクノロジからの移行、リモート サーバーからの SAN へのアクセス、および IP ネットワーク経由の SAN のリンクが可能になります。iSCSI ゲートウェイは、IP サーバーをファイバ チャネル SAN にブリッジします。TCP 接続はゲートウェイで終了し、ゲートウェイはファイバ チャネル スイッチまたはスタンドアロン アプライアンスとして実装されます。