ドライブの電源をオフにしてオンにするたびに、コントローラーによってセキュリティキーが適用されるまでセキュリティ有効ドライブはセキュリティロック状態となります。セキュリティ有効ドライブをストレージシステムから取り外すと、ドライブのデータはロックされます。そのドライブを別のストレージシステムに取り付けた場合、データに再びアクセスするにはセキュリティキーが必要になります。データのロックを解除するには、元のセキュリティキーを適用する必要があります。

セキュリティキーは次のいずれかの方法で作成および管理できます。

コントローラーの永続的メモリー上での内部キー管理
外部キー管理サーバー上での外部キー管理

内部キー管理

内部キーは、コントローラーの永続的メモリー上のアクセスできない「非表示」の場所に保持されます。内部キー管理を実装するには、次の手順を実行します。

ストレージシステムにセキュリティ対応ドライブを取り付けます。対応するドライブには、Full Disk Encryption（FDE）ドライブと連邦情報処理標準（FIPS）ドライブがあります。
ドライブセキュリティ機能が有効になっていることを確認します。ドライブセキュリティ機能を有効にする手順については、必要に応じてストレージベンダーに問い合わせてください。
識別子とパスフレーズを定義して、内部セキュリティキーを作成します。識別子は、セキュリティキーに関連付けられる文字列で、コントローラーとキーに関連付けられたすべてのドライブに格納されます。パスフレーズは、バックアップ用にセキュリティキーを暗号化するために使用されます。内部キーを作成するには、[設定]>[システム]>[セキュリティキー管理]>[内部キーの作成]に移動します。

セキュリティキーがコントローラー上のアクセスできない非表示の場所に格納されます。これで、セキュリティ有効のボリュームグループまたはプールを作成したり、既存のボリュームグループまたはプールでセキュリティを有効にしたりできます。

外部キー管理

外部キーは、Key Management Interoperability Protocol（KMIP）を使用して別のキー管理サーバーに保持されます。外部キー管理を実装するには、次の手順を実行します。

ストレージシステムにセキュリティ対応ドライブを取り付けます。対応するドライブには、Full Disk Encryption（FDE）ドライブと連邦情報処理標準（FIPS）ドライブがあります。
ドライブセキュリティ機能が有効になっていることを確認します。ドライブセキュリティ機能を有効にする手順については、必要に応じてストレージベンダーに問い合わせてください。
署名済みのクライアント証明書ファイルを取得します。クライアント証明書は、キー管理サーバーがコントローラーのKMIP要求を信頼できるよう、ストレージシステムのコントローラーを検証します。
1. まず、クライアント証明書署名要求（CSR）を生成してダウンロードします。[設定]>[証明書]>[キー管理]>[CSR の生成]に移動します。
2. 次に、キー管理サーバーで信頼されているCAに署名済みのクライアント証明書を要求します（CSRファイルを使用して、キー管理サーバーからクライアント証明書を作成してダウンロードすることもできます）。
3. クライアント証明書ファイルを用意したら、そのファイルをSANtricity System Managerにアクセスするホストにコピーします。
キー管理サーバーから証明書ファイルを取得し、そのファイルをSANtricity System Managerにアクセスするホストにコピーします。キー管理サーバー証明書は、ストレージシステムがサーバーのIPアドレスを信頼できるよう、キー管理サーバーを検証します。キー管理サーバーには、ルート証明書、中間証明書、またはサーバー証明書を使用できます。
キー管理サーバーのIPアドレスとKMIP通信に使用するポート番号を定義して、外部キーを作成します。このプロセスで、証明書ファイルもロードします。外部キーを作成するには、[設定]>[システム]>[セキュリティキー管理]>[外部キーの作成]に移動します。

入力したクレデンシャルを使用して、システムがキー管理サーバーに接続されます。これで、セキュリティ有効のボリュームグループまたはプールを作成したり、既存のボリュームグループまたはプールでセキュリティを有効にしたりできます。

SANtricity 11 マニュアル (CA08872-010)

セキュリティ キー管理の仕組み

内部キー管理

外部キー管理

セキュリティキー管理の仕組み