Configuración de KMS y dispositivos
Sugerir cambios
PDF
Antes de poder usar un servidor de administración de claves (KMS) para proteger los datos de StorageGRID en los nodos del dispositivo, debe completar dos tareas de configuración: configurar uno o más servidores KMS y habilitar el cifrado de nodos para los nodos del dispositivo. Una vez completadas estas dos tareas de configuración, el proceso de gestión de claves se produce automáticamente.
El diagrama de flujo muestra los pasos de alto nivel para usar un KMS para proteger los datos de StorageGRID en los nodos del dispositivo.
El diagrama de flujo muestra la configuración de KMS y la configuración del dispositivo ocurriendo en paralelo; sin embargo, puede configurar los servidores de administración de claves antes o después de habilitar el cifrado de nodos para los nuevos nodos del dispositivo, según sus requisitos.
Configurar el servidor de administración de claves (KMS)
La configuración de un servidor de administración de claves incluye los siguientes pasos de alto nivel.
| Paso | Referirse a |
|---|---|
Acceda al software KMS y agregue un cliente para StorageGRID a cada KMS o clúster KMS. |
|
Obtenga la información requerida para el cliente StorageGRID en el KMS. |
|
Agregue el KMS al Grid Manager, asígnelo a un solo sitio o a un grupo predeterminado de sitios, cargue los certificados necesarios y guarde la configuración del KMS. |
Configurar el aparato
La configuración de un nodo de dispositivo para el uso de KMS incluye los siguientes pasos de alto nivel.
-
Durante la etapa de configuración de hardware de la instalación del dispositivo, utilice el instalador de dispositivos StorageGRID para habilitar la configuración Cifrado de nodo para el dispositivo.
No se puede habilitar la configuración Cifrado de nodo después de agregar un dispositivo a la red, y no se puede usar la administración de claves externa para dispositivos que no tengan habilitado el cifrado de nodo. -
Ejecute el instalador del dispositivo StorageGRID . Durante la instalación, se asigna una clave de cifrado de datos aleatoria (DEK) a cada volumen del dispositivo, de la siguiente manera:
-
Las DEK se utilizan para cifrar los datos en cada volumen. Estas claves se generan mediante el cifrado de disco LUKS (configuración de clave unificada de Linux) en el sistema operativo del dispositivo y no se pueden modificar.
-
Cada DEK individual está encriptado por una clave de encriptación maestra (KEK). La KEK inicial es una clave temporal que cifra las DEK hasta que el dispositivo pueda conectarse al KMS.
-
-
Agregue el nodo del dispositivo a StorageGRID.
Ver "Habilitar el cifrado de nodos" Para más detalles.
Proceso de cifrado de gestión de claves (se produce automáticamente)
El cifrado de gestión de claves incluye los siguientes pasos de alto nivel que se realizan automáticamente.
-
Cuando instala un dispositivo que tiene el cifrado de nodo habilitado en la red, StorageGRID determina si existe una configuración de KMS para el sitio que contiene el nuevo nodo.
-
Si ya se ha configurado un KMS para el sitio, el dispositivo recibe la configuración de KMS.
-
Si aún no se ha configurado un KMS para el sitio, los datos del dispositivo continúan encriptados por la KEK temporal hasta que configure un KMS para el sitio y el dispositivo reciba la configuración del KMS.
-
-
El dispositivo utiliza la configuración de KMS para conectarse al KMS y solicitar una clave de cifrado.
-
El KMS envía una clave de cifrado al dispositivo. La nueva clave del KMS reemplaza la KEK temporal y ahora se utiliza para cifrar y descifrar las DEK de los volúmenes del dispositivo.
Cualquier dato que exista antes de que el nodo del dispositivo cifrado se conecte al KMS configurado se cifra con una clave temporal. Sin embargo, los volúmenes del dispositivo no deben considerarse protegidos contra la eliminación del centro de datos hasta que la clave temporal sea reemplazada por la clave de cifrado KMS. -
Si el dispositivo se enciende o se reinicia, se vuelve a conectar al KMS para solicitar la clave. La clave, que se guarda en la memoria volátil, no puede sobrevivir a una pérdida de energía o a un reinicio.