Skip to main content
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

在ONTAP中使用云提供商管理密钥

贡献者
PDF

从ONTAP 9.10.1开始、您可以在云托管应用程序中使用"Azure 密钥存储（ AKV ）"和"Google Cloud Platform 的密钥管理服务（ Cloud KMS ）"保护ONTAP加密密钥。从ONTAP 9.12.0开始，您还可以使用保护NVE密钥"AWS的KMS"。

AWS KMS、AKV和Cloud KMS可用于保护 "NetApp 卷加密（ NVE ）密钥" 仅适用于数据SVM。

关于此任务

可以使用命令行界面或ONTAP REST API启用云提供程序的密钥管理。

在使用云提供商保护密钥时、请注意、默认情况下、数据SVM LIF用于与云密钥管理端点进行通信。节点管理网络用于与云提供商的身份验证服务进行通信（适用于 Azure 的 login.microsoftonline.com ；适用于 Cloud KMS 的 oauth2.googleapis.com ）。如果集群网络配置不正确、集群将无法正确使用密钥管理服务。

在使用云提供商密钥管理服务时、您应注意以下限制：

  • 云提供商密钥管理不适用于NetApp存储加密(NSE)和NetApp聚合加密(NAE)。 "外部 KMIP" 可以改为使用。

  • 云提供商密钥管理不适用于MetroCluster配置。

  • 只能在数据SVM上配置云提供程序密钥管理。

开始之前

启用外部密钥管理

启用外部密钥管理取决于您使用的特定密钥管理器。选择相应密钥管理器和环境的选项卡。

AWS
开始之前

  • 您必须为管理加密的IAM角色要使用的AWS KMS密钥创建授权。IAM角色必须包含一个允许执行以下操作的策略：

    • DescribeKey

    • Encrypt

    • Decrypt

      有关详细信息、请参见的AWS文档 "赠款"。

在ONTAP SVM上启用AWS KMV

  1. 开始之前、请从AWS KMS获取访问密钥ID和机密密钥。

  2. 将权限级别设置为高级：
    set -priv advanced

  3. 启用AWS KMS：
    security key-manager external aws enable -vserver svm_name -region AWS_region -key-id key_ID -encryption-context encryption_context

  4. 出现提示时、输入机密密钥。

  5. 确认已正确配置AWS KMS：
    security key-manager external aws show -vserver svm_name

如果已为数据SVM配置一个或多个加密卷、并且相应的NVE密钥由管理SVM板载密钥管理器管理、则这些密钥应迁移到外部密钥管理服务。要使用命令行界面执行此操作、请运行以下命令：
security key-manager key migrate -from-Vserver admin_SVM -to-Vserver data_SVM
只有在成功迁移数据SVM的所有NVE密钥之后、才能为租户的数据SVM创建新的加密卷。

相关信息