Skip to main content
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Habilite la gestión de claves incorporada en ONTAP 9.5 y versiones anteriores

Colaboradores
PDF

Puede usar el gestor de claves incorporado para autenticar nodos de clúster en una unidad FIPS o SED. El gestor de claves incorporado es una herramienta integrada que proporciona claves de autenticación a nodos del mismo sistema de almacenamiento que los datos. El gestor de claves incorporado es conforme a la normativa FIPS-140-2 de nivel 1.

Puede usar el administrador de claves incorporado para proteger las claves que el clúster utiliza para acceder a los datos cifrados. Debe habilitar el gestor de claves incorporado en cada clúster que acceda a un volumen cifrado o un disco de autocifrado.

Acerca de esta tarea

Debe ejecutar security key-manager setup el comando cada vez que añade un nodo al clúster.

Si tiene una configuración de MetroCluster, revise las siguientes directrices:

  • En ONTAP 9.5, debe ejecutarse security key-manager setup en el clúster local y security key-manager setup -sync-metrocluster-config yes en el clúster remoto, con la misma clave de acceso en cada uno.

  • Antes de usar ONTAP 9.5, debe ejecutarse security key-manager setup en el clúster local, esperar aproximadamente 20 segundos y, luego, ejecutarse security key-manager setup en el clúster remoto, usando la misma clave de acceso en cada uno.

De forma predeterminada, no es necesario introducir la clave de acceso del administrador de claves cuando se reinicia un nodo. A partir de ONTAP 9.4, puede usar la -enable-cc-mode yes opción para solicitar que los usuarios introduzcan la frase de acceso después de reiniciar.

Para NVE, si establece -enable-cc-mode yes, los volúmenes que cree con los volume create volume move start comandos y se cifran automáticamente. Para volume create, no es necesario especificar -encrypt true. Para volume move start, no es necesario especificar -encrypt-destination true.

Nota Después de un intento de clave de acceso con errores, debe reiniciar el nodo de nuevo.
Antes de empezar
Pasos

  1. Inicie la configuración del gestor de claves:

    security key-manager setup -enable-cc-mode yes|no

    Nota A partir de ONTAP 9.4, puede usar la -enable-cc-mode yes opción para solicitar que los usuarios introduzcan la frase de contraseña del administrador de claves después de un reinicio. Para NVE, si establece -enable-cc-mode yes, los volúmenes que cree con los volume create volume move start comandos y se cifran automáticamente.

    En el siguiente ejemplo, se inicia la configuración del gestor de claves en cluster1 sin necesidad de introducir la clave de acceso después de cada reinicio:

    cluster1::> security key-manager setup
Welcome to the key manager setup wizard, which will lead you through
the steps to add boot information.

...

Would you like to use onboard key-management? {yes, no} [yes]:
Enter the cluster-wide passphrase:    <32..256 ASCII characters long text>
Reenter the cluster-wide passphrase:    <32..256 ASCII characters long text>

  2. Introduzca yes en el aviso para configurar la gestión de claves incorporada.

  3. En el indicador de frase de contraseña, introduzca una frase de paso entre 32 y 256 caracteres, o bien, para "'cc-mode'", una frase de paso entre 64 y 256 caracteres.

    Nota Si la frase de paso "'cc-mode'" especificada es menor de 64 caracteres, hay un retraso de cinco segundos antes de que la operación de configuración del gestor de claves vuelva a mostrar la indicación de contraseña.

  4. En la solicitud de confirmación de contraseña, vuelva a introducir la frase de contraseña.

  5. Compruebe que las claves estén configuradas para todos los nodos:

    security key-manager key show

    Obtenga más información sobre security key-manager key show en el "Referencia de comandos del ONTAP".

    cluster1::> security key-manager key show

Node: node1
Key Store: onboard
Key ID                                                           Used By
---------------------------------------------------------------- --------
<id_value> NSE-AK
<id_value> NSE-AK

Node: node2
Key Store: onboard
Key ID                                                           Used By
---------------------------------------------------------------- --------
<id_value> NSE-AK
<id_value> NSE-AK
Después de terminar

Se realiza automáticamente un backup de toda la información de gestión de claves en la base de datos replicada (RDB) del clúster.

Siempre que configure la clave de acceso de Onboard Key Manager, también debe realizar un backup manual de la información en una ubicación segura fuera del sistema de almacenamiento para usarla en caso de desastre. Consulte "Realice un backup manual de la información de gestión de claves incorporada".

Información relacionada