Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Restaurar cifrado - FAS2820

11/18/2025 Colaboradores

PDF

Restaure el cifrado en el soporte de arranque de reemplazo.

Si su sistema de almacenamiento ejecuta ONTAP 9.17.1 o posterior, utilice el"procedimiento de recuperación de arranque automatizado" . Si su sistema está ejecutando una versión anterior de ONTAP, debe utilizar el procedimiento de recuperación de arranque manual.

Complete los pasos adecuados para restaurar el cifrado en su sistema según el tipo de administrador de claves que utilice. Si no está seguro de qué administrador de claves utiliza su sistema, revise la configuración que capturó al inicio del procedimiento de reemplazo del medio de arranque.

Gestión de claves incorporada (OKM)

Restaure la configuración del Administrador de claves integrado (OKM) desde el menú de inicio de ONTAP.

Antes de empezar

Asegúrese de tener disponible la siguiente información:

Se introdujo la contraseña de todo el clúster mientras "habilitación de la gestión de llaves a bordo"
"Información de backup del gestor de claves incorporado"
Verificación de que dispone de la contraseña correcta y los datos de copia de seguridad utilizando el "Cómo comprobar el backup de gestión de claves incorporada y la clave de acceso para todo el clúster" procedimiento

Pasos

Sobre el controlador averiado:

Conecte el cable de la consola al controlador averiado.

Desde el menú de arranque de ONTAP , seleccione la opción adecuada:

Versión de ONTAP Seleccione esta opción

Versión de ONTAP	Seleccione esta opción
ONTAP 9.8 o posterior	Seleccione la opción 10. Mostrar ejemplo de menú de inicio Please choose one of the following: (1) Normal Boot. (2) Boot without /etc/rc. (3) Change password. (4) Clean configuration and initialize all disks. (5) Maintenance mode boot. (6) Update flash from backup config. (7) Install new software first. (8) Reboot node. (9) Configure Advanced Drive Partitioning. (10) Set Onboard Key Manager recovery secrets. (11) Configure node for external key management. Selection (1-11)? 10
ONTAP 9,7 y anteriores	Seleccione la opción oculta `recover_onboard_keymanager` Mostrar ejemplo de menú de inicio Please choose one of the following: (1) Normal Boot. (2) Boot without /etc/rc. (3) Change password. (4) Clean configuration and initialize all disks. (5) Maintenance mode boot. (6) Update flash from backup config. (7) Install new software first. (8) Reboot node. (9) Configure Advanced Drive Partitioning. Selection (1-19)? recover_onboard_keymanager

ONTAP 9.8 o posterior

Seleccione la opción 10.

Mostrar ejemplo de menú de inicio

Please choose one of the following:

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 10

ONTAP 9,7 y anteriores

Seleccione la opción oculta recover_onboard_keymanager

Mostrar ejemplo de menú de inicio

Please choose one of the following:

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
Selection (1-19)? recover_onboard_keymanager

Confirma que deseas continuar con el proceso de recuperación cuando se te solicite:

Mostrar símbolo del sistema de ejemplo

This option must be used only in disaster recovery procedures. Are you sure? (y or n):
Introduzca dos veces la clave de acceso para todo el clúster.

Al introducir la contraseña, la consola no muestra ninguna entrada.

Mostrar símbolo del sistema de ejemplo

Enter the passphrase for onboard key management:

Enter the passphrase again to confirm:

Introduzca la información de la copia de seguridad:

Pegue todo el contenido desde la línea BEGIN BACKUP hasta la línea END BACKUP, incluyendo los guiones.

Mostrar símbolo del sistema de ejemplo

Enter the backup data:

--------------------------BEGIN BACKUP--------------------------
0123456789012345678901234567890123456789012345678901234567890123
1234567890123456789012345678901234567890123456789012345678901234
2345678901234567890123456789012345678901234567890123456789012345
3456789012345678901234567890123456789012345678901234567890123456
4567890123456789012345678901234567890123456789012345678901234567
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
0123456789012345678901234567890123456789012345678901234567890123
1234567890123456789012345678901234567890123456789012345678901234
2345678901234567890123456789012345678901234567890123456789012345
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

---------------------------END BACKUP---------------------------

Pulse la tecla Intro dos veces al final del texto introducido.

El proceso de recuperación finaliza y muestra el siguiente mensaje:

Successfully recovered keymanager secrets.

Mostrar símbolo del sistema de ejemplo

Trying to recover keymanager secrets....
Setting recovery material for the onboard key manager
Recovery secrets set successfully
Trying to delete any existing km_onboard.wkeydb file.

Successfully recovered keymanager secrets.

***********************************************************************************
* Select option "(1) Normal Boot." to complete recovery process.
*
* Run the "security key-manager onboard sync" command to synchronize the key database after the node reboots.
***********************************************************************************

No continúe si el resultado mostrado es diferente de Successfully recovered keymanager secrets . Realice la resolución de problemas para corregir el error.

Seleccionar opción 1 Desde el menú de arranque, continúe arrancando en ONTAP.

