Skip to main content
SANtricity software
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Cómo funciona la gestión de claves de seguridad en SANtricity System Manager

Colaboradores netapp-driley netapp-jolieg
PDF

Cuando se implementa la función Drive Security, las unidades con la función de seguridad habilitada (FIPS o FDE) requieren una clave de seguridad para acceder a los datos. Una clave de seguridad es una cadena de caracteres que se comparte entre estos tipos de unidades y las controladoras en una cabina de almacenamiento.

Siempre que se encienden y se apagan las unidades, las unidades con la función de seguridad habilitada cambian al estado Security Locked hasta que la controladora aplica la clave de seguridad. Si se elimina una unidad habilitada para seguridad de la cabina de almacenamiento, se bloquean los datos de esa unidad. Cuando se vuelve a instalar la unidad en otra cabina de almacenamiento, se busca la clave de seguridad para que pueda volver a accederse a los datos. Para desbloquear los datos, debe aplicar la clave de seguridad original.

Puede crear y gestionar claves de seguridad mediante uno de los siguientes métodos:

  • Gestión de claves internas en la memoria persistente de la controladora.

  • Gestión de claves externas en un servidor de gestión de claves externo.

Gestión de claves internas

Se mantienen las claves internas y se «"ocultan"» en una ubicación sin acceso en la memoria persistente de la controladora. Para implementar la gestión de claves internas, siga estos pasos:

  1. Instale unidades compatibles con la función de seguridad en la cabina de almacenamiento. Estas unidades pueden ser de cifrado de disco completo (FDE) o de estándar de procesamiento de información federal (FIPS).

  2. Asegúrese de que la función Drive Security esté habilitada. Si fuera necesario, comuníquese con el proveedor de almacenamiento para pedir indicaciones sobre cómo habilitar la función Drive Security.

  3. Crea una clave de seguridad interna, lo que implica definir un identificador y una frase de contraseña. El identificador es una cadena que está asociada a la clave de seguridad y se almacena en el controlador y en todas las unidades asociadas a la clave. La frase de contraseña se usa para cifrar la clave de seguridad con fines de copia de seguridad. Para crear una clave interna, ve al menú:System[Create internal security key].

La clave de seguridad se almacena en una ubicación oculta a la que no se puede acceder. Es posible crear grupos de volúmenes o pools con la función de seguridad habilitada, o bien habilitar la seguridad en grupos de volúmenes o pools existentes.

Gestión de claves externas

Las claves externas se mantienen en un servidor de gestión de claves individual mediante un protocolo de interoperabilidad de gestión de claves (KMIP). Para implementar la gestión de claves externas, siga estos pasos:

  1. Instale unidades compatibles con la función de seguridad en la cabina de almacenamiento. Estas unidades pueden ser de cifrado de disco completo (FDE) o de estándar de procesamiento de información federal (FIPS).

  2. Asegúrese de que la función Drive Security esté habilitada. Si fuera necesario, comuníquese con el proveedor de almacenamiento para pedir indicaciones sobre cómo habilitar la función Drive Security.

  3. Obtener un archivo de certificado de cliente firmado. Un certificado de cliente valida las controladoras de la cabina de almacenamiento para que el servidor de gestión de claves pueda confiar en sus solicitudes KMIP.

    1. En primer lugar, debes completar y descargar una solicitud de firma de certificado (CSR) de cliente. Ve al menú:Certificates[Key management certificates], y luego selecciona Complete CSR.

    2. A continuación, se solicita un certificado de cliente firmado de una CA de confianza para el servidor de gestión de claves. (También se puede crear y descargar un certificado de cliente desde el servidor de gestión de claves con el archivo CSR).

    3. Una vez que tenga un archivo de certificado de cliente, copie ese archivo en el host en el que accede a System Manager.

    4. Como alternativa, puede generar una solicitud de firma de certificación externamente mediante una pareja de claves pública y privada.

  4. Recupere un archivo de certificado del servidor de gestión de claves y copie ese archivo en el host donde accede a System Manager. Un certificado de servidor de gestión de claves valida el servidor de gestión de claves para que la cabina de almacenamiento pueda confiar en su dirección IP. Es posible usar un certificado raíz, intermedio o de servidor para el servidor de gestión de claves.

  5. Crea una clave externa, lo que implica definir la dirección IP del servidor de gestión de claves y el número de puerto utilizado para las comunicaciones KMIP. Durante este proceso, también cargas los archivos de certificados. Para crear una clave externa, ve al menú:System[Create external security key].

El sistema se conecta al servidor de gestión de claves con las credenciales introducidas. Es posible crear grupos de volúmenes o pools con la función de seguridad habilitada, o bien habilitar la seguridad en grupos de volúmenes o pools existentes.