Skip to main content
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Gestire le chiavi NVE per le SVM dei dati ONTAP con un provider cloud

Collaboratori netapp-ahibbard netapp-andreajost netapp-aaron-holt netapp-dbagwell netapp-bhouser netapp-lenida netapp-thomi
PDF

A partire da ONTAP 9.10.1, puoi utilizzare "Azure Key Vault (AKV)" e "Servizio di gestione delle chiavi di Google Cloud Platform (Cloud KMS)"proteggere le chiavi di crittografia ONTAP in un'applicazione ospitata su cloud. A partire da ONTAP 9.12.0, è anche possibile proteggere le chiavi NVE con "KMS DI AWS".

AWS KMS, AKV e Cloud KMS possono essere utilizzati per proteggere "Chiavi NetApp Volume Encryption (NVE)" Solo per SVM di dati.

Nota

A partire da ONTAP 9.20.1, quando abiliti un gestore di chiavi cloud su una SVM dati che gestisce già volumi crittografati tramite il gestore di chiavi con ambito amministrativo, ONTAP migra automaticamente tali chiavi NVE al nuovo gestore di chiavi della SVM dati. In questo flusso di lavoro, non devi eseguire un comando `security key-manager key migrate`separato.

Questa migrazione automatica si applica agli SVM di dati. Se stai eseguendo la transizione dell'SVM di amministrazione dalla gestione delle chiavi integrata o dalla gestione delle chiavi esterne a livello di cluster a un gestore di chiavi cloud per SVM di dati, completa prima le attività di transizione appropriate nell'ambito di amministrazione.
A proposito di questa attività

La gestione delle chiavi con un provider cloud può essere abilitata con l'interfaccia CLI o l'API REST ONTAP.

Quando si utilizza un cloud provider per proteggere le chiavi, tenere presente che per impostazione predefinita viene utilizzata una LIF SVM dati per comunicare con l'endpoint di gestione delle chiavi cloud. Una rete di gestione dei nodi viene utilizzata per comunicare con i servizi di autenticazione del provider cloud (login.microsoftonline.com per Azure; oauth2.googleapis.com per Cloud KMS). Se la rete cluster non è configurata correttamente, il cluster non utilizzerà correttamente il servizio di gestione delle chiavi.

Quando si utilizza un servizio di gestione delle chiavi di un provider cloud, è necessario tenere presenti le seguenti limitazioni:

  • La gestione delle chiavi con cloud provider non è disponibile per crittografia dello storage NetApp (NSE) e crittografia aggregata di NetApp (NAE). "KMIP esterni" può essere utilizzato in alternativa.

  • La gestione delle chiavi del provider cloud non è disponibile per le configurazioni MetroCluster.

  • La gestione delle chiavi del cloud provider può essere configurata solo su una SVM dati.

Prima di iniziare

  • È necessario aver configurato il KMS sul cloud provider appropriato.

  • I nodi del cluster ONTAP devono supportare NVE.

  • "È necessario aver installato le licenze Volume Encryption (VE) e Encryption Key Management (MTEKM) multi-tenant". Queste licenze sono incluse in "ONTAP uno".

  • Devi essere un amministratore del cluster o di SVM.

  • Per ONTAP 9.20.1 e versioni successive, un SVM di dati può includere volumi crittografati se le relative chiavi NVE sono gestite dal gestore delle chiavi con ambito amministrativo. ONTAP migra automaticamente tali chiavi durante l'operazione di abilitazione. Per le versioni precedenti, devi migrare le chiavi prima di configurare il gestore delle chiavi cloud.

Abilitare la gestione esterna delle chiavi

L'attivazione della gestione esterna delle chiavi dipende dal gestore specifico delle chiavi utilizzato. Scegliere la scheda del gestore delle chiavi e dell'ambiente appropriati.

AWS
Prima di iniziare

  • È necessario creare una concessione per la chiave AWS KMS che verrà utilizzata dal ruolo IAM che gestisce la crittografia. Il ruolo IAM deve includere una policy che consenta le seguenti operazioni:

    • DescribeKey

    • Encrypt

    • Decrypt

      Per ulteriori informazioni, consulta la documentazione AWS per "sovvenzioni".

