StorageGRID キー管理サーバとアプライアンスの設定
変更を提案
PDF
キー管理サーバー（KMS）を使用してアプライアンスノード上の StorageGRID データを保護するには、2 つの構成タスクを完了する必要があります。1 つ以上の KMS サーバーをセットアップし、アプライアンスノードのノード暗号化を有効にします。これら 2 つの構成タスクが完了すると、キー管理プロセスが自動的に実行されます。
このフローチャートは、KMS を使用してアプライアンスノード上の StorageGRID データを保護するための概要手順を示しています。
フローチャートでは、KMSの設定とアプライアンスの設定が並行して行われるように示されていますが、要件に応じて、新しいアプライアンスノードのノード暗号化を有効にする前または後にキー管理サーバーを設定することもできます。
キー管理サーバー（KMS）をセットアップする
キー管理サーバーの設定には、以下の概要手順が含まれます。
| 手順 | 参照先 |
|---|---|
KMS ソフトウェアにアクセスし、各 KMS または KMS クラスタに StorageGRID のクライアントを追加します。 |
|
KMS 上の StorageGRID クライアントに必要な情報を取得します。 |
|
Grid Manager に KMS を追加し、単一のサイトまたはデフォルトのサイトグループに割り当て、必要な証明書をアップロードして、KMS 構成を保存します。 |
機器をセットアップする
KMSで使用するアプライアンスノードの設定には、以下の概要手順が含まれます。
-
アプライアンスのインストールにおけるハードウェア構成段階では、StorageGRID Appliance Installer を使用して、アプライアンスの「ノード暗号化」設定を有効にします。
アプライアンスをグリッドに追加した後では、*ノード暗号化*設定を有効にすることはできません。また、ノード暗号化が有効になっていないアプライアンスに対しては、外部キー管理を使用することはできません。 -
StorageGRID アプライアンスインストーラを実行します。インストール中に、ランダムなデータ暗号化キー（DEK）が各アプライアンスボリュームに次のように割り当てられます。
-
DEKは、各ボリューム上のデータを暗号化するために使用されます。これらのキーは、アプライアンス OS の Linux Unified Key Setup （LUKS） ディスク暗号化を使用して生成されるため、変更することはできません。
-
各 DEK は、マスターキー暗号化キー（KEK）によって暗号化されます。初期 KEK は、アプライアンスが KMS に接続できるようになるまで DEK を暗号化するための一時的なキーです。
-
-
アプライアンスノードをStorageGRIDに追加します。
詳細については、 "ノード暗号化を有効にする"を参照してください。
鍵管理暗号化プロセス（自動的に実行されます）
キー管理暗号化には、自動的に実行される以下の概要手順が含まれます。
-
ノード暗号化が有効になっているアプライアンスをグリッドにインストールすると、StorageGRID は新しいノードを含むサイトに KMS 構成が存在するかどうかを判断します。
-
サイトに対して既にKMSが設定されている場合、アプライアンスはKMSの設定を受信します。
-
サイトに対してKMSがまだ構成されていない場合、サイトに対してKMSを構成し、アプライアンスがKMS構成を受信するまで、アプライアンス上のデータは一時的なKEKによって暗号化され続けます。
-
-
アプライアンスは KMS 構成を使用して KMS に接続し、暗号化キーを要求します。
-
KMS は暗号化キーをアプライアンスに送信します。KMS から取得した新しいキーは一時的な KEK に取って代わり、アプライアンスボリュームの DEK の暗号化と復号化に使用されるようになります。
暗号化されたアプライアンスノードが構成済みのKMSに接続する前に存在するデータはすべて、一時的なキーで暗号化されます。ただし、一時キーがKMSの暗号化キーに置き換えられるまでは、アプライアンスボリュームはデータセンターからの持ち出しから保護されているとはみなすべきではありません。 -
機器の電源がオンになったり再起動されたりすると、KMS に再接続してキーを要求します。揮発性メモリに保存されているキーは、電源喪失や再起動によって失われます。