Skip to main content
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Abilitare la gestione esterna delle chiavi in ONTAP 9.6 e versioni successive (NVE)

Collaboratori
PDF

È possibile utilizzare uno o più server KMIP per proteggere le chiavi utilizzate dal cluster per accedere ai dati crittografati. A partire da ONTAP 9.6, è possibile configurare un gestore di chiavi esterno separato per proteggere le chiavi utilizzate da un SVM di dati per accedere ai dati crittografati.

A partire da ONTAP 9.11.1, è possibile aggiungere fino a 3 server chiavi secondari per server chiavi primario per creare un server chiavi in cluster. Per ulteriori informazioni, vedere Configurare i server di chiavi esterne in cluster.

A proposito di questa attività

È possibile collegare fino a quattro server KMIP a un cluster o a una SVM. Si consiglia di utilizzare almeno due server per la ridondanza e il disaster recovery.

L'ambito della gestione esterna delle chiavi determina se i server di gestione delle chiavi proteggono tutte le SVM nel cluster o solo le SVM selezionate:

  • È possibile utilizzare un ambito del cluster per configurare la gestione delle chiavi esterne per tutte le SVM nel cluster. L'amministratore del cluster ha accesso a tutte le chiavi memorizzate sui server.

  • A partire da ONTAP 9.6, è possibile utilizzare un ambito SVM per configurare la gestione delle chiavi esterne per una SVM di dati nel cluster. Questo è il meglio per gli ambienti multi-tenant in cui ciascun tenant utilizza una SVM (o un insieme di SVM) diversa per la distribuzione dei dati. Solo l'amministratore SVM di un determinato tenant ha accesso alle chiavi del tenant.

  • Per gli ambienti multi-tenant, installare una licenza per MT_EK_MGMT utilizzando il seguente comando:

    system license add -license-code <MT_EK_MGMT license code>

    Ulteriori informazioni su system license add nella "Riferimento al comando ONTAP".

È possibile utilizzare entrambi gli ambiti nello stesso cluster. Se i server di gestione delle chiavi sono stati configurati per una SVM, ONTAP utilizza solo questi server per proteggere le chiavi. In caso contrario, ONTAP protegge le chiavi con i server di gestione delle chiavi configurati per il cluster.

È possibile configurare la gestione delle chiavi integrata nell'ambito del cluster e la gestione delle chiavi esterne nell'ambito SVM. È possibile utilizzare security key-manager key migrate Comando per la migrazione delle chiavi dalla gestione delle chiavi integrata nell'ambito del cluster ai key manager esterni nell'ambito SVM.

Prima di iniziare

  • I certificati del server e del client SSL KMIP devono essere stati installati.

  • Per eseguire questa attività, è necessario essere un amministratore del cluster o di SVM.

  • Se si desidera attivare la gestione esterna delle chiavi per un ambiente MetroCluster, MetroCluster deve essere completamente configurato prima di attivare la gestione esterna delle chiavi.

  • In un ambiente MetroCluster, è necessario installare lo stesso certificato SSL KMIP su entrambi i cluster.

Fasi

  1. Configurare la connettività del gestore delle chiavi per il cluster:

    security key-manager external enable -vserver admin_SVM -key-servers host_name|IP_address:port,…​ -client-cert client_certificate -server-ca-cert server_CA_certificates

    Nota

    • Il security key-manager external enable il comando sostituisce security key-manager setup comando. Se si esegue il comando al prompt di login del cluster, admin_SVM Per impostazione predefinita, viene impostata la SVM amministrativa del cluster corrente. Per configurare l'ambito del cluster, è necessario essere l'amministratore del cluster. È possibile eseguire security key-manager external modify comando per modificare la configurazione di gestione delle chiavi esterne.

    • In un ambiente MetroCluster, se si sta configurando la gestione esterna delle chiavi per la SVM amministrativa, è necessario ripetere security key-manager external enable sul cluster partner.

    Il seguente comando abilita la gestione esterna delle chiavi per cluster1 con tre key server esterni. Il primo server chiavi viene specificato utilizzando il nome host e la porta, il secondo viene specificato utilizzando un indirizzo IP e la porta predefinita, mentre il terzo viene specificato utilizzando un indirizzo IPv6 e una porta:

    clusterl::> security key-manager external enable -vserver cluster1 -key-servers ks1.local:15696,10.0.0.10,[fd20:8b1e:b255:814e:32bd:f35c:832c:5a09]:1234 -client-cert AdminVserverClientCert -server-ca-certs AdminVserverServerCaCert

  2. Configurare un gestore delle chiavi e una SVM:

    security key-manager external enable -vserver SVM -key-servers host_name|IP_address:port,…​ -client-cert client_certificate -server-ca-cert server_CA_certificates

    Nota

    • Se si esegue il comando al prompt di accesso SVM, SVM Per impostazione predefinita, viene impostata la SVM corrente. Per configurare l'ambito di SVM, è necessario essere un amministratore del cluster o di SVM. È possibile eseguire security key-manager external modify comando per modificare la configurazione di gestione delle chiavi esterne.

    • In un ambiente MetroCluster, se si configura la gestione esterna delle chiavi per una SVM di dati, non è necessario ripetere security key-manager external enable sul cluster partner.

    Il seguente comando abilita la gestione esterna delle chiavi per svm1 con un server a chiave singola in ascolto sulla porta predefinita 5696:

    svm1l::> security key-manager external enable -vserver svm1 -key-servers keyserver.svm1.com -client-cert SVM1ClientCert -server-ca-certs SVM1ServerCaCert

  3. Ripetere l'ultimo passaggio per eventuali SVM aggiuntive.

    Nota

    Inoltre, è possibile utilizzare il security key-manager external add-servers comando per configurare SVM aggiuntive. Il security key-manager external add-servers comando sostituisce il security key-manager add comando. Ulteriori informazioni su security key-manager external add-servers nella "Riferimento al comando ONTAP".

  4. Verificare che tutti i server KMIP configurati siano connessi:

    security key-manager external show-status -node node_name

    Nota

    Il security key-manager external show-status comando sostituisce il security key-manager show -status comando. Ulteriori informazioni su security key-manager external show-status nella "Riferimento al comando ONTAP".

    		 
    cluster1::> security key-manager external show-status

Node  Vserver  Key Server                                     Status
----  -------  ---------------------------------------        -------------
node1
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available
node2
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available

8 entries were displayed.

  5. Facoltativamente, convertire volumi di testo normale in volumi crittografati.

    volume encryption conversion start

    Prima di convertire i volumi, è necessario configurare completamente un gestore di chiavi esterno. In un ambiente MetroCluster, è necessario configurare un gestore di chiavi esterno su entrambi i siti.