日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

OKM、NSE、NVE - ASA A800のリストア

10/11/2024 共同作成者

PDF

手順1：キー管理ツールをリストアする

この手順で最初に取得した設定を使用して、オンボードキーマネージャ（OKM）、NetAppストレージ暗号化（NSE）、またはNetAppボリューム暗号化（NVE）が有効になっているシステムに固有の手順を実行する必要があります。

オンボードまたは外部のキーマネージャと一緒にNSEまたはNVEが有効になっている場合は、この手順の最初に取得した設定をリストアする必要があります。

手順

コンソールケーブルをターゲットコントローラに接続します。
次のいずれかのオプションを選択して、ONATPブートメニューからオンボードキーマネージャの設定をリストアします。

オプション1：オンボードキーマネージャサーバ構成のシステム

ONATPブートメニューからオンボードキーマネージャの設定をリストアします。

作業を開始する前に

OKM設定をリストアするには、次の情報が必要です。

クラスタ全体のパスフレーズが入力されました "オンボードキー管理の有効化時"。
"オンボードキーマネージャのバックアップ情報"です。
続行する前に手順を実行して "オンボードキー管理のバックアップとクラスタ全体のパスフレーズを検証する方法" ください。

手順

ONTAPのブートメニューから、該当するオプションを選択します。

ONTAP 9 .8以降の場合は、オプション10を選択します。

Please choose one of the following:

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 10

ONTAP 9 .7以前の場合は、hidden optionコマンドを入力し `recover_onboard_keymanager`ます。

Please choose one of the following:

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
Selection (1-19)? recover_onboard_keymanager

プロセスの継続を確認してください。 This option must be used only in disaster recovery procedures. Are you sure? (y or n): `y
クラスタ全体のパスフレーズを2回入力します。

パスフレーズの入力中、コンソールに入力内容は表示されません。

Enter the passphrase for onboard key management:

Enter the passphrase again to confirm:

バックアップ情報を入力します。BEGIN BACKUP行からEND BACKUP行まで、すべての内容を貼り付けます。

入力の最後にあるENTERキーを2回押します。

Enter the backup data:

--------------------------BEGIN BACKUP--------------------------
0123456789012345678901234567890123456789012345678901234567890123
1234567890123456789012345678901234567890123456789012345678901234
2345678901234567890123456789012345678901234567890123456789012345
3456789012345678901234567890123456789012345678901234567890123456
4567890123456789012345678901234567890123456789012345678901234567
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
0123456789012345678901234567890123456789012345678901234567890123
1234567890123456789012345678901234567890123456789012345678901234
2345678901234567890123456789012345678901234567890123456789012345
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

---------------------------END BACKUP---------------------------

リカバリプロセスが完了します。

Trying to recover keymanager secrets....
Setting recovery material for the onboard key manager
Recovery secrets set successfully
Trying to delete any existing km_onboard.wkeydb file.

Successfully recovered keymanager secrets.

***********************************************************************************
* Select option "(1) Normal Boot." to complete recovery process.
*
* Run the "security key-manager onboard sync" command to synchronize the key database after the node reboots.
***********************************************************************************

表示された出力が以外の場合は、先に進まない `Successfully recovered keymanager secrets`でください。トラブルシューティングを実行してエラーを修正します。

ブートメニューからオプション1を選択して、ONTAPのブートを続行します。

***********************************************************************************
* Select option "(1) Normal Boot." to complete the recovery process.
*
***********************************************************************************


(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 1

コントローラのコンソールに Waiting for giveback…(Press Ctrl-C to abort wait)
パートナーノードから、パートナーコントローラをギブバックします storage failover giveback -fromnode local -only-cfo-aggregates true。
CFOアグリゲートでのみ起動したら、_security key-manager onboard syncコマンドを実行します。

オンボードキーマネージャのクラスタ全体のパスフレーズを入力します。

Enter the cluster-wide passphrase for the Onboard Key Manager:

All offline encrypted volumes will be brought online and the corresponding volume encryption keys (VEKs) will be restored automatically within 10 minutes. If any offline encrypted volumes are not brought online automatically, they can be brought online manually using the "volume online -vserver <vserver> -volume <volume_name>" command.

