Überlegungen und Anforderungen für die Verwendung eines Verschlüsselungsmanagement-Servers
Änderungen vorschlagen
PDFs
Bevor Sie einen externen KMS (Key Management Server) konfigurieren, müssen Sie die Überlegungen und Anforderungen verstehen.
Was sind die KMIP-Anforderungen?
StorageGRID unterstützt KMIP Version 1.4.
Für die Kommunikation zwischen den Appliance-Nodes und dem konfigurierten KMS werden sichere TLS-Verbindungen verwendet. StorageGRID unterstützt die folgenden TLS v1.2-Chiffren für KMIP:
-
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
-
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
Sie müssen sicherstellen, dass jeder Appliance-Node, der Node-Verschlüsselung verwendet, Netzwerkzugriff auf den für den Standort konfigurierten KMS- oder KMS-Cluster hat.
Die Netzwerk-Firewall-Einstellungen müssen es jedem Appliance-Node ermöglichen, über den Port zu kommunizieren, der für KMIP-Kommunikation (Key Management Interoperability Protocol) verwendet wird. Der KMIP-Standardport ist 5696.
Welche Appliances werden unterstützt?
Sie können einen Schlüsselverwaltungsserver (KMS) verwenden, um Verschlüsselungsschlüssel für jede StorageGRID-Appliance in Ihrem Grid zu verwalten, auf der die Einstellung Node-Verschlüsselung aktiviert ist. Diese Einstellung kann nur während der Hardware-Konfigurationsphase der Appliance-Installation mithilfe des StorageGRID Appliance Installer aktiviert werden.
|
Nach dem Hinzufügen einer Appliance zum Grid können Sie die Node-Verschlüsselung nicht aktivieren. Appliances, bei denen die Node-Verschlüsselung nicht aktiviert ist, können externes Verschlüsselungsmanagement nicht verwenden. |
Der konfigurierte KMS kann für die folgenden StorageGRID Appliances und Appliance-Nodes verwendet werden:
| Appliance | Node-Typ |
|---|---|
SG1000 Services-Appliance |
Admin-Node oder Gateway-Node |
SG100 Services-Appliance |
Admin-Node oder Gateway-Node |
SG6000 Storage Appliance |
Storage-Node |
SG5700 Storage-Appliance |
Storage-Node |
SG5600 Storage-Appliance |
Storage-Node |
Der konfigurierte KMS kann nicht für softwarebasierte (nicht-Appliance-) Nodes verwendet werden, einschließlich folgender Elemente:
-
Als Virtual Machines (VMs) implementierte Nodes
-
In Docker Containern auf Linux-Hosts implementierte Nodes
Auf diesen anderen Plattformen implementierte Nodes können Verschlüsselung außerhalb von StorageGRID auf Datenspeicher- oder Festplattenebene verwenden.
Wann sollte ich wichtige Management-Server konfigurieren?
Bei einer neuen Installation sollten Sie in der Regel einen oder mehrere Schlüsselverwaltungsserver im Grid Manager einrichten, bevor Sie Mandanten erstellen. Diese Reihenfolge stellt sicher, dass die Nodes geschützt sind, bevor Objektdaten auf ihnen gespeichert werden.
Sie können die Schlüsselverwaltungsserver im Grid Manager vor oder nach der Installation der Appliance-Knoten konfigurieren.
Wie viele wichtige Management Server brauche ich?
Sie können einen oder mehrere externe Verschlüsselungsmanagementserver konfigurieren, um die Appliance-Nodes in Ihrem StorageGRID-System Verschlüsselungen bereitzustellen. Jeder KMS stellt den StorageGRID Appliance-Nodes an einem einzelnen Standort oder einer Gruppe von Standorten einen einzelnen Verschlüsselungsschlüssel zur Verfügung.
