Skip to main content
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

使用System Manager管理外部密钥管理器

贡献者
PDF

从ONTAP 9.7开始、您可以使用板载密钥管理器存储和管理身份验证和加密密钥。从ONTAP 9.131开始、您还可以使用外部密钥管理器来存储和管理这些密钥。

板载密钥管理器将密钥存储在集群内部的安全数据库中并对其进行管理。其范围为集群。外部密钥管理器可在集群外部存储和管理密钥。其范围可以是集群或Storage VM。可以使用一个或多个外部密钥管理器。需满足以下条件：

  • 如果启用了板载密钥管理器、则无法在集群级别启用外部密钥管理器、但可以在Storage VM级别启用外部密钥管理器。

  • 如果在集群级别启用了外部密钥管理器、则无法启用板载密钥管理器。

使用外部密钥管理器时、每个Storage VM和集群最多可以注册四个主密钥服务器。每个主密钥服务器最多可与三个二级密钥服务器组成集群。

配置外部密钥管理器

要为Storage VM添加外部密钥管理器、您应在为Storage VM配置网络接口时添加可选网关。如果创建的Storage VM没有网络路由、则必须为外部密钥管理器明确创建路由。请参见 "创建LIF (网络接口)"。

步骤

您可以从System Manager中的不同位置开始配置外部密钥管理器。

  1. 要配置外部密钥管理器、请执行以下开始步骤之一。

    工作流

    导航

    开始步骤

    配置密钥管理器

    集群>*设置*

    滚动到*Security*部分。在*加密*下、选择 设置图标。选择*外部密钥管理器*。

    添加本地层

    存储>*层*

    选择*+添加本地层*。选中标有"配置密钥管理器"的复选框。选择*外部密钥管理器*。

    准备存储

    信息板

    在*容量*部分中，选择*准备存储*。 然后、选择"配置密钥管理器"。选择*外部密钥管理器*。

    配置加密(仅限Storage VM范围的密钥管理器)

    存储>*存储VM*

    选择 Storage VM 。选择*Settings*选项卡。在*安全性*下的*加密*部分中，选择 设置图标。

  2. 要添加主密钥服务器、请选择 +Add，然后填写“* IP地址或主机名*”和“端口”字段。

  3. 已安装的现有证书列在*KMIP服务器CA证书*和*KMIP客户端证书*字段中。 您可以执行以下任一操作：

    • 选择 …​ 下拉箭头 选择要映射到密钥管理器的已安装证书。(可以选择多个服务CA证书、但只能选择一个客户端证书。)

    • 选择*添加新证书*以添加尚未安装的证书并将其映射到外部密钥管理器。

    • 选择 …​ X 旁边的证书名称可删除不想映射到外部密钥管理器的已安装证书。

  4. 要添加辅助密钥服务器，请在*辅助密钥服务器*列中选择*Add*，并提供其详细信息。

  5. 选择*保存*以完成配置。

编辑现有外部密钥管理器

如果您已配置外部密钥管理器、则可以修改其设置。

步骤

  1. 要编辑外部密钥管理器的配置、请执行以下开始步骤之一。

    范围

    导航

    开始步骤

    集群范围外部密钥管理器

    集群>*设置*

    滚动到*Security*部分。在*加密*下、选择 " 串器 " 图标，然后选择*编辑外部密钥管理器*。

    Storage VM范围外部密钥管理器

    存储>*存储VM*

    选择 Storage VM 。选择*Settings*选项卡。在*安全性*下的*加密*部分中，选择 " 串器 " 图标，然后选择*编辑外部密钥管理器*。

  2. 现有密钥服务器列在*密钥服务器*表中。您可以执行以下操作：

    • 通过选择添加新密钥服务器 +Add。

    • 通过选择删除密钥服务器 " 串器 " 图标 位于包含密钥服务器名称的表单元格的末尾。与该主密钥服务器关联的辅助密钥服务器也会从配置中删除。

删除外部密钥管理器

如果卷未加密、则可以删除外部密钥管理器。

步骤

  1. 要删除外部密钥管理器、请执行以下步骤之一。

    范围

    导航

    开始步骤

    集群范围外部密钥管理器

    集群>*设置*

    滚动到*Security*部分。在*加密*下、选择选择 " 串器 " 图标，然后选择*删除外部密钥管理器*。

    Storage VM范围外部密钥管理器

    存储>*存储VM*

    选择 Storage VM 。选择*Settings*选项卡。在*安全性*下的*加密*部分中，选择 " 串器 " 图标，然后选择*删除外部密钥管理器*。

在密钥管理器之间迁移密钥

如果在集群上启用了多个密钥管理器、则必须将密钥从一个密钥管理器迁移到另一个密钥管理器。此过程可通过System Manager自动完成。

  • 如果在集群级别启用了板载密钥管理器或外部密钥管理器、并且某些卷已加密、 然后、在Storage VM级别配置外部密钥管理器时、必须将这些密钥从集群级别的板载密钥管理器或外部密钥管理器迁移到Storage VM级别的外部密钥管理器。 此过程由System Manager自动完成。

  • 如果在Storage VM上创建卷时未进行加密、则不需要迁移密钥。