同期に成功すると、追加のメッセージは表示されずにクラスタプロンプトが返されます。同期に失敗すると、クラスタプロンプトに戻る前にエラーメッセージが表示されます。エラーが修正されて同期が正常に実行されるまで、続行しないでください。

すべてのキーが同期されていることを確認します。 security key-manager key query -restored false

There are no entries matching your query.

restoredパラメータでfalseをフィルタする場合、結果は表示されません。
パートナーからノードをギブバックします。 storage failover giveback -fromnode local

オプション2：外部キー管理サーバが設定されたシステム

ONATPブートメニューから外部キー管理ツールの設定をリストアします。

作業を開始する前に

外部キー管理ツール（EKM）の設定をリストアするには、次の情報が必要です。

別のクラスタノードの/cfcard/kmip/servers.cfgファイルのコピー、または次の情報。
- KMIPサーバのアドレス。
- KMIPポート。
- 別のクラスタノードの/cfcard/kmip/certs/client.crtファイルのコピー、またはクライアント証明書。
- 別のクラスタノードからの/cfcard/kmip/certs/client.keyファイルのコピー、またはクライアントキー。
- 別のクラスタノード（KMIPサーバCA）の/cfcard/kmip/certs/CA.pemファイルのコピー。

手順

ONTAPのブートメニューからオプション11を選択します。

(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 11

プロンプトが表示されたら、必要な情報を収集したことを確認します。
1. Do you have a copy of the /cfcard/kmip/certs/client.crt file? {y/n} y
2. Do you have a copy of the /cfcard/kmip/certs/client.key file? {y/n} y
3. Do you have a copy of the /cfcard/kmip/certs/CA.pem file? {y/n} y
4. Do you have a copy of the /cfcard/kmip/servers.cfg file? {y/n} y
  
  代わりに次のプロンプトを使用することもできます。
5. Do you have a copy of the /cfcard/kmip/servers.cfg file? {y/n} n
  1. Do you know the KMIP server address? {y/n} y
  2. Do you know the KMIP Port? {y/n} y

次の各プロンプトの情報を入力します。

クライアント証明書（client.crt）ファイルの内容を入力します：_
クライアントキー(client.key)ファイルの内容を入力します。
KMIPサーバCA（CA.pem）ファイルの内容を入力します：_
サーバー設定(servers.cfg)ファイルの内容を入力します。_

Example

Enter the client certificate (client.crt) file contents:
-----BEGIN CERTIFICATE-----
MIIDvjCCAqagAwIBAgICN3gwDQYJKoZIhvcNAQELBQAwgY8xCzAJBgNVBAYTAlVT
MRMwEQYDVQQIEwpDYWxpZm9ybmlhMQwwCgYDVQQHEwNTVkwxDzANBgNVBAoTBk5l
MSUbQusvzAFs8G3P54GG32iIRvaCFnj2gQpCxciLJ0qB2foiBGx5XVQ/Mtk+rlap
Pk4ECW/wqSOUXDYtJs1+RB+w0+SHx8mzxpbz3mXF/X/1PC3YOzVNCq5eieek62si
Fp8=
-----END CERTIFICATE-----

Enter the client key (client.key) file contents:
-----BEGIN RSA PRIVATE KEY-----
MIIEpQIBAAKCAQEAoU1eajEG6QC2h2Zih0jEaGVtQUexNeoCFwKPoMSePmjDNtrU
MSB1SlX3VgCuElHk57XPdq6xSbYlbkIb4bAgLztHEmUDOkGmXYAkblQ=
-----END RSA PRIVATE KEY-----

Enter the KMIP server CA(s) (CA.pem) file contents:
-----BEGIN CERTIFICATE-----
MIIEizCCA3OgAwIBAgIBADANBgkqhkiG9w0BAQsFADCBjzELMAkGA1UEBhMCVVMx
7yaumMQETNrpMfP+nQMd34y4AmseWYGM6qG0z37BRnYU0Wf2qDL61cQ3/jkm7Y94
EQBKG1NY8dVyjphmYZv+
-----END CERTIFICATE-----

Enter the IP address for the KMIP server: 10.10.10.10
Enter the port for the KMIP server [5696]:

System is ready to utilize external key manager(s).
Trying to recover keys from key servers....
kmip_init: configuring ports
Running command '/sbin/ifconfig e0M'
..
..
kmip_init: cmd: ReleaseExtraBSDPort e0M

リカバリプロセスが完了します。

System is ready to utilize external key manager(s).
Trying to recover keys from key servers....
[Aug 29 21:06:28]: 0x808806100: 0: DEBUG: kmip2::main: [initOpenssl]:460: Performing initialization of OpenSSL
Successfully recovered keymanager secrets.