StorageGRID unterstützt die Verwendung von KMS-Clustern. Jeder KMS-Cluster enthält mehrere replizierte Verschlüsselungsmanagement-Server, die Konfigurationseinstellungen und Verschlüsselungen teilen. Die Verwendung von KMS-Clustern für das Verschlüsselungsmanagement wird empfohlen, da dadurch die Failover-Funktionen einer Hochverfügbarkeitskonfiguration verbessert werden.
Nehmen Sie beispielsweise an, Ihr StorageGRID System verfügt über drei Datacenter-Standorte. Sie können ein KMS-Cluster konfigurieren, um allen Appliance-Nodes in Datacenter 1 und einem zweiten KMS-Cluster einen Schlüssel für alle Appliance-Nodes an allen anderen Standorten bereitzustellen. Wenn Sie den zweiten KMS-Cluster hinzufügen, können Sie einen Standard-KMS für Datacenter 2 und Datacenter 3 konfigurieren.
Beachten Sie, dass Sie keinen KMS für nicht-Appliance-Knoten oder für Appliance-Knoten verwenden können, bei denen die Node Encryption-Einstellung während der Installation nicht aktiviert war.
Was passiert, wenn eine Taste gedreht wird?
Als bewährte Sicherheitsmethode sollten Sie den Verschlüsselungsschlüssel, der von jedem konfigurierten KMS verwendet wird, regelmäßig drehen.
Wenn Sie den Verschlüsselungsschlüssel drehen, verwenden Sie die KMS-Software, um von der letzten verwendeten Version des Schlüssels auf eine neue Version desselben Schlüssels zu drehen. Drehen Sie nicht auf einen ganz anderen Schlüssel.
|
Versuchen Sie niemals, einen Schlüssel zu drehen, indem Sie den Schlüsselnamen (Alias) für den KMS im Grid Manager ändern. Drehen Sie stattdessen den Schlüssel, indem Sie die Schlüsselversion in der KMS-Software aktualisieren. Verwenden Sie denselben Schlüssel-Alias für neue Schlüssel, wie sie für vorherige Schlüssel verwendet wurden. Wenn Sie den Schlüssel-Alias für einen konfigurierten KMS ändern, kann StorageGRID Ihre Daten möglicherweise nicht entschlüsseln. |
Wenn die neue Schlüsselversion verfügbar ist:
-
Die Appliance wird automatisch auf die verschlüsselten Appliance-Nodes am Standort oder an den dem KMS zugeordneten Standorten verteilt. Die Verteilung sollte innerhalb einer Stunde erfolgen, wenn der Schlüssel gedreht wird.
-
Wenn der Node der verschlüsselten Appliance offline ist, wenn die neue Schlüsselversion verteilt ist, erhält der Node den neuen Schlüssel, sobald er neu gebootet wird.
-
Wenn die neue Schlüsselversion nicht zur Verschlüsselung von Appliance-Volumes aus irgendeinem Grund verwendet werden kann, wird für den Appliance-Node die Warnung KMS-Verschlüsselungsschlüsseldrehung fehlgeschlagen ausgelöst. Möglicherweise müssen Sie sich an den technischen Support wenden, um Hilfe bei der Lösung dieses Alarms zu erhalten.
Kann ich einen Appliance-Knoten nach der Verschlüsselung wiederverwenden?
Wenn Sie eine verschlüsselte Appliance in einem anderen StorageGRID System installieren müssen, müssen Sie zuerst den Grid-Node außer Betrieb nehmen, um Objektdaten auf einen anderen Node zu verschieben. Anschließend können Sie die KMS-Konfiguration mit dem Installationsprogramm der StorageGRID-Appliance löschen. Durch das Löschen der KMS-Konfiguration wird die Node Encryption-Einstellung deaktiviert und die Zuordnung zwischen dem Appliance-Knoten und der KMS-Konfiguration für den StorageGRID-Standort wird aufgehoben.
|
Der Zugriff auf den KMS-Verschlüsselungsschlüssel ist ausgeschlossen, dass alle Daten, die auf der Appliance verbleiben, nicht mehr zugänglich sind und dauerhaft gesperrt werden. |