Skip to main content
すべてのクラウドプロバイダー
  • Amazon Web Services
  • Google Cloud
  • Microsoft Azure
  • すべてのクラウドプロバイダー
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

Azure Key Vault を使用してCloud Volumes ONTAP暗号化キーを管理する

共同作成者 netapp-manini
PDF

Azure Key Vault (AKV) を使用して、Azure にデプロイされたアプリケーション内のONTAP暗号化キーを保護できます。参照"Microsoftのドキュメント"。

AKV は、データ SVM のNetApp Volume Encryption (NVE) キーを保護するためにのみ使用できます。詳細については、 "ONTAPのドキュメント" 。

AKV によるキー管理は、CLI またはONTAP REST API を使用して有効にできます。

AKV を使用する場合、クラウド キー管理エンドポイントとの通信にはデフォルトでデータ SVM LIF が使用されることに注意してください。ノード管理ネットワークは、クラウド プロバイダーの認証サービス (login.microsoftonline.com) との通信に使用されます。クラスタ ネットワークが正しく設定されていないと、クラスタはキー管理サービスを適切に利用できません。

開始する前に

  • Cloud Volumes ONTAP はバージョン 9.10.1 以降を実行している必要があります

  • ボリューム暗号化 (VE) ライセンスがインストールされている (NetAppボリューム暗号化ライセンスは、 NetAppサポートに登録されている各Cloud Volumes ONTAPシステムに自動的にインストールされます)

  • マルチテナント暗号化キー管理（MT_EK_MGMT）ライセンスが必要です

  • クラスタ管理者またはSVM管理者である必要があります。

  • アクティブなAzureサブスクリプション

制限事項

  • AKVはデータSVMでのみ構成できます

  • NAE は AKV では使用できません。 NAE には外部でサポートされている KMIP サーバーが必要です。

  • Cloud Volumes ONTAPノードは、アクセス可能性とキーの可用性を確認するために 15 分ごとに AKV をポーリングします。このポーリング期間は構成不可能であり、ポーリング試行が 4 回連続して失敗すると (合計 1 時間)、ボリュームはオフラインになります。

構成プロセス

概要を説明する手順では、 Cloud Volumes ONTAP構成を Azure に登録する方法と、Azure Key Vault とキーを作成する方法について説明します。これらの手順をすでに完了している場合は、特に以下の設定が正しいことを確認してください。Azure Key Vault を作成する 、次に進みましょうCloud Volumes ONTAP構成。

Azure アプリケーション登録

  1. まず、 Cloud Volumes ONTAP がAzure Key Vault にアクセスするために使用する Azure サブスクリプションにアプリケーションを登録する必要があります。 Azure ポータル内で、アプリの登録 を選択します。

  2. 新規登録を選択します。

  3. アプリケーションの名前を指定し、サポートされているアプリケーションの種類を選択します。 Azure Key Vault の使用には、デフォルトの単一テナントで十分です。 登録を選択します。

  4. Azure の概要ウィンドウで、登録したアプリケーションを選択します。 アプリケーション (クライアント) ID と ディレクトリ (テナント) ID を安全な場所にコピーします。これらは、登録プロセスの後半で必要になります。

Azureクライアントシークレットを作成する

  1. Azure Key Vault アプリ登録用の Azure portal で、[証明書とシークレット] ペインを選択します。

  2. 新しいクライアント シークレット を選択します。クライアント シークレットに意味のある名前を入力します。 NetApp24 か月の有効期限を推奨していますが、特定のクラウド ガバナンス ポリシーによっては異なる設定が必要になる場合があります。

  3. 追加 をクリックしてクライアント シークレットを作成します。 値列にリストされている秘密の文字列をコピーし、後で使用するために安全な場所に保存します。Cloud Volumes ONTAP構成 。ページから移動すると、秘密の値は再び表示されなくなります。

Azure Key Vault を作成する

  1. 既存の Azure Key Vault がある場合は、それをCloud Volumes ONTAP構成に接続できます。ただし、このプロセスではアクセス ポリシーを設定に合わせて調整する必要があります。

  2. Azure ポータルで、Key Vaults セクションに移動します。

  3. [+ 作成] をクリックし、リソース グループ、リージョン、価格レベルなどの必要な情報を入力します。さらに、削除されたコンテナーを保持する日数を入力し、キー コンテナーで [消去保護を有効にする] を選択します。

  4. アクセス ポリシーを選択するには、[次へ] を選択します。

  5. 次のオプションを選択します。

    1. アクセス構成 で、Vault アクセス ポリシー を選択します。

    2. リソース アクセス で、ボリューム暗号化用の Azure Disk Encryption を選択します。

  6. アクセス ポリシーを追加するには、[+ 作成] を選択します。

  7. テンプレートから構成 の下で、ドロップダウン メニューをクリックし、キー、シークレット、および証明書の管理 テンプレートを選択します。

  8. 各ドロップダウン権限メニュー (キー、シークレット、証明書) を選択し、メニュー リストの上部にある [すべて選択] をクリックして、使用可能なすべての権限を選択します。次のものが必要です:

    • キー権限: 20個選択済み

    • 秘密の権限: 8 個選択済み

    • 証明書の権限: 16 個選択済み

      アクセス ポリシーを作成するために必要なすべての権限の選択を示すアクセス ポリシーの作成のスクリーンショット

  9. 次へ をクリックして、プリンシパル Azure登録アプリケーションを選択します。Azure アプリケーション登録 。次へを選択します。

    メモ ポリシーごとに割り当てることができるプリンシパルは 1 つだけです。

    アクセスポリシープリンシパルの作成タブのスクリーンショット

  10. [確認と作成] に到達するまで [次へ] を 2 回クリックします。次に、[作成] をクリックします。

  11. 次へ を選択して、ネットワーク オプションに進みます。

  12. 適切なネットワーク アクセス方法を選択するか、すべてのネットワーク と 確認 + 作成 を選択してキー コンテナーを作成します。 (ネットワーク アクセス方法は、ガバナンス ポリシーまたは企業のクラウド セキュリティ チームによって規定される場合があります。)

