Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

NetApp Volume EncryptionのONTAP外部キー管理について

共同作成者 netapp-andreajost netapp-bhouser netapp-barbe netapp-aaron-holt netapp-aoife netapp-ahibbard netapp-aherbin
PDF

クラスタが暗号化されたデータにアクセスするために使用する鍵を保護するために、1台以上の外部鍵管理サーバを使用できます。外部鍵管理サーバとは、ストレージ環境内のサードパーティ製システムであり、Key Management Interoperability Protocol（KMIP）を使用してノードに鍵を提供します。ONTAPは、オンボードキーマネージャに加えて、複数の外部鍵管理サーバをサポートしています。

ONTAP 9.10.1以降では、Azure Key Vault または Google Cloud Key Manager Serviceを使用してデータSVMのNVEキーを保護できます。ONTAP 9.11.1以降では、クラスタ内に複数の外部キーマネージャを設定できます。クラスタ化されたキーサーバを設定するを参照してください。ONTAP 9.12.0以降では、"AWSのKMS"を使用してデータSVMのNVEキーを保護できます。ONTAP 9.17.1以降では、OpenStackのBarbican KMSを使用してデータSVMのNVEキーを保護できます。

ONTAP 9.20.1以降では、外部KMIPキーマネージャを使用するクラスタ内のノードは、暗号化キーを相互に共有します。共有キーはAES-GCM-256で暗号化および認証されます。ONTAPがキーを共有する状況は次の2つです：

  • *鍵の作成。*ONTAPが新しいキーを作成する場合（たとえば、暗号化されたFlexVolボリューム、FlexGroupボリューム、またはアグリゲートを作成する場合）、キーを作成したノードはキーをキーサーバーに保存し、クラスタ内の他のすべてのノードに送信します。

  • *再起動後のキーの復元。*ノードが再起動する場合（たとえば、自動化された無停止アップグレード、テイクオーバーとギブバック、または計画外の再起動時）、ノードはHAパートナーからキーを復元します。ONTAPは、パートナーが提供できないキーについてのみ、キーサーバーに問い合わせます。パートナーがすべてのキーを保有している場合、キーサーバーが利用できない場合でもキーの復元を完了できます。

この動作は、新しいONTAP 9.20.1クラスタ、およびクラスタをONTAP 9.20.1にアップグレードした際に自動的に有効になります。

クラスタ内キー共有は、外部のKMIPキーマネージャにのみ適用されます。これは、オンボードキーマネージャ、Azure Key Vault、Google Cloud Key Management Service、AWS KMS、またはBarbicanでは使用されません。MetroClusterが設定されている場合は使用されません。再起動後にキーを復元するには、HAパートナーがオンライン状態であり、かつキー自体を保有している必要があります。