La version française est une traduction automatique. La version anglaise prévaut sur la française en cas de divergence.

Restaurer le chiffrement - FAS2820

11/08/2024 Contributeurs

Restaurez le chiffrement sur le support de démarrage de remplacement.

Vous devez effectuer les étapes spécifiques aux systèmes pour lesquels le gestionnaire de clés intégré (OKM), le chiffrement de stockage NetApp (NSE) ou le chiffrement de volume NetApp (NVE) sont activés à l'aide des paramètres capturés au début de la procédure de remplacement des supports de démarrage.

Selon le gestionnaire de clés configuré sur votre système, sélectionnez l'une des options suivantes pour le restaurer dans le menu de démarrage.

Option 1 : restaurez la configuration du gestionnaire de clés intégré

Restaurez la configuration du gestionnaire de clés intégré (OKM) à partir du menu de démarrage ONTAP.

Avant de commencer

Assurez-vous de disposer des informations suivantes lors de la restauration de la configuration de OKM :
- Phrase de passe à l'échelle du cluster entrée "tout en activant la gestion intégrée des clés".
- "Informations de sauvegarde pour le gestionnaire de clés intégré".
Effectuer la "Comment vérifier la sauvegarde de gestion intégrée des clés et la phrase secrète au niveau du cluster" procédure avant de continuer.

Étapes

Branchez le câble de la console au contrôleur cible.

Dans le menu de démarrage ONTAP, sélectionnez l'option appropriée dans le menu de démarrage.

Version ONTAP Sélectionnez cette option

Version ONTAP	Sélectionnez cette option
ONTAP 9.8 ou version ultérieure	Sélectionnez l'option 10. Affiche un exemple de menu de démarrage Please choose one of the following: (1) Normal Boot. (2) Boot without /etc/rc. (3) Change password. (4) Clean configuration and initialize all disks. (5) Maintenance mode boot. (6) Update flash from backup config. (7) Install new software first. (8) Reboot node. (9) Configure Advanced Drive Partitioning. (10) Set Onboard Key Manager recovery secrets. (11) Configure node for external key management. Selection (1-11)? 10
ONTAP 9.7 et versions antérieures	Sélectionnez l'option cachée `recover_onboard_keymanager` Affiche un exemple de menu de démarrage Please choose one of the following: (1) Normal Boot. (2) Boot without /etc/rc. (3) Change password. (4) Clean configuration and initialize all disks. (5) Maintenance mode boot. (6) Update flash from backup config. (7) Install new software first. (8) Reboot node. (9) Configure Advanced Drive Partitioning. Selection (1-19)? recover_onboard_keymanager

ONTAP 9.8 ou version ultérieure

Sélectionnez l'option 10.

Affiche un exemple de menu de démarrage

Please choose one of the following:

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 10

ONTAP 9.7 et versions antérieures

Sélectionnez l'option cachée recover_onboard_keymanager

Affiche un exemple de menu de démarrage

Please choose one of the following:

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
Selection (1-19)? recover_onboard_keymanager

Confirmez que vous souhaitez poursuivre le processus de restauration.

Afficher l'exemple d'invite

This option must be used only in disaster recovery procedures. Are you sure? (y or n):
Saisissez deux fois la phrase de passe au niveau du cluster.

Lorsque vous saisissez la phrase de passe, la console n'affiche aucune entrée.

Afficher l'exemple d'invite

Enter the passphrase for onboard key management:

Enter the passphrase again to confirm:

Entrez les informations de sauvegarde.

Collez l'intégralité du contenu de la ligne de DÉBUT DE SAUVEGARDE à travers la ligne de FIN DE SAUVEGARDE.

