NVIDIA Quantum InfiniBand でワンクリックのマルチテナントセキュリティを実現

[NVIDIA Quantum InfiniBand](https://www.nvidia.com/en-us/networking/products/infiniband/) は、Unified Fabric Manager (UFM) において意図ベースのセキュリティプロファイルを提供し、ワンクリックでマルチテナントファブリックセキュリティを実現します。 NVIDIA Quantum InfiniBand は 3 つのプロファイルをサポートしています：General（一般）、Bare Metal Cloud（ベアメタルクラウド）、Secured Bare Metal Cloud（セキュア化されたベアメタルクラウド）。ネットワーク管理者は now 自動的に以下を構成できるようになりました： - Partition Key (PKey) 分離 - Management Datagram (MAD) キー保護 - Global Unique Identifier (GUID) ベースのアクセス制御 - 継続的な検証 これにより、デプロイ時間が数時間または数日から数分に短縮され、クラウドプロバイダーは手動の Subnet Manager (SM) 設定なしで、数万台の GPU にわたるハードウェア強制型のテナント分離を実行できるようになります。 AI、HPC（高性能計算）、およびハイパースケールクラウドコンピューティングの指数関数的な成長に伴い、ネットワークファブリックの完全性はかつてないほど重要になっていますが、多くのネットワークではセキュリティは後回しにされがちです。 InfiniBand はこれとは対照的なアプローチを採用しています：セキュリティはファブリックのすべてのレイヤーにわたって拡張されます。InfiniBand が最もよく知られているのは超低遅延、高スループット、そして大規模なスケーラビリティですが、その [多層化されたセキュリティアーキテクチャ](https://docs.nvidia.com/networking/display/nvidiainfinibandsecurityoverviewandguidelines) も同様に堅牢です。 本記事では、意図ベースのプロファイルがどのようにしてデプロイを容易にするかを解説します。 ## 従来のネットワークがマルチテナントセキュリティでなぜ不足するのか InfiniBand は、ソフトウェア定義型かつ中央集権的に管理されるファブリックです。従来のネットワークでは、エンドポイントが独立して動作し、独自のルーティング、リソース、ポリシー決定を行うことが多くあります。この中央集権的な監視の欠如は、設定ミスや一貫性のないポリシー、セキュリティ上の脆弱性を招く可能性があります。NVIDIA Quantum InfiniBand は、UFM（Unified Fabric Manager）に制御を集中させることでこれを回避し、グローバルポリシーの適用、経路の最適化、ヘルスモニタリング、ファブリックの積極的な保護を実現します。 NVIDIA が完全性メカニズムやハードウェアベースのテナント分離といった堅牢なソリューションを提供しているにもかかわらず、Quantum InfiniBand はイーサネットほど広く理解されていないため、これらの機能は依然として十分に活用されていません。 現在、InfiniBand の高度なセキュリティ機能と、深い専門知識なしにユーザーが容易にそれらを実装する能力との間のギャップを埋めることが緊急の課題となっています。数万台の GPU と数千台のスィッチを接続するエージェント AI 環境において、テナント分離におけるわずかな設定ミスでも、機密性の高い独自データが漏洩したり、大規模な分散ワークロードが停止したりする可能性があります。セキュリティ機能はスケーラブルであり、かつ容易にデプロイ可能である必要があります。これにより、顧客の作業負担を軽減し、クラスターをより安全なものにするのです。 これらの課題に対処するため、NVIDIA は InfiniBand のセキュリティ機能を有効化するためのワンクリックソリューションを提供します。 ## NVIDIA Quantum InfiniBand における意図ベースのセキュリティプロファイルとは？ NVIDIA は、異なるデプロイメントモデル全体にわたるセキュリティ設定を簡素化し標準化するために、意図ベースのセキュリティプロファイルを導入しています。複数のパラメータを手動で設定する代わりに、ユーザーは事前定義されたプロファイルを選択するだけでよく、UFM が自動的にすべての基盤となるセキュリティ設定をオーケストレーションします。 意図ベースのプロファイルの主な利点は以下の通りです： - エラーの削減：プロファイルは NVIDIA のエンジニアリングが意図した通りにセキュリティ機能を実装・展開するため、誤解やドキュメント不足によるミスを防ぎます。 - 設定時間の短縮：手動で多段階の UFM/SM 設定から、事前設定された意図ベースのプロファイルへ移行することで、学習、設定の適応、デプロイおよびテストにかかる時間を数時間または数日から数分に削減できます。 - ゼロタッチスケーリング：マルチテナント環境に数百ノードを追加しても、セキュリティ管理のオーバーヘッドが線形に増加することはありません。 - セキュリティダウンタイムなし：新しいセキュリティ機能が追加される場合、それは関連するプロファイル設定に直接組み込まれるため、新機能のリリースとデプロイでの有効化の間に移行フェーズが存在しません。 General プロファイルは、基本的な出荷時構成を備えたシングルテナント環境向けに設計されています。 Bare Metal Cloud はマルチテナントクラウド環境向けに最適化されており、Secured Bare Metal Cloud は高度にセキュリティが強化されたマルチテナント環境向けのハードニング済みプロファイルです。 以下のセクションでは、Bare Metal Cloud および Secured Bare Metal Cloud のプロファイルタイプについてより詳細に説明します。 ## The Bare Metal Cloud profile Bare Metal Cloud プロファイルは、[PKey ベースの分離](https://docs.nvidia.com/networking/display/winof2v31052010lts/infiniband+network#src-132450561_InfiniBandNetwork-PKeysDefaultandnon-defaultPKeys)を可能にし、InfiniBand 管理ネットワーク上でクラウド環境内におけるテナントの分離を提供します。 イーサネット VLAN に類似して、PKey を用いた InfiniBand のパーティショニングは、どのノードやポートがネットワークリソースにアクセスできるかを定義し、ハードウェアメカニズムを用いてあるパーティション内のポートが別のパーティションにアクセスできないように防止します。 このメカニズムが多テナント展開に特に適している理由は、パーティションの割り当てが SM (Subnet Manager) によって完全に制御される点にあります。ノードは自分自身のパーティションを決定できず、アプリケーションも使用するパーティションを指定することはできません。彼らができるのは、すでにポートに割り当てられたパーティションを参照することだけです。 ポート属性はハードウェア内に保存され、SM と InfiniBand シリコンのみが知る管理キー (MKey) を介してのみアクセス可能です。このアーキテクチャにより、クラウドサービスプロバイダーやデータセンター運営者は強力な分離保証を得ることができます。同じ物理的な InfiniBand ファブリックを共有するテナントは、ハードウェアレベルで暗号的かつ論理的に分離されており、特権を持つテナントが回避可能なホスト側のソフトウェアによる強制に依存していません。 ## セキュア・ベアメタルクラウドプロファイル セキュア・ベアメタルクラウドプロファイルは、PKey 分離を基盤とし、安全なマルチテナントクラウド環境に必要な包括的なセキュリティ機能セットを実現します: - ランダム化されたシードを含む完全な MAD キー保護。これには MKEY, VSKEY, PMKEY, CCKEY, Class C キー (N2N), AM およびジョブキー、SMKEY, SAKEY が含まれます。 - 許可済み GUID リスト機能を使用した GUID ベースのアクセス制御。 - service_key を介したサービスレベル認証（例：AM サービス用） - すべてのコマンドに適用される強化された SA 信頼モデル - 濫用や輻輳から保護するための MAD レート制限 (MAD Limiter) DoS/DDoS 保護: 管理ノードを保護するため、個々のノードからの過剰なパケットレートを自動的に検出し制限します。 - ソースベースレート制限: 各ノードのソース LID アドレスに基づいてトラフィックを監視・制御して動作します。 このアプローチにより複雑性が削減され、設定エラーが最小化され、デプロイメント全体で一貫したセキュリティ強制が可能となり、ユーザーはインフラストラクチャの挙動を意図する運用モデルに整合させることができます。 ## CSV を用いた NVIDIA Quantum InfiniBand セキュリティ姿勢の検証方法 NVIDIA Quantum InfiniBand デプロイメントでサポートされているもう一つの機能として、継続的セキュリティ検証 (CSV) があります。これは静的解析とログベース監査を実行する新しい UFM 診断機能であり、検出された脆弱性に対してユーザーに「セキュリティヘルススコア」と具体的な自動修復手順を提供します。 意図ベースのプロファイルと組み合わせることで、この予防診断ツールは、効率的かつ安全なネットワーク運用を確保する上で極めて重要です。 以下の図 1 に示すスクリーンショットでは、セキュリティレポートの生成フローが示されています。 システムヘルスタブにおいて、ユーザーは上部メニューから「Security」を選択します。 ![image](https://developer-blogs.nvidia.com/wp-content/uploads/2026/06/image2-1.webp)*図 1: UFM Cyber AI のシステムヘルスセキュリティダッシュボードを使用して、ネットワークのセキュリティ姿勢を検証できます* 次に、ユーザーは必要な詳細度レベル（エラーのみ、エラーと警告、情報）を選択し、PKeys 設定のテストオプションを指定した上でレポートを実行します。以下の図 2 を参照してください。 ![image](https://developer-blogs.nvidia.com/wp-content/uploads/2026/06/image3-2.webp)*図 2: セキュリティ検証レポートは、選択された詳細度レベルに基づいて異なる出力を表示します* レポートが完了すると、結果には選択した詳細度レベルに基づいたエラー、警告、および情報メッセージのリストが表示されます。以下の図 3 を参照してください。 ![image](https://developer-blogs.nvidia.com/wp-content/uploads/2026/06/image4-1.webp)*図 3: システムヘルスセキュリティレポートは、潜在的なネットワークセキュリティ脆弱性のリストを表示します* ## さらに詳しく知る 複雑なファブリックセキュリティ機能を運用可能なデプロイメントに落とし込むためのガイドラインとベストプラクティスについては、[NVIDIA Quantum InfiniBand セキュリティホワイトペーパー](https://docs.nvidia.com/networking/display/nvidiainfinibandsecurityoverviewandguidelines)をお読みください。 翻訳全文

NVIDIA Quantum InfiniBand でワンクリックのマルチテナントセキュリティを実現

背景や根拠まで確認しますか？

調べる

選ぶ

サイト