Abilitare AWS KMV su una SVM ONTAP

  1. Prima di iniziare, procurarsi l'ID della chiave di accesso e la chiave segreta da AWS KMS.

  2. Impostare il livello di privilegio su Advanced (avanzato): set -priv advanced

  3. Abilitare AWS KMS: security key-manager external aws enable -vserver svm_name -region AWS_region -key-id key_ID -encryption-context encryption_context

  4. Quando richiesto, inserire la chiave segreta.

  5. Verificare che AWS KMS sia stato configurato correttamente: security key-manager external aws show -vserver svm_name

    Ulteriori informazioni su security key-manager external aws nella "Riferimento al comando ONTAP".

Azure
Abilitare il vault delle chiavi Azure su una SVM ONTAP

  1. Prima di iniziare, devi ottenere le credenziali per l'autenticazione dal tuo account Azure, ovvero un client secret o un certificato. Devi anche assicurarti che tutti i nodi del cluster siano integri. Puoi verificarlo con il comando cluster show. Scopri di più su cluster show nella "Riferimento al comando ONTAP".

  2. Impostare il livello di privilegi su avanzato set -priv advanced

  3. Abilita AKV sull'SVM A partire da ONTAP 9.19.1, usa: security key-manager external azure create-config -config-name config_name -client-id client_id -tenant-id tenant_id -name URL -key-id key_id -authentication-method {certificate|client-secret} -vserver vserver_name seguito da: security key-manager keystore enable -vserver vserver_name -keystore-type AKV -config-name config_name Per ONTAP 9.18.1 e versioni precedenti, usa: security key-manager external azure enable -client-id client_id -tenant-id tenant_id -name name -key-id key_id -authentication-method {certificate|client-secret} -vserver vserver_name Quando richiesto, inserisci il certificato client o il client secret dal tuo account Azure.

  4. Verificare che AKV sia attivato correttamente: security key-manager external azure show vserver svm_name Se la raggiungibilità del servizio non è corretta, stabilire la connettività con il servizio di gestione delle chiavi AKV tramite data SVM LIF.

    Ulteriori informazioni su security key-manager external azure nella "Riferimento al comando ONTAP".

Google Cloud
Abilitare KMS cloud su una SVM ONTAP

  1. Prima di iniziare, ottenere la chiave privata per il file delle chiavi dell'account Google Cloud KMS in formato JSON. Questo è disponibile nel tuo account GCP. È inoltre necessario garantire che tutti i nodi del cluster siano integri. È possibile verificarlo con il comando cluster show. Ulteriori informazioni su cluster show nella "Riferimento al comando ONTAP".

  2. Impostare il livello di privilegi su avanzato: set -priv advanced

  3. Abilitare Cloud KMS su SVM security key-manager external gcp enable -vserver svm_name -project-id project_id-key-ring-name key_ring_name -key-ring-location key_ring_location -key-name key_name Quando richiesto, inserire il contenuto del file JSON con la chiave privata dell'account di servizio

  4. Verificare che Cloud KMS sia configurato con i parametri corretti: security key-manager external gcp show vserver svm_name Lo stato di kms_wrapped_key_status sarà "UNKNOWN" se non sono stati creati volumi crittografati. Se la raggiungibilità del servizio non è corretta, stabilire la connettività al servizio di gestione delle chiavi GCP tramite dati SVM LIF.

    Ulteriori informazioni su security key-manager external gcp nella "Riferimento al comando ONTAP".

A partire da ONTAP 9.20.1, se uno o più volumi crittografati sono già configurati per un SVM dati e le relative chiavi NVE sono gestite dal gestore delle chiavi con ambito amministrativo, ONTAP migra automaticamente tali chiavi durante l'operazione di abilitazione. Non devi eseguire un comando separato security key-manager key migrate.

Per le versioni di ONTAP precedenti alla 9.20.1, devi migrare queste chiavi al Key Management Service esterno. Per farlo con la CLI, esegui il comando: security key-manager key migrate -from-Vserver admin_SVM -to-Vserver data_SVM

Non è possibile creare nuovi volumi crittografati per la SVM dati del tenant finché tutte le chiavi NVE della SVM dati non sono state migrate correttamente.

Informazioni correlate