Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

NetAppハードウェアベースの暗号化の設定の概要

共同作成者
PDF

NetAppのハードウェアベースの暗号化では、データの書き込み時のフルディスク暗号化（FDE）がサポートされます。ファームウェアに保存されている暗号化キーがないとデータを読み取ることはできません。暗号化キーには、認証されたノードだけがアクセスできます。

NetAppハードウェアベースの暗号化の概要

ノードは、外部キー管理サーバまたはオンボードキーマネージャから取得した認証キーを使用して自己暗号化ドライブへの認証を行います。

  • 外部キー管理サーバはストレージ環境に配置されたサードパーティのシステムで、Key Management Interoperability Protocol（KMIP）を使用してノードにキーを提供します。外部キー管理サーバは、データとは別のストレージシステムに設定することを推奨します。

  • オンボードキーマネージャは組み込みのツールで、データと同じストレージシステムからノードに認証キーを提供します。

NetApp Volume Encryption をハードウェアベースの暗号化とともに使用すると、自己暗号化ドライブのデータを「暗号化」できます。

自己暗号化ドライブが有効な場合は、コアダンプも暗号化されます。

メモ HAペアで暗号化SASドライブまたはNVMeドライブ（SED、NSE、FIPS）を使用している場合は、システムを初期化する前に、HAペア内のすべてのドライブに関連するトピックの手順に従う必要がありますFIPSドライブまたはSEDを非保護モードに戻す（ブートオプション4または9）。これを行わないと、ドライブを転用した場合にデータが失われる可能性があります。

サポートされている自己暗号化ドライブのタイプ

2種類の自己暗号化ドライブがサポートされています。

  • すべてのFASシステムおよびAFFシステムで、自己暗号化機能を備えたFIPS認定のSASドライブまたはNVMeドライブがサポートされます。これらのドライブは _FIPS ドライブと呼ばれ、 Federal Information Processing Standard Publication 140-2 レベル 2 の要件に準拠しています。認定された機能により、ドライブに対するサービス拒否攻撃の防止など、暗号化に加えて保護も可能になります。FIPSドライブは、同じノードまたはHAペアで他のタイプのドライブと混在させることはできません。

  • ONTAP 9 .6以降では、FIPSテストが完了していない自己暗号化NVMeドライブがAFF A800、A320、およびそれ以降のシステムでサポートされます。これらのドライブは_SED _と呼ばれ、FIPSドライブと同じ暗号化機能を提供しますが、同じノードまたはHAペアで非暗号化ドライブと混在させることもできます。

  • FIPS検証済みドライブはすべて、FIPS検証済みのファームウェア暗号化モジュールを使用します。FIPSドライブ暗号化モジュールは、ドライブ外で生成されたキーを使用しません（ドライブに入力された認証パスフレーズは、ドライブのファームウェア暗号化モジュールがキー暗号化キーを取得するために使用されます）。

メモ 非暗号化ドライブは、SEDまたはFIPSドライブではないドライブです。
メモ Flash Cacheモジュールを搭載したシステムでNSEを使用する場合は、NVEまたはNAEも有効にする必要があります。NSEでは、Flash Cacheモジュール上のデータは暗号化されません。

外部キー管理を使用する状況

オンボード キー マネージャを使用した方がコストもかからず一般的には便利ですが、次のいずれかに当てはまる場合は外部キー管理を使用する必要があります。

  • 組織のポリシーで、FIPS 140-2レベル2（以上）の暗号化モジュールを使用するキー管理ソリューションが求められる場合。

  • 暗号化キーを一元管理できるマルチクラスタソリューションが必要です。

  • 認証キーをデータとは別のシステムや場所に格納してセキュリティを強化する必要がある場合。

サポートの詳細

次の表に、重要なハードウェア暗号化のサポートの詳細を示します。サポート対象のKMIPサーバ、ストレージ システム、ディスク シェルフの最新情報については、Interoperability Matrixを参照してください。

リソースまたは機能

サポートの詳細

異なるタイプのディスクの混在

  • FIPSドライブは、同じノードまたはHAペアで他のタイプのドライブと混在させることはできません。準拠したHAペアと準拠していないHAペアを同じクラスタに共存させることは可能です。

  • SEDは、同じノードまたはHAペアで非暗号化ドライブと混在させることができます。

ドライブ タイプ

  • FIPSドライブには、SASドライブまたはNVMeドライブを使用できます。

  • SEDは、NVMeドライブである必要があります。

10Gbネットワーク インターフェイス

ONTAP 9.3以降では、KMIPを使用したキー管理の設定で外部キー管理サーバとの通信に10Gbネットワーク インターフェイスがサポートされます。

キー管理サーバとの通信用のポート

ONTAP 9.3以降では、任意のストレージ コントローラ ポートを使用してキー管理サーバと通信できます。それ以外の場合は、キー管理サーバとの通信にポートe0Mを使用する必要があります。ストレージ コントローラのモデルによっては、ブート プロセス時に一部のネットワーク インターフェイスをキー管理サーバとの通信に使用できない場合があります。

MetroCluster（MCC）

  • NVMeドライブではMCCがサポートされます。

  • SASドライブではMCCがサポートされません。

ハードウェアベースの暗号化のワークフロー

自己暗号化ドライブに対してクラスタを認証するには、キー管理サービスを設定する必要があります。外部キー管理サーバまたはオンボード キー マネージャを使用できます。

ハードウェアベースの暗号化のワークフロー

関連情報