ブートメニューからオプション1を選択して、ONTAPのブートを続行します。

***********************************************************************************
* Select option "(1) Normal Boot." to complete the recovery process.
*
***********************************************************************************


(1)  Normal Boot.
(2)  Boot without /etc/rc.
(3)  Change password.
(4)  Clean configuration and initialize all disks.
(5)  Maintenance mode boot.
(6)  Update flash from backup config.
(7)  Install new software first.
(8)  Reboot node.
(9)  Configure Advanced Drive Partitioning.
(10) Set Onboard Key Manager recovery secrets.
(11) Configure node for external key management.
Selection (1-11)? 1

手順2：ブートメディアの交換が完了します。

通常のブート後に最終チェックを実行してストレージをギブバックし、ブートメディアの交換プロセスを完了します。

コンソールの出力を確認します。

コンソールに表示される内容	作業
ログインプロンプト	手順6に進みます。
ギブバックを待っています	パートナーコントローラにログインします。 storage failover show_コマンドを使用して、ターゲットコントローラでギブバックの準備が完了していることを確認します。

コンソールに表示される内容

作業

ログインプロンプト

手順6に進みます。

ギブバックを待っています

パートナーコントローラにログインします。
storage failover show_コマンドを使用して、ターゲットコントローラでギブバックの準備が完了していることを確認します。

パートナーコントローラにコンソールケーブルを接続し、_storage failover giveback -fromnode local-only -cfo-aggregates true_コマンドを使用してターゲットコントローラストレージをギブバックします。
- ディスク障害のためにコマンドが失敗した場合は、ディスクを物理的に取り外します。ただし、交換用のディスクを受け取るまでは、ディスクをスロットに残しておきます。
- パートナーの準備ができていないためにコマンドが失敗した場合は、HAサブシステムがパートナー間で同期されるまで5分待ちます。
- NDMP 、 SnapMirror 、または SnapVault のプロセスが原因でコマンドが失敗する場合は、そのプロセスを無効にします。詳細については、該当するドキュメントセンターを参照してください。
3分待ってから、_storage failover show_コマンドを使用してフェイルオーバーステータスを確認します。
clustershellプロンプトで_network interface show -is-home false_commandを入力して、ホームコントローラおよびポートにない論理インターフェイスを一覧表示します。

と表示されるインターフェイスがある場合は false、_net int revert -vserver Cluster -lif_nodename _コマンドを使用して、それらのインターフェイスをホームポートに戻します。
ターゲットコントローラにコンソールケーブルを接続し、_version -v_コマンドを実行してONTAPのバージョンを確認します。
を使用し storage encryption disk show て出力を確認します。
security key-manager key query_コマンドを使用して、キー管理サーバに格納されている認証キーのキーIDを表示します。
- リストアされたカラム = 'yes/true' の場合は ' 終了し ' 交換プロセスを完了することができます
- =と列が以外の場合 Key Manager type external Restored `yes/true`は、_security key-manager external restore_commandを使用して認証キーのキーIDをリストアします。
  
  コマンドが失敗した場合は、カスタマーサポートにお問い合わせください。
- =と列が以外の場合 Key Manager type onboard Restored `yes/true`は、_security key-manager onboard sync_コマンドを使用して、修復されたノードで不足しているオンボードキーを同期します。
  
  security key-manager key query_commandを使用して、すべての認証キーの列が=であることを確認します Restored yes/true 。
パートナーコントローラにコンソールケーブルを接続します。
storage failover giveback -fromnode local コマンドを使用して、コントローラをギブバックします。
自動ギブバックを無効にした場合は、_storage failover modify -node local-auto-giveback true_コマンドを使用してリストアします。
AutoSupportが有効になっている場合は、_system node AutoSupport invoke -node *-type all -message MAINT=end_commandを使用して、ケースの自動作成をリストアまたは抑制解除します。

OKM、NSE、NVE - ASA A800のリストア

Creating your file...

手順1：キー管理ツールをリストアする

手順2：ブートメディアの交換が完了します。