  13. Key Vault URI を記録します。作成した Key Vault で、[概要] メニューに移動し、右側の列から Vault URI をコピーします。これは後のステップで必要になります。

暗号化キーを作成する

  1. Cloud Volumes ONTAP用に作成した Key Vault のメニューで、[Keys] オプションに移動します。

  2. 新しいキーを作成するには、[生成/インポート] を選択します。

  3. デフォルト オプションは [生成] に設定したままにします。

  4. 次の情報を入力します。

    • 暗号化キー名

    • キータイプ: RSA

    • RSA鍵サイズ: 2048

    • 有効: はい

  5. 暗号化キーを作成するには、[作成] を選択します。

  6. キー メニューに戻り、作成したキーを選択します。

  7. キーのプロパティを表示するには、[現在のバージョン] の下のキー ID を選択します。

  8. キー識別子 フィールドを見つけます。 URI を 16 進文字列までコピーします (16 進文字列は含まれません)。

Azure Active Directory エンドポイントを作成する (HA のみ)

  1. このプロセスは、HA Cloud Volumes ONTAPシステム用に Azure Key Vault を構成する場合にのみ必要です。

  2. Azure ポータルで、仮想ネットワーク に移動します。

  3. Cloud Volumes ONTAPシステムを導入した仮想ネットワークを選択し、ページの左側にある [サブネット] メニューを選択します。

  4. リストからCloud Volumes ONTAPデプロイメントのサブネット名を選択します。

  5. サービス エンドポイント の見出しに移動します。ドロップダウン メニューで、以下を選択します。

    • Microsoft.AzureActiveDirectory

    • Microsoft.KeyVault

    • Microsoft.Storage (オプション)

      選択された 3 つのサービスを示すサービス エンドポイントのスクリーンショット

  6. 設定を保存するには、[保存] を選択します。

Cloud Volumes ONTAP構成

  1. 好みの SSH クライアントを使用してクラスタ管理 LIF に接続します。

  2. ONTAPで高度な権限モードに入ります。
    set advanced -con off

  3. 必要なデータ SVM を識別し、その DNS 構成を確認します。
    vserver services name-service dns show

    1. 目的のデータ SVM の DNS エントリが存在し、それに Azure DNS のエントリが含まれている場合は、アクションは必要ありません。そうでない場合は、Azure DNS、プライベート DNS、またはオンプレミス サーバーを指すデータ SVM の DNS サーバー エントリを追加します。これは、クラスタ管理 SVM のエントリと一致する必要があります。
      vserver services name-service dns create -vserver SVM_name -domains domain -name-servers IP_address

    2. データ SVM に対して DNS サービスが作成されたことを確認します。
      vserver services name-service dns show

  4. アプリケーションの登録後に保存されたクライアント ID とテナント ID を使用して Azure Key Vault を有効にします。
    security key-manager external azure enable -vserver SVM_name -client-id Azure_client_ID -tenant-id Azure_tenant_ID -name key_vault_URI -key-id full_key_URI

    メモ その `_full_key_URI`価値を活用する必要がある `<https:// <key vault host name>/keys/<key label>`形式。

  5. Azure Key Vaultの有効化に成功したら、 `client secret value`プロンプトが表示されたら。

  6. キー マネージャーのステータスを確認します。
    `security key-manager external azure check`出力は次のようになります。

    ::*> security key-manager external azure check

Vserver: data_svm_name
Node: akvlab01-01

Category: service_reachability
    Status: OK

Category: ekmip_server
    Status: OK

Category: kms_wrapped_key_status
    Status: UNKNOWN
    Details: No volumes created yet for the vserver. Wrapped KEK status will be available after creating encrypted volumes.

3 entries were displayed.

    もし `service_reachability`ステータスは `OK`SVM は、必要なすべての接続とアクセス許可を備えて Azure Key Vault サービスにアクセスできません。 Azure ネットワーク ポリシーとルーティングによって、プライベート vNet が Azure Key Vault パブリック エンドポイントに到達するのがブロックされないようにしてください。そうなる場合は、Azure プライベート エンドポイントを使用して、vNet 内から Key Vault にアクセスすることを検討してください。エンドポイントのプライベート IP アドレスを解決するには、SVM に静的ホスト エントリを追加する必要もあります。

    その `kms_wrapped_key_status`報告します `UNKNOWN`初期設定時。ステータスは次のように変わります `OK`最初のボリュームが暗号化された後。

  7. オプション: NVE の機能を検証するためのテスト ボリュームを作成します。

    vol create -vserver SVM_name -volume volume_name -aggregate aggr -size size -state online -policy default

    正しく設定されていれば、 Cloud Volumes ONTAP は自動的にボリュームを作成し、ボリュームの暗号化を有効にします。

  8. ボリュームが正しく作成され、暗号化されていることを確認します。もしそうなら、 -is-encrypted`パラメータは次のように表示されます `true。
    vol show -vserver SVM_name -fields is-encrypted

  9. オプション: Azure Key Vault 認証証明書の資格情報を更新する場合は、次のコマンドを使用します。
    security key-manager external azure update-credentials -vserver v1 -authentication-method certificate

関連リンク