Afficher l'exemple d'invite

Enter the backup data:

--------------------------BEGIN BACKUP--------------------------
0123456789012345678901234567890123456789012345678901234567890123
1234567890123456789012345678901234567890123456789012345678901234
2345678901234567890123456789012345678901234567890123456789012345
3456789012345678901234567890123456789012345678901234567890123456
4567890123456789012345678901234567890123456789012345678901234567
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
0123456789012345678901234567890123456789012345678901234567890123
1234567890123456789012345678901234567890123456789012345678901234
2345678901234567890123456789012345678901234567890123456789012345
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

---------------------------END BACKUP---------------------------

Appuyez deux fois sur la touche entrée à la fin de l'entrée.

Le processus de récupération est terminé.

Afficher l'exemple d'invite

Trying to recover keymanager secrets....
Setting recovery material for the onboard key manager
Recovery secrets set successfully
Trying to delete any existing km_onboard.wkeydb file.

Successfully recovered keymanager secrets.

***********************************************************************************
* Select option "(1) Normal Boot." to complete recovery process.
*
* Run the "security key-manager onboard sync" command to synchronize the key database after the node reboots.
***********************************************************************************

Ne continuez pas si la sortie affichée est autre que Successfully recovered keymanager secrets. Effectuez le dépannage pour corriger l'erreur.

Sélectionnez l'option 1 dans le menu de démarrage pour poursuivre le démarrage dans ONTAP.

Afficher l'exemple d'invite

***********************************************************************************
* Select option "(1) Normal Boot." to complete the recovery process.
*
***********************************************************************************


(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 1

Vérifier que la console du contrôleur affiche le message suivant.

Waiting for giveback…(Press Ctrl-C to abort wait)
Depuis le nœud partenaire, rendre le contrôleur partenaire en saisissant la commande suivante.

storage failover giveback -fromnode local -only-cfo-aggregates true.
Après le démarrage avec uniquement l'agrégat CFO, exécutez la commande suivante.

security key-manager onboard sync

Saisissez la phrase secrète pour l'ensemble du cluster pour le gestionnaire de clés intégré.

Afficher l'exemple d'invite

Enter the cluster-wide passphrase for the Onboard Key Manager:

All offline encrypted volumes will be brought online and the corresponding volume encryption keys (VEKs) will be restored automatically within 10 minutes. If any offline encrypted volumes are not brought online automatically, they can be brought online manually using the "volume online -vserver <vserver> -volume <volume_name>" command.

Si la synchronisation réussit, l'invite du cluster est renvoyée sans message supplémentaire. Si la synchronisation échoue, un message d'erreur s'affiche avant de revenir à l'invite du cluster. Ne continuez pas tant que l'erreur n'a pas été corrigée et que la synchronisation a réussi.

Vérifiez que toutes les clés sont synchronisées en saisissant la commande suivante.

security key-manager key query -restored false.

There are no entries matching your query.

Aucun résultat ne doit apparaître lors du filtrage de FALSE dans le paramètre restauré.
Réverso le nœud du partenaire en saisissant la commande suivante.

storage failover giveback -fromnode local
Si vous l'avez désactivée, restaurez le rétablissement automatique en saisissant la commande suivante.

storage failover modify -node local -auto-giveback true
Si AutoSupport est activé, restaurez la création automatique de dossiers en saisissant la commande suivante.

system node autosupport invoke -node * -type all -message MAINT=END

Option 2 : restaurez la configuration du gestionnaire de clés externe

Restaurez la configuration du gestionnaire de clés externe à partir du menu de démarrage ONTAP.

Avant de commencer

Vous avez besoin des informations suivantes pour restaurer la configuration du Gestionnaire de clés externe (EKM).

Copie du fichier /cfcard/kmip/servers.cfg à partir d'un autre nœud de cluster ou des informations suivantes :
- Adresse du serveur KMIP.
- Port KMIP.
Copie du /cfcard/kmip/certs/client.crt fichier d'un autre nœud de cluster ou du certificat client.
Copie du /cfcard/kmip/certs/client.key fichier d'un autre nœud de cluster ou de la clé client.
Copie du /cfcard/kmip/certs/CA.pem fichier d'un autre nœud de cluster ou de l'autorité de certification du serveur KMIP.

