本繁體中文版使用機器翻譯，譯文僅供參考，若與英文版本牴觸，應以英文版本為準。

在ONTAP 支援外部金鑰管理的過程中、於支援內部金鑰管理功能的版本（NVE）

09/14/2023 貢獻者

PDF

您可以使用一或多個KMIP伺服器來保護叢集用來存取加密資料的金鑰。從功能支援支援的9.6開始ONTAP 、您可以選擇設定獨立的外部金鑰管理程式、以保護資料SVM用來存取加密資料的金鑰。

從 ONTAP 9.11.1 開始、每個主要金鑰伺服器最多可新增 3 個次要金鑰伺服器、以建立叢集金鑰伺服器。如需詳細資訊、請參閱設定叢集式外部金鑰伺服器。

關於這項工作

您最多可將四個KMIP伺服器連線至叢集或SVM。建議至少使用兩部伺服器來進行備援和災難恢復。

外部金鑰管理的範圍決定了金鑰管理伺服器是保護叢集中的所有SVM、還是僅保護選取的SVM：

您可以使用_叢集範圍_來設定叢集中所有SVM的外部金鑰管理。叢集管理員可以存取儲存在伺服器上的每個金鑰。
從ONTAP 功能表9.6開始、您可以使用_SVM範圍來設定叢集中資料SVM的外部金鑰管理。這最適合多租戶環境、每個租戶使用不同的SVM（或一組SVM）來提供資料。只有特定租戶的SVM管理員可以存取該租戶的金鑰。
對於多租戶環境、請使用下列命令安裝_MT_EK-Mgmt_的授權：

system license add -license-code <MT_EK_MGMT license code>

如需完整的命令語法、請參閱命令的手冊頁。

您可以在同一個叢集中使用這兩個範圍。如果SVM已設定金鑰管理伺服器、ONTAP 則僅使用這些伺服器來保護金鑰。否則ONTAP 、利用為叢集設定的金鑰管理伺服器來保護金鑰。

您可以在叢集範圍設定內建金鑰管理、並在SVM範圍設定外部金鑰管理。您可以使用 security key-manager key migrate 命令將金鑰從叢集範圍內的機載金鑰管理移轉至 SVM 範圍內的外部金鑰管理程式。

開始之前

KMIP SSL用戶端和伺服器憑證必須已安裝。
您必須是叢集或SVM管理員、才能執行此工作。
如果您想要啟用MetroCluster 外部金鑰管理功能來管理整個環境、MetroCluster 則必須先完整設定好、才能啟用外部金鑰管理。
在這個不支援的環境中、您必須在兩個叢集上安裝KMIP SSL憑證MetroCluster 。

步驟

設定叢集的金鑰管理程式連線：

security key-manager external enable -vserver admin_SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

。 security key-manager external enable 命令會取代 security key-manager setup 命令。如果您在叢集登入提示字元中執行命令、 admin_SVM 預設為目前叢集的管理SVM。您必須是叢集管理員、才能設定叢集範圍。您可以執行 security key-manager external modify 命令以變更外部金鑰管理組態。
在支援管理SVM的環境中、如果您要設定外部金鑰管理、則必須重複執行MetroCluster security key-manager external enable 合作夥伴叢集上的命令。

下列命令可啟用的外部金鑰管理 cluster1 使用三個外部金鑰伺服器。第一個金鑰伺服器是使用其主機名稱和連接埠來指定、第二個金鑰伺服器是使用IP位址和預設連接埠來指定、第三個金鑰伺服器則是使用IPv6位址和連接埠來指定：

clusterl::> security key-manager external enable -vserver cluster1 -key-servers ks1.local:15696,10.0.0.10,[fd20:8b1e:b255:814e:32bd:f35c:832c:5a09]:1234 -client-cert AdminVserverClientCert -server-ca-certs AdminVserverServerCaCert

設定SVM的金鑰管理程式：

security key-manager external enable -vserver SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

如果您在 SVM 登入提示字元下執行命令、 SVM 預設為目前的 SVM 。您必須是叢集或SVM管理員、才能設定SVM範圍。您可以執行 security key-manager external modify 命令以變更外部金鑰管理組態。
在支援資料SVM的環境中、如果您要設定外部金鑰管理、就不需要重複執行MetroCluster security key-manager external enable 合作夥伴叢集上的命令。

下列命令可啟用的外部金鑰管理 svm1 使用單一金鑰伺服器聆聽預設連接埠 5696 ：

svm1l::> security key-manager external enable -vserver svm1 -key-servers keyserver.svm1.com -client-cert SVM1ClientCert -server-ca-certs SVM1ServerCaCert

針對任何其他SVM重複最後一個步驟。

您也可以使用 security key-manager external add-servers 用於設定其他 SVM 的命令。。 security key-manager external add-servers 命令會取代 security key-manager add 命令。如需完整的命令語法、請參閱手冊頁。

確認所有已設定的KMIP伺服器均已連線：

security key-manager external show-status -node node_name

。 security key-manager external show-status 命令會取代 security key-manager show -status 命令。如需完整的命令語法、請參閱手冊頁。

cluster1::> security key-manager external show-status

Node  Vserver  Key Server                                     Status
----  -------  ---------------------------------------        -------------
node1
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available
node2
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available

8 entries were displayed.

也可以將純文字磁碟區轉換為加密磁碟區。

volume encryption conversion start

在轉換磁碟區之前、必須先完整設定外部金鑰管理程式。在 MetroCluster 環境中、必須在兩個站台上設定外部金鑰管理員。

在ONTAP 支援外部金鑰管理的過程中、於支援內部金鑰管理功能的版本（NVE）

Creating your file...