Mostrar símbolo del sistema de ejemplo

***********************************************************************************
* Select option "(1) Normal Boot." to complete the recovery process.
*
***********************************************************************************


(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 1

Confirma que la consola del controlador muestra el siguiente mensaje:

Waiting for giveback…(Press Ctrl-C to abort wait)

En el controlador asociado:
Devuelva el controlador defectuoso:

storage failover giveback -fromnode local -only-cfo-aggregates true

Sobre el controlador averiado:
Tras arrancar únicamente con el agregado CFO, sincronice el gestor de claves:

security key-manager onboard sync

Introduzca la contraseña de todo el clúster para el Administrador de claves integrado cuando se le solicite.

Mostrar símbolo del sistema de ejemplo

Enter the cluster-wide passphrase for the Onboard Key Manager:

All offline encrypted volumes will be brought online and the corresponding volume encryption keys (VEKs) will be restored automatically within 10 minutes. If any offline encrypted volumes are not brought online automatically, they can be brought online manually using the "volume online -vserver <vserver> -volume <volume_name>" command.

Si la sincronización se realiza correctamente, se devuelve el indicador del clúster sin mensajes adicionales. Si falla la sincronización, aparecerá un mensaje de error antes de volver al indicador del clúster. No continúe hasta que se corrija el error y la sincronización se ejecute correctamente.

Verifique que todas las claves estén sincronizadas:

security key-manager key query -restored false

El comando no debería devolver ningún resultado. Si aparece algún resultado, repita el comando de sincronización hasta que no se devuelvan más resultados.

En el controlador asociado:
Devuelva el controlador defectuoso:

storage failover giveback -fromnode local
Restaure la devolución automática del control si la desactivó:

storage failover modify -node local -auto-giveback true
Si AutoSupport está habilitado, restaure la creación automática de casos:

system node autosupport invoke -node * -type all -message MAINT=END

Gestor de claves externo (EKM)

Restaure la configuración del Administrador de claves externo desde el menú de inicio de ONTAP.

Antes de empezar

Reúna los siguientes archivos de otro nodo del clúster o de su copia de seguridad:

`/cfcard/kmip/servers.cfg`archivo o la dirección y el puerto del servidor KMIP
`/cfcard/kmip/certs/client.crt`archivo (certificado de cliente)
`/cfcard/kmip/certs/client.key`archivo (clave de cliente)
`/cfcard/kmip/certs/CA.pem`archivo (certificados CA del servidor KMIP)

Pasos

Sobre el controlador averiado:

Conecte el cable de la consola al controlador averiado.

Seleccionar opción 11 desde el menú de arranque de ONTAP .

Mostrar ejemplo de menú de inicio

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 11

Confirma que has recopilado la información requerida cuando se te solicite:

Mostrar símbolo del sistema de ejemplo

Do you have a copy of the /cfcard/kmip/certs/client.crt file? {y/n}
Do you have a copy of the /cfcard/kmip/certs/client.key file? {y/n}
Do you have a copy of the /cfcard/kmip/certs/CA.pem file? {y/n}
Do you have a copy of the /cfcard/kmip/servers.cfg file? {y/n}

Introduzca la información del cliente y del servidor cuando se le solicite:

Introduzca el contenido del archivo de certificado de cliente (client.crt), incluidas las líneas BEGIN y END.
Introduzca el contenido del archivo de clave de cliente (client.key), incluidas las líneas BEGIN y END.
Ingrese el contenido del archivo CA(s) del servidor KMIP (CA.pem), incluidas las líneas BEGIN y END.
Introduzca la dirección IP del servidor KMIP.

Ingrese el puerto del servidor KMIP (presione Enter para usar el puerto predeterminado 5696).

Muestra el ejemplo

Enter the client certificate (client.crt) file contents:
-----BEGIN CERTIFICATE-----
<certificate_value>
-----END CERTIFICATE-----

Enter the client key (client.key) file contents:
-----BEGIN RSA PRIVATE KEY-----
<key_value>
-----END RSA PRIVATE KEY-----

Enter the KMIP server CA(s) (CA.pem) file contents:
-----BEGIN CERTIFICATE-----
<certificate_value>
-----END CERTIFICATE-----

Enter the IP address for the KMIP server: 10.10.10.10
Enter the port for the KMIP server [5696]:

System is ready to utilize external key manager(s).
Trying to recover keys from key servers....
kmip_init: configuring ports
Running command '/sbin/ifconfig e0M'
..
..
kmip_init: cmd: ReleaseExtraBSDPort e0M

El proceso de recuperación finaliza y muestra el siguiente mensaje:

Successfully recovered keymanager secrets.

Muestra el ejemplo

System is ready to utilize external key manager(s).
Trying to recover keys from key servers....
Performing initialization of OpenSSL
Successfully recovered keymanager secrets.

Seleccionar opción 1 Desde el menú de arranque, continúe arrancando en ONTAP.

Mostrar símbolo del sistema de ejemplo

***************************************************************************
* Select option "(1) Normal Boot." to complete the recovery process.
*
***************************************************************************

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 1

Restaure la devolución automática del control si la desactivó:

storage failover modify -node local -auto-giveback true
Si AutoSupport está habilitado, restaure la creación automática de casos:

system node autosupport invoke -node * -type all -message MAINT=END

El futuro

Después de restaurar el cifrado en el soporte de arranque, debe "Devuelva la pieza fallida a NetApp".

Restaurar cifrado - FAS2820

Creating your file...