Skip to main content
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

使用密钥管理服务器的注意事项和要求

贡献者
PDF

在配置外部密钥管理服务器（ KMS ）之前，您必须了解注意事项和要求。

支持以下哪个版本的KMIP？

StorageGRID 支持 KMIP 1.4 版。

"密钥管理互操作性协议规范 1.4 版"

网络注意事项有哪些？

网络防火墙设置必须允许每个设备节点通过用于密钥管理互操作性协议（ Key Management Interoperability Protocol ， KMIP ）通信的端口进行通信。默认 KMIP 端口为 5696 。

您必须确保使用节点加密的每个设备节点都可以通过网络访问为站点配置的 KMS 或 KMS 集群。

支持哪些TLS版本？

设备节点与配置的 KMS 之间的通信使用安全 TLS 连接。StorageGRID在与KMS或KMS集群建立KMIP连接时、可以支持TLS 1.2或TLS 1.3协议、具体取决于KMS支持的内容以及您正在使用的协议"TLS和SSH策略"。

StorageGRID在建立连接时会与KMS协商协议和密码(TLS 1.2)或密码套件(TLS 1.3)。要查看可用的协议版本和密码/密码套件，请查看 `tlsOutbound`网格的活动TLS和SSH策略(configuration>*Security**Security settings *)部分。

支持哪些设备？

您可以使用密钥管理服务器（ Key Management Server ， KMS ）管理网格中启用了 * 节点加密 * 设置的任何 StorageGRID 设备的加密密钥。只有在使用 StorageGRID 设备安装程序安装设备的硬件配置阶段，才能启用此设置。

备注 将设备添加到网格后、您无法启用节点加密、并且无法对未启用节点加密的设备使用外部密钥管理。

您可以对StorageGRID 设备和设备节点使用已配置的KMS。

您不能对基于软件(非设备)的节点使用已配置的KMS、包括以下节点：

  • 部署为虚拟机（ VM ）的节点

  • 在 Linux 主机上的容器引擎中部署的节点

在这些其他平台上部署的节点可以在数据存储库或磁盘级别使用 StorageGRID 外部的加密。

应在何时配置密钥管理服务器？

对于新安装，通常应在创建租户之前在网格管理器中设置一个或多个密钥管理服务器。此顺序可确保节点在存储任何对象数据之前受到保护。

您可以在安装设备节点之前或之后在网格管理器中配置密钥管理服务器。

我需要多少个密钥管理服务器？

您可以配置一个或多个外部密钥管理服务器，以便为 StorageGRID 系统中的设备节点提供加密密钥。每个 KMS 都为单个站点或一组站点上的 StorageGRID 设备节点提供一个加密密钥。

StorageGRID 支持使用 KMS 集群。每个 KMS 集群都包含多个复制的密钥管理服务器，这些服务器共享配置设置和加密密钥。建议使用 KMS 集群进行密钥管理，因为它可以提高高可用性配置的故障转移功能。

例如，假设您的 StorageGRID 系统有三个数据中心站点。您可以将一个 KMS 集群配置为为为 Data Center 1 上的所有设备节点提供密钥，而将另一个 KMS 集群配置为为为所有其他站点上的所有设备节点提供密钥。添加第二个 KMS 集群时，您可以为 Data Center 2 和 Data Center 3 配置默认 KMS 。

请注意，不能对非设备节点或安装期间未启用*Node Encryption设置的任何设备节点使用KMS。

每个站点的公里数

轮换密钥时会发生什么情况？

作为安全最佳实践、每个已配置的KMS都应定期"旋转加密密钥"使用。

新密钥版本可用时：

  • 它会自动分发到与 KMS 关联的站点上的加密设备节点。分发应在轮换密钥后的一小时内完成。

  • 如果在分发新密钥版本时加密设备节点脱机，则该节点将在重新启动后立即收到新密钥。

  • 如果由于任何原因无法使用新密钥版本对设备卷进行加密、则会为此设备节点触发* KMS加密密钥轮换失败*警报。您可能需要联系技术支持以帮助解决此警报。

是否可以在设备节点加密后重复使用它？

如果需要将加密设备安装到另一个 StorageGRID 系统中，则必须先停用网格节点，才能将对象数据移动到另一个节点。然后，您可以使用StorageGRID设备安装程序 "清除KMS配置"。清除 KMS 配置将禁用 * 节点加密 * 设置，并删除设备节点与 StorageGRID 站点的 KMS 配置之间的关联。

备注 如果无法访问 KMS 加密密钥，则设备上保留的任何数据将无法再访问并永久锁定。