ストレージシステムにセキュリティ対応ドライブが搭載されている必要があります。対応するドライブには、Full Disk Encryption（FDE）ドライブと連邦情報処理標準（FIPS）ドライブがあります。

ストレージシステムにFDEドライブとFIPSドライブの両方が搭載されている場合、すべてのドライブで同じセキュリティキーが共有されます。
ドライブセキュリティ機能を有効にする必要があります。有効になっていない場合、このタスクの実行中に [セキュリティキーを作成できません] ダイアログボックスが表示されます。ドライブセキュリティ機能を有効にする手順については、必要に応じてストレージベンダーに問い合わせてください。
ストレージシステムのコントローラーの署名済みクライアント証明書ファイルを用意し、そのファイルをSANtricity System Managerにアクセスするホストにコピーしておきます。クライアント証明書は、キー管理サーバーがコントローラーのKey Management Interoperability Protocol（KMIP）要求を信頼できるよう、ストレージシステムのコントローラーを検証します。
キー管理サーバーから証明書ファイルを取得し、そのファイルをSANtricity System Managerにアクセスするホストにコピーする必要があります。キー管理サーバー証明書は、ストレージシステムがサーバーのIPアドレスを信頼できるよう、キー管理サーバーを検証します。キー管理サーバーには、ルート証明書、中間証明書、またはサーバー証明書を使用できます。

サーバー証明書の詳細については、キー管理サーバーのドキュメントを参照してください。

タスク概要

このタスクでは、キー管理サーバーのIPアドレスと使用するポート番号を定義し、外部キー管理に使用する証明書をロードします。

手順

[設定]>[システム]を選択します。
[セキュリティキー管理] で [外部キーの作成] を選択します。

現在内部キー管理が設定されている場合は、外部キー管理に切り替えるかどうかの確認を求めるダイアログボックスが表示されます。

[外部セキュリティキーの作成] ダイアログボックスが開きます。

[キーサーバへの接続] で、次のフィールドに情報を入力します。

キー管理サーバのアドレス
キー管理に使用するサーバーの完全修飾ドメイン名またはIPアドレス（IPv4またはIPv6）を入力します。
キー管理ポート番号
KMIPの通信に使用するポート番号を入力します。キー管理サーバーの通信に使用される最も一般的なポート番号は5696です。

オプション： バックアップキーサーバーを設定する場合は、[キーサーバを追加] をクリックしてサーバーの情報を入力します。プライマリーキーサーバーにアクセスできない場合、2番目のキーサーバーが使用されます。各キーサーバーが同じキーデータベースにアクセスできることを確認してください。アクセスできないとエラーを生成し、バックアップサーバーを使用できなくなります。

一度に使用されるキーサーバーは1つだけです。プライマリーキーサーバーにアクセスできない場合、ストレージシステムはバックアップキーサーバーに接続します。両方のサーバーが同等である必要があります。そうでない場合、エラーになる可能性があります。

クライアント証明書を選択
1つ目の [参照] ボタンをクリックして、ストレージシステムのコントローラーの証明書ファイルを選択します。
キー管理サーバーのサーバー証明書を選択
2つ目の [参照] ボタンをクリックして、キー管理サーバーの証明書ファイルを選択します。キー管理サーバーには、ルート証明書、中間証明書、またはサーバー証明書を選択できます。

[次へ] をクリックします。

[キーの作成 / バックアップ] で、セキュリティ対策としてバックアップキーを作成できます。

（推奨）バックアップキーを作成するには、このチェックボックスをオンにしてパスフレーズを入力し、確認のためにもう一度入力します。8～32文字で指定し、以下の文字をそれぞれ1文字以上含める必要があります。
- アルファベットの大文字（1文字以上）。パスフレーズでは大文字と小文字が区別されます。
- 数字（1文字以上）。
- 英数字以外の「!」、「*」、「@」などの文字（1文字以上）。

あとで使用できるように、入力したパスフレーズを書き留めておいてください。セキュリティ有効ドライブをストレージシステムから移動する必要がある場合、ドライブデータのロックを解除するためにパスフレーズが必要になります。

バックアップキーを作成しない場合は、チェックボックスをオフにします。

バックアップキーがないと、外部キーサーバーへのアクセスが失われた場合に、別のストレージシステムに移行されたドライブ上のデータにはアクセスできなくなります。このオプションは、SANtricity System Managerでバックアップキーを作成する唯一の方法です。

[完了] をクリックします。

入力したクレデンシャルを使用して、システムがキー管理サーバーに接続されます。その後、セキュリティキーのコピーがローカルシステムに格納されます。

ダウンロードファイルのパスは、ブラウザーのデフォルトのダウンロード先に応じて異なる場合があります。
パスフレーズとダウンロードしたキーファイルの場所をメモし、[閉じる] をクリックします。

次のメッセージと外部キー管理に関連したリンクが表示されます。

Current key management method: External
[通信のテスト] を選択して、ストレージシステムとキー管理サーバーの間の接続をテストします。

テスト結果がダイアログボックスに表示されます。

結果

外部キー管理を有効にすると、セキュリティ有効のボリュームグループまたはプールを作成したり、既存のボリュームグループまたはプールでセキュリティを有効にしたりできます。

ドライブの電源をオフにしてオンにするたびに、すべてのセキュリティ有効ドライブがセキュリティロック状態になります。この状態のドライブのデータには、ドライブの初期化時に作成した正しいセキュリティキーがコントローラーによって適用されないかぎりアクセスできません。第三者がロックされたドライブを物理的に取り外して別のシステムに取り付けた場合でも、データへの不正アクセスを防止することができます。

終了後の操作

セキュリティキーを検証して、キーファイルが破損していないことを確認します。

SANtricity 11 マニュアル (CA08872-010)

外部セキュリティ キーの作成

外部セキュリティキーの作成