Informationen zu ONTAP hardwarebasierter Verschlüsselung
Änderungen vorschlagen
PDFs
NetApp hardwarebasierte Verschlüsselung unterstützt die vollständige Festplattenverschlüsselung (FDE) von Daten während des Schreibvorgangs. Die Daten können ohne einen auf der Firmware gespeicherten Verschlüsselungsschlüssel nicht gelesen werden. Der Verschlüsselungsschlüssel ist wiederum nur für einen authentifizierten Knoten zugänglich.
Verständnis der NetApp hardwarebasierten Verschlüsselung
Ein Knoten authentifiziert sich gegenüber einem Self-Encrypting Drive mithilfe eines Authentifizierungsschlüssels, der von einem externen Schlüsselverwaltungsserver oder dem Onboard Key Manager abgerufen wird:
-
Der externe Schlüsselverwaltungsserver ist ein Drittanbietersystem in Ihrer Speicherumgebung, das Schlüssel für Knoten mithilfe des Key Management Interoperability Protocol (KMIP) bereitstellt. Es gilt als Best Practice, externe Schlüsselverwaltungsserver auf einem anderen Speichersystem als Ihren Daten zu konfigurieren.
-
Der Onboard Key Manager ist ein integriertes Tool, das Authentifizierungsschlüssel für Knoten aus demselben Speichersystem bereitstellt wie Ihre Daten.
Sie können NetApp Volume Encryption mit hardwarebasierter Verschlüsselung verwenden, um Daten auf Self-Encrypting Drives „doppelt zu verschlüsseln“.
Wenn Self-Encrypting Drives aktiviert sind, wird auch der Core Dump verschlüsselt.
|
Wenn ein HA-Paar verschlüsselnde SAS- oder NVMe-Laufwerke (SED, NSE, FIPS) verwendet, sind die Anweisungen im Thema Zurückstellen eines FIPS-Laufwerks oder SED in den ungeschützten Modus für alle Laufwerke innerhalb des HA-Paares vor der Initialisierung des Systems (Boot-Optionen 4 oder 9) zu beachten. Andernfalls kann es in Zukunft zu Datenverlust kommen, wenn die Laufwerke wiederverwendet werden. |
Unterstützte Self-Encrypting Drives Typen
Es werden zwei Arten von Self-Encrypting Drives unterstützt:
-
Self-Encrypting Drives (FIPS-zertifizierte SAS- oder NVMe-Laufwerke) werden auf allen FAS und AFF Systemen unterstützt. Diese Laufwerke, sogenannte FIPS Drives, erfüllen die Anforderungen der Federal Information Processing Standard Publication 140-2, Level 2. Die zertifizierten Funktionen ermöglichen neben der Verschlüsselung weitere Schutzmechanismen, wie beispielsweise die Abwehr von Denial-of-Service-Angriffen. FIPS-Laufwerke dürfen nicht mit anderen Laufwerkstypen auf demselben Node oder HA-Paar kombiniert werden.
-
Ab ONTAP 9.6 werden Self-Encrypting NVMe Drives, die nicht dem FIPS-Test unterzogen wurden, auf AFF A800, A320 und späteren Systemen unterstützt. Diese Laufwerke, sogenannte SEDs, bieten dieselben Verschlüsselungsfunktionen wie FIPS Drives, können aber zusammen mit nicht verschlüsselnden Laufwerken auf demselben Node oder HA-Paar eingesetzt werden.
-
Alle FIPS-validierten Laufwerke verwenden ein Firmware-Kryptografiemodul, das die FIPS-Validierung durchlaufen hat. Das FIPS-Kryptografiemodul des Laufwerks verwendet keine Schlüssel, die außerhalb des Laufwerks generiert werden (die Authentifizierungs-Passphrase, die für das Laufwerk eingegeben wird, wird vom Firmware-Kryptografiemodul des Laufwerks verwendet, um einen Schlüssel zur Verschlüsselung zu erhalten).
|
|
Nicht verschlüsselnde Laufwerke sind Laufwerke, die weder SEDs noch FIPS-Laufwerke sind. |
|
|
Wenn Sie NSE auf einem System mit Flash Cache Modul verwenden, sollten Sie auch NVE oder NAE aktivieren. NSE verschlüsselt keine Daten, die sich auf dem Flash Cache Modul befinden. |
Wann wird externes Schlüsselmanagement verwendet?
Auch wenn die Verwendung des integrierten Schlüsselmanagers kostengünstiger und in der Regel bequemer ist, empfiehlt sich die Nutzung einer externen Schlüsselverwaltung, wenn einer der folgenden Punkte zutrifft:
-
Die Richtlinie Ihrer Organisation erfordert eine Schlüsselverwaltungslösung, die ein kryptografisches Modul gemäß FIPS 140-2 Level 2 (oder höher) verwendet.
-
Sie benötigen eine Multi-Cluster-Lösung mit zentralisierter Verwaltung der Verschlüsselungsschlüssel.
-
Ihr Unternehmen benötigt die zusätzliche Sicherheit, Authentifizierungsschlüssel auf einem System oder an einem anderen Ort als die Daten zu speichern.
Supportdetails
Die folgende Tabelle enthält wichtige Details zur Hardware-Verschlüsselungsunterstützung. Die Interoperabilitätsmatrix enthält aktuelle Informationen zu unterstützten KMIP-Servern, Speichersystemen und Festplattengehäusen.
Ressource oder Funktion |
Supportdetails |
Nicht-homogene Festplattensätze |
|
Laufwerkstyp |
|
10 Gb Netzwerkschnittstellen |
Ab ONTAP 9.3 unterstützen KMIP-Schlüsselverwaltungskonfigurationen 10 Gb Netzwerkschnittstellen für die Kommunikation mit externen Schlüsselverwaltungsservern. |
Ports für die Kommunikation mit dem Schlüsselverwaltungsserver |
Ab ONTAP 9.3 kann jeder beliebige Port des Storage Controllers für die Kommunikation mit dem Key Management Server verwendet werden. Andernfalls sollte Port e0M für die Kommunikation mit Key Management Servern verwendet werden. Je nach Storage Controller Modell sind bestimmte Netzwerkschnittstellen während des Bootvorgangs möglicherweise nicht für die Kommunikation mit Key Management Servern verfügbar. |
MetroCluster (MCC) |
|
Hardwarebasierter Verschlüsselungsworkflow
Die Schlüsselverwaltungsdienste müssen konfiguriert werden, bevor sich der Cluster gegenüber den Self-Encrypting Drives authentifizieren kann. Es kann ein externer Schlüsselverwaltungsserver oder ein integrierter Schlüsselmanager verwendet werden.
