Skip to main content
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Habilitar la gestión de claves incorporada en ONTAP 9.5 y versiones anteriores (NVE)

Colaboradores
PDF

Puede usar el administrador de claves incorporado para proteger las claves que el clúster utiliza para acceder a los datos cifrados. Debe habilitar el gestor de claves incorporado en cada clúster que acceda a un volumen cifrado o un disco de autocifrado.

Acerca de esta tarea

Debe ejecutar security key-manager setup el comando cada vez que añade un nodo al clúster.

Si tiene una configuración de MetroCluster, revise las siguientes directrices:

  • En ONTAP 9.5, debe ejecutarse security key-manager setup en el clúster local y security key-manager setup -sync-metrocluster-config yes en el clúster remoto, con la misma clave de acceso en cada uno.

  • Antes de usar ONTAP 9.5, debe ejecutarse security key-manager setup en el clúster local, esperar aproximadamente 20 segundos y, luego, ejecutarse security key-manager setup en el clúster remoto, usando la misma clave de acceso en cada uno.

De forma predeterminada, no es necesario introducir la clave de acceso del administrador de claves cuando se reinicia un nodo. A partir de ONTAP 9.4, puede usar la -enable-cc-mode yes opción para solicitar que los usuarios introduzcan la frase de acceso después de reiniciar.

Para NVE, si establece -enable-cc-mode yes, los volúmenes que cree con los volume create volume move start comandos y se cifran automáticamente. Para volume create, no es necesario especificar -encrypt true. Para volume move start, no es necesario especificar -encrypt-destination true.

Nota Después de un intento de clave de acceso con errores, debe reiniciar el nodo de nuevo.
Antes de empezar
Pasos

  1. Inicie la configuración del gestor de claves:

    security key-manager setup -enable-cc-mode yes|no

    Nota

    A partir de ONTAP 9.4, puede usar la -enable-cc-mode yes opción para solicitar que los usuarios introduzcan la frase de contraseña del administrador de claves después de un reinicio. Para NVE, si establece -enable-cc-mode yes, los volúmenes que cree con los volume create volume move start comandos y se cifran automáticamente.

    En el siguiente ejemplo, se inicia la configuración del gestor de claves en cluster1 sin necesidad de introducir la clave de acceso después de cada reinicio:

    cluster1::> security key-manager setup
Welcome to the key manager setup wizard, which will lead you through
the steps to add boot information.

...

Would you like to use onboard key-management? {yes, no} [yes]:
Enter the cluster-wide passphrase:    <32..256 ASCII characters long text>
Reenter the cluster-wide passphrase:    <32..256 ASCII characters long text>

  2. Introduzca yes en el aviso para configurar la gestión de claves incorporada.

  3. En el indicador de frase de contraseña, introduzca una frase de paso entre 32 y 256 caracteres, o bien, para "'cc-mode'", una frase de paso entre 64 y 256 caracteres.

    Nota

    Si la frase de paso "'cc-mode'" especificada es menor de 64 caracteres, hay un retraso de cinco segundos antes de que la operación de configuración del gestor de claves vuelva a mostrar la indicación de contraseña.

  4. En la solicitud de confirmación de contraseña, vuelva a introducir la frase de contraseña.

  5. Compruebe que las claves estén configuradas para todos los nodos:

    security key-manager key show

    cluster1::> security key-manager key show

Node: node1
Key Store: onboard
Key ID                                                           Used By
---------------------------------------------------------------- --------
<id_value> NSE-AK
<id_value> NSE-AK

Node: node2
Key Store: onboard
Key ID                                                           Used By
---------------------------------------------------------------- --------
<id_value> NSE-AK
<id_value> NSE-AK

    Obtenga más información sobre security key-manager key show en el "Referencia de comandos del ONTAP".

  6. Opcionalmente, convierta volúmenes de texto sin formato en volúmenes cifrados.

    volume encryption conversion start

    El gestor de claves incorporado debe estar completamente configurado antes de convertir los volúmenes. En un entorno MetroCluster, el gestor de claves incorporado debe configurarse en ambos sitios.

Después de terminar

Copie la clave de acceso en una ubicación segura fuera del sistema de almacenamiento para usarla en el futuro.

Siempre que configure la clave de acceso de Onboard Key Manager, también debe realizar un backup manual de la información en una ubicación segura fuera del sistema de almacenamiento para usarla en caso de desastre. Consulte "Realice un backup manual de la información de gestión de claves incorporada".

Información relacionada