NVEでは、メタデータとデータ（Snapshotを含む）の両方が暗号化されます。データへのアクセスは、ボリュームごとに1つずつ、固有のXTS-AES-256キーによって提供されます。外部のキー管理サーバーまたはOnboard Key Manager（OKM）がノードにキーを提供します：

ONTAP 9.7以降では、ボリューム暗号化（VE）ライセンスがあり、オンボードまたは外部のキーマネージャを使用している場合、アグリゲートとボリュームの暗号化がデフォルトで有効になっています。VEライセンスは"ONTAP One"に含まれています。外部またはオンボードのキーマネージャを設定すると、新しいアグリゲートと新しいボリュームの保存データの暗号化の設定方法が変わります。新しいアグリゲートでは、NetApp Aggregate Encryption（NAE）がデフォルトで有効になります。NAEアグリゲートの一部ではない新しいボリュームでは、NetApp Volume Encryption（NVE）がデフォルトで有効になります。データStorage Virtual Machine（SVM）にマルチテナントキー管理を使用する独自のキーマネージャが設定されている場合、そのSVM用に作成されたボリュームは自動的にNVEで設定されます。

新規ボリュームまたは既存ボリュームで暗号化を有効にすることができます。NVEは、重複排除や圧縮を含む、ストレージ効率化機能をすべてサポートしています。ONTAP 9.14.1以降では、既存のSVMルートボリュームでNVEを有にする。

NVEは、あらゆるタイプのアグリゲート（HDD、SSD、ハイブリッド、アレイLUN）、あらゆるRAIDタイプ、そしてONTAP Selectを含むサポートされているすべてのONTAP実装で使用できます。また、NVEをハードウェアベースの暗号化と組み合わせて使用することで、自己暗号化ドライブ上のデータを「二重暗号化」することもできます。

NVEを有効にすると、コア ダンプも暗号化されます。

通常、暗号化されたすべてのボリュームには一意のキーが割り当てられます。このキーは、ボリュームを削除すると一緒に削除されます。

ONTAP 9.6以降では、_NetApp Aggregate Encryption（NAE）_を使用して、暗号化するボリュームの包含アグリゲートにキーを割り当てることができます。暗号化されたボリュームを削除しても、アグリゲートのキーは保持されます。アグリゲート全体が削除されると、キーも削除されます。

アグリゲートレベルの重複排除をインラインまたはバックグラウンドで実行する場合は、アグリゲートレベルの暗号化を使用する必要があります。そうしないと、NVEでアグリゲートレベルの重複排除がサポートされません。

ONTAP 9.7以降では、Volume Encryption（VE）ライセンスがあり、オンボード / 外部キー マネージャを使用している場合、アグリゲートとボリュームの暗号化がデフォルトで有効になります。

NVEボリュームとNAEボリュームは同一アグリゲート内で共存できます。アグリゲートレベルの暗号化で暗号化されたボリュームは、デフォルトでNAEボリュームになります。このデフォルトの設定は、ボリュームを暗号化するときに無効にすることができます。

NAE ボリュームでは `secure purge`コマンドを使用できません。

オンボード キー マネージャを使用した方がコストもかからず一般的には便利ですが、次のいずれかに当てはまる場合はKMIPサーバを用意する必要があります。

外部キー管理のスコープによって、キー管理サーバの保護対象がクラスタ内の全SVMになるか、選択したSVMのみになるかが決まります。

同じクラスタで両方のスコープを使用できます。1つのSVMに対してキー管理サーバが設定されている場合は、それらのサーバのみを使用してキーが保護されます。そうでない場合は、クラスタに対して設定されたキー管理サーバでキーが保護されます。

検証済みの外部キーマネージャのリストは、"NetApp Interoperability Matrix Tool（IMT）"で入手できます。このリストは、IMTの検索機能に「キーマネージャ」と入力することで見つけることができます。

次の表に、NVEのサポートの詳細を示します。