La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Abilitare la gestione esterna delle chiavi in ONTAP 9.6 e versioni successive (NVE)

09/14/2023 Collaboratori

PDF

È possibile utilizzare uno o più server KMIP per proteggere le chiavi utilizzate dal cluster per accedere ai dati crittografati. A partire da ONTAP 9.6, è possibile configurare un gestore di chiavi esterno separato per proteggere le chiavi utilizzate da un SVM di dati per accedere ai dati crittografati.

A partire da ONTAP 9.11.1, è possibile aggiungere fino a 3 server chiavi secondari per server chiavi primario per creare un server chiavi in cluster. Per ulteriori informazioni, vedere Configurare i server di chiavi esterne in cluster.

A proposito di questa attività

È possibile collegare fino a quattro server KMIP a un cluster o a una SVM. Si consiglia di utilizzare almeno due server per la ridondanza e il disaster recovery.

L'ambito della gestione esterna delle chiavi determina se i server di gestione delle chiavi proteggono tutte le SVM nel cluster o solo le SVM selezionate:

È possibile utilizzare un ambito del cluster per configurare la gestione delle chiavi esterne per tutte le SVM nel cluster. L'amministratore del cluster ha accesso a tutte le chiavi memorizzate sui server.
A partire da ONTAP 9.6, è possibile utilizzare un ambito SVM per configurare la gestione delle chiavi esterne per una SVM di dati nel cluster. Questo è il meglio per gli ambienti multi-tenant in cui ciascun tenant utilizza una SVM (o un insieme di SVM) diversa per la distribuzione dei dati. Solo l'amministratore SVM di un determinato tenant ha accesso alle chiavi del tenant.
Per gli ambienti multi-tenant, installare una licenza per MT_EK_MGMT utilizzando il seguente comando:

system license add -license-code <MT_EK_MGMT license code>

Per la sintassi completa dei comandi, vedere la pagina man del comando.

È possibile utilizzare entrambi gli ambiti nello stesso cluster. Se i server di gestione delle chiavi sono stati configurati per una SVM, ONTAP utilizza solo questi server per proteggere le chiavi. In caso contrario, ONTAP protegge le chiavi con i server di gestione delle chiavi configurati per il cluster.

È possibile configurare la gestione delle chiavi integrata nell'ambito del cluster e la gestione delle chiavi esterne nell'ambito SVM. È possibile utilizzare security key-manager key migrate Comando per la migrazione delle chiavi dalla gestione delle chiavi integrata nell'ambito del cluster ai key manager esterni nell'ambito SVM.

Prima di iniziare

I certificati del server e del client SSL KMIP devono essere stati installati.
Per eseguire questa attività, è necessario essere un amministratore del cluster o di SVM.
Se si desidera attivare la gestione esterna delle chiavi per un ambiente MetroCluster, MetroCluster deve essere completamente configurato prima di attivare la gestione esterna delle chiavi.
In un ambiente MetroCluster, è necessario installare il certificato SSL KMIP su entrambi i cluster.

Fasi

Configurare la connettività del gestore delle chiavi per il cluster:

security key-manager external enable -vserver admin_SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

Il security key-manager external enable il comando sostituisce security key-manager setup comando. Se si esegue il comando al prompt di login del cluster, admin_SVM Per impostazione predefinita, viene impostata la SVM amministrativa del cluster corrente. Per configurare l'ambito del cluster, è necessario essere l'amministratore del cluster. È possibile eseguire security key-manager external modify comando per modificare la configurazione di gestione delle chiavi esterne.
In un ambiente MetroCluster, se si sta configurando la gestione esterna delle chiavi per la SVM amministrativa, è necessario ripetere security key-manager external enable sul cluster partner.

Il seguente comando abilita la gestione esterna delle chiavi per cluster1 con tre key server esterni. Il primo server chiavi viene specificato utilizzando il nome host e la porta, il secondo viene specificato utilizzando un indirizzo IP e la porta predefinita, mentre il terzo viene specificato utilizzando un indirizzo IPv6 e una porta:

clusterl::> security key-manager external enable -vserver cluster1 -key-servers ks1.local:15696,10.0.0.10,[fd20:8b1e:b255:814e:32bd:f35c:832c:5a09]:1234 -client-cert AdminVserverClientCert -server-ca-certs AdminVserverServerCaCert

Configurare un gestore delle chiavi e una SVM:

security key-manager external enable -vserver SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

Se si esegue il comando al prompt di accesso SVM, SVM Per impostazione predefinita, viene impostata la SVM corrente. Per configurare l'ambito di SVM, è necessario essere un amministratore del cluster o di SVM. È possibile eseguire security key-manager external modify comando per modificare la configurazione di gestione delle chiavi esterne.
In un ambiente MetroCluster, se si configura la gestione esterna delle chiavi per una SVM di dati, non è necessario ripetere security key-manager external enable sul cluster partner.

Il seguente comando abilita la gestione esterna delle chiavi per svm1 con un server a chiave singola in ascolto sulla porta predefinita 5696:

svm1l::> security key-manager external enable -vserver svm1 -key-servers keyserver.svm1.com -client-cert SVM1ClientCert -server-ca-certs SVM1ServerCaCert

Ripetere l'ultimo passaggio per eventuali SVM aggiuntive.

È inoltre possibile utilizzare security key-manager external add-servers Comando per configurare SVM aggiuntive. Il security key-manager external add-servers il comando sostituisce security key-manager add comando. Per la sintassi completa dei comandi, vedere la pagina man.

Verificare che tutti i server KMIP configurati siano connessi:

security key-manager external show-status -node node_name

Il security key-manager external show-status il comando sostituisce security key-manager show -status comando. Per la sintassi completa dei comandi, vedere la pagina man.

cluster1::> security key-manager external show-status

Node  Vserver  Key Server                                     Status
----  -------  ---------------------------------------        -------------
node1
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available
node2
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available

8 entries were displayed.

Facoltativamente, convertire volumi di testo normale in volumi crittografati.

volume encryption conversion start

Prima di convertire i volumi, è necessario configurare completamente un gestore di chiavi esterno. In un ambiente MetroCluster, è necessario configurare un gestore di chiavi esterno su entrambi i siti.

Abilitare la gestione esterna delle chiavi in ONTAP 9.6 e versioni successive (NVE)

Creating your file...