La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Abilita la gestione delle chiavi esterne per NVE in ONTAP 9.6 e versioni successive

11/05/2026 Collaboratori

PDF

Utilizzare i server KMIP per proteggere le chiavi utilizzate dal cluster per accedere ai dati crittografati. A partire da ONTAP 9.6, è possibile configurare un gestore di chiavi esterno separato per proteggere le chiavi utilizzate da una SVM di dati per accedere ai dati crittografati.

A partire da ONTAP 9.11.1, è possibile aggiungere fino a 3 server chiavi secondari per server chiavi primario per creare un server chiavi in cluster. Per ulteriori informazioni, vedere Configurare i server di chiavi esterne in cluster.

A proposito di questa attività

È possibile connettere fino a quattro server KMIP a un cluster o SVM. Utilizzare almeno due server per la ridondanza e il ripristino in caso di emergenza.

L'ambito della gestione esterna delle chiavi determina se i server di gestione delle chiavi proteggono tutte le SVM nel cluster o solo le SVM selezionate:

È possibile utilizzare un ambito del cluster per configurare la gestione delle chiavi esterne per tutte le SVM nel cluster. L'amministratore del cluster ha accesso a tutte le chiavi memorizzate sui server.
A partire da ONTAP 9.6, è possibile utilizzare un ambito SVM per configurare la gestione delle chiavi esterne per una SVM di dati nel cluster. Questo è il meglio per gli ambienti multi-tenant in cui ciascun tenant utilizza una SVM (o un insieme di SVM) diversa per la distribuzione dei dati. Solo l'amministratore SVM di un determinato tenant ha accesso alle chiavi del tenant.
Per gli ambienti multi-tenant, installare una licenza per MT_EK_MGMT utilizzando il seguente comando:

system license add -license-code <MT_EK_MGMT license code>

Ulteriori informazioni su system license add nella "Riferimento al comando ONTAP".

È possibile utilizzare entrambi gli ambiti nello stesso cluster. Se i server di gestione delle chiavi sono stati configurati per una SVM, ONTAP utilizza solo questi server per proteggere le chiavi. In caso contrario, ONTAP protegge le chiavi con i server di gestione delle chiavi configurati per il cluster.

È possibile configurare la gestione delle chiavi integrata nell'ambito del cluster e la gestione delle chiavi esterne nell'ambito SVM. È possibile utilizzare security key-manager key migrate Comando per la migrazione delle chiavi dalla gestione delle chiavi integrata nell'ambito del cluster ai key manager esterni nell'ambito SVM.

Ulteriori informazioni su security key-manager key migrate nella "Riferimento al comando ONTAP".

A partire da ONTAP 9.20.1, quando configuri un gestore di chiavi esterno su una SVM dati, ONTAP può migrare automaticamente tutte le chiavi NVE attualmente gestite dal gestore di chiavi con ambito amministrativo. In questo flusso di lavoro, non devi eseguire un comando security key-manager key migrate separato.

Se il data SVM contiene già volumi crittografati, ONTAP migra le chiavi durante l'operazione di abilitazione. Il keystore passa direttamente dallo stato inattivo a quello attivo senza richiedere una fase di migrazione separata.

Questo flusso di lavoro è supportato solo per le SVM dei dati. Non è supportato per la SVM di amministrazione (ambito del cluster).

Prima di iniziare

I certificati del server e del client SSL KMIP devono essere stati installati.
Il server KMIP deve essere raggiungibile dal LIF di gestione dei nodi di ciascun nodo.
Per eseguire questa attività, è necessario essere un amministratore del cluster o di SVM.
In un ambiente MetroCluster :
- MetroCluster deve essere completamente configurato prima di abilitare la gestione delle chiavi esterne.
- È necessario installare lo stesso certificato SSL KMIP su entrambi i cluster.
- Su entrambi i cluster deve essere configurato un gestore delle chiavi esterno.

Fasi

Configurare la connettività del gestore delle chiavi per il cluster:

security key-manager external enable -vserver admin_SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

Il comando security key-manager external enable sostituisce il comando security key-manager setup a partire da ONTAP 9.6. Se esegui il comando al prompt di accesso del cluster, admin_SVM corrisponde per impostazione predefinita all'SVM amministrativa del cluster corrente. Puoi eseguire il comando security key-manager external modify per modificare la configurazione della gestione delle chiavi esterne.

Il seguente comando abilita la gestione esterna delle chiavi per cluster1 con tre key server esterni. Il primo server chiavi viene specificato utilizzando il nome host e la porta, il secondo viene specificato utilizzando un indirizzo IP e la porta predefinita, mentre il terzo viene specificato utilizzando un indirizzo IPv6 e una porta:

clusterl::> security key-manager external enable -vserver cluster1 -key-servers ks1.local:15696,10.0.0.10,[fd20:8b1e:b255:814e:32bd:f35c:832c:5a09]:1234 -client-cert AdminVserverClientCert -server-ca-certs AdminVserverServerCaCert

Configura un gestore delle chiavi per un SVM:

security key-manager external enable -vserver SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

Se si esegue il comando al prompt di accesso SVM, SVM per impostazione predefinita è l'SVM corrente. Puoi eseguire il security key-manager external modify comando per modificare la configurazione della gestione delle chiavi esterne.
In un ambiente MetroCluster, se si configura la gestione esterna delle chiavi per una SVM di dati, non è necessario ripetere security key-manager external enable sul cluster partner.

Il seguente comando abilita la gestione esterna delle chiavi per svm1 con un server a chiave singola in ascolto sulla porta predefinita 5696:

svm1l::> security key-manager external enable -vserver svm1 -key-servers keyserver.svm1.com -client-cert SVM1ClientCert -server-ca-certs SVM1ServerCaCert

Ripetere l'ultimo passaggio per eventuali SVM aggiuntive.

Puoi anche utilizzare il security key-manager external add-servers`comando per configurare SVM aggiuntivi. Il `security key-manager external add-servers`comando sostituisce il `security key-manager add`comando a partire da ONTAP 9.6. Scopri di più su `security key-manager external add-servers nella "Riferimento al comando ONTAP".

Verificare che tutti i server KMIP configurati siano connessi:

security key-manager external show-status -node node_name

Il security key-manager external show-status comando sostituisce il security key-manager show -status comando a partire da ONTAP 9.6. Scopri di più su security key-manager external show-status nella "Riferimento al comando ONTAP".

cluster1::> security key-manager external show-status

Node  Vserver  Key Server                                     Status
----  -------  ---------------------------------------        -------------
node1
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available
node2
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available

8 entries were displayed.

Facoltativamente, convertire volumi di testo normale in volumi crittografati.

volume encryption conversion start

Prima di convertire i volumi, è necessario configurare completamente un gestore di chiavi esterno.

Informazioni correlate

Abilita la gestione delle chiavi esterne per NVE in ONTAP 9.6 e versioni successive

Creating your file...