Étapes

Branchez le câble de la console au contrôleur cible.

Sélectionnez l'option 11 dans le menu de démarrage ONTAP.

Affiche un exemple de menu de démarrage

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 11

Lorsque vous y êtes invité, vérifiez que vous avez recueilli les informations requises.

Afficher l'exemple d'invite

Do you have a copy of the /cfcard/kmip/certs/client.crt file? {y/n}
Do you have a copy of the /cfcard/kmip/certs/client.key file? {y/n}
Do you have a copy of the /cfcard/kmip/certs/CA.pem file? {y/n}
Do you have a copy of the /cfcard/kmip/servers.cfg file? {y/n}

Lorsque vous y êtes invité, entrez les informations sur le client et le serveur.

Afficher l'invite

Enter the client certificate (client.crt) file contents:
Enter the client key (client.key) file contents:
Enter the KMIP server CA(s) (CA.pem) file contents:
Enter the server configuration (servers.cfg) file contents:

Montrer l'exemple

Enter the client certificate (client.crt) file contents:
-----BEGIN CERTIFICATE-----
MIIDvjCCAqagAwIBAgICN3gwDQYJKoZIhvcNAQELBQAwgY8xCzAJBgNVBAYTAlVT
MRMwEQYDVQQIEwpDYWxpZm9ybmlhMQwwCgYDVQQHEwNTVkwxDzANBgNVBAoTBk5l
MSUbQusvzAFs8G3P54GG32iIRvaCFnj2gQpCxciLJ0qB2foiBGx5XVQ/Mtk+rlap
Pk4ECW/wqSOUXDYtJs1+RB+w0+SHx8mzxpbz3mXF/X/1PC3YOzVNCq5eieek62si
Fp8=
-----END CERTIFICATE-----

Enter the client key (client.key) file contents:
-----BEGIN RSA PRIVATE KEY-----
<key_value>
-----END RSA PRIVATE KEY-----

Enter the KMIP server CA(s) (CA.pem) file contents:
-----BEGIN CERTIFICATE-----
MIIEizCCA3OgAwIBAgIBADANBgkqhkiG9w0BAQsFADCBjzELMAkGA1UEBhMCVVMx
7yaumMQETNrpMfP+nQMd34y4AmseWYGM6qG0z37BRnYU0Wf2qDL61cQ3/jkm7Y94
EQBKG1NY8dVyjphmYZv+
-----END CERTIFICATE-----

Enter the IP address for the KMIP server: 10.10.10.10
Enter the port for the KMIP server [5696]:

System is ready to utilize external key manager(s).
Trying to recover keys from key servers....
kmip_init: configuring ports
Running command '/sbin/ifconfig e0M'
..
..
kmip_init: cmd: ReleaseExtraBSDPort e0M

Une fois que vous avez saisi les informations sur le client et le serveur, le processus de récupération se termine.

Montrer l'exemple

System is ready to utilize external key manager(s).
Trying to recover keys from key servers....
[Aug 29 21:06:28]: 0x808806100: 0: DEBUG: kmip2::main: [initOpenssl]:460: Performing initialization of OpenSSL
Successfully recovered keymanager secrets.

Sélectionnez l'option 1 dans le menu de démarrage pour poursuivre le démarrage dans ONTAP.

Afficher l'exemple d'invite

***********************************************************************************
* Select option "(1) Normal Boot." to complete the recovery process.
*
***********************************************************************************


(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 1

Si vous l'avez désactivée, restaurez le rétablissement automatique en saisissant la commande suivante.

storage failover modify -node local -auto-giveback true
Si AutoSupport est activé, restaurez la création automatique de dossiers en saisissant la commande suivante.

system node autosupport invoke -node * -type all -message MAINT=END

Restaurer le chiffrement - FAS2820

Creating your file...

Option 1 : restaurez la configuration du gestionnaire de clés intégré

Option 2 : restaurez la configuration du gestionnaire de clés externe