ONTAP 9 マニュアル ( CA08871-402 )

Storage Encryption（SE）は、データを書き込み時に暗号化するSEDをサポートします。ディスクに格納された暗号化キーがないとデータを読み取ることはできず、その暗号化キーには認証されたノードからしかアクセスできません。

I/O要求を受け取ったノードは、外部キー管理サーバーまたはオンボード キー マネージャから取得した認証キーを使用してSEDへの認証を行います。

SEでは、HDDとSSDの自己暗号化ディスクをサポートしています。Volume EncryptionをSEとともに使用すれば、SEドライブのデータを二重に暗号化できます。

NVMe SEDはFIPS 140-2認定を取得していませんが、AES 256ビットの透過的ディスク暗号化を使用して保存データを保護します。

認証キーの生成などのデータ暗号化処理は、内部的に実行されます。認証キーは、ストレージ システムがディスクに初めてアクセスしたときに生成されます。以降、データ処理が要求されるたびにストレージ システム認証が要求されて、ディスク上の保存データが保護されます。

Aggregate Encryption（AE）は、アグリゲート内のすべてのデータを暗号化するためのソフトウェアベースのテクノロジです。AEのメリットは、ボリュームはアグリゲートレベルの重複排除の対象になりますが、VEボリュームは除外される点です。

AEを有効にすると、アグリゲート内のボリュームをアグリゲート キーで暗号化できるようになります。

ONTAP 9.7以降では、VEライセンスがあり、オンボードまたは外部のキー管理を使用している場合、新しく作成したアグリゲートおよびボリュームがデフォルトで暗号化されます。

Volume Encryption（VE）は、一度に1ボリュームずつ保存データを暗号化するためのソフトウェアベースのテクノロジです。暗号化キーにはストレージ システムからしかアクセスできないため、基盤のデバイスがシステムから分離されている場合、ボリュームのデータが読み取られることはありません。

データ（Snapshotコピーを含む）とメタデータの両方が暗号化されます。データへのアクセスには、各ボリューム専用の一意のXTS-AES-256キーを使用します。このキーは、組み込みのオンボード キー マネージャによってデータと同じシステムに安全に保管されます。

VEは、アグリゲートのタイプ（HDD、SSD、ハイブリッド、アレイLUN）やRAIDタイプを問わず、サポートされるすべてのONTAP環境で使用できます。VEをStorage Encryption（SE）とともに使用して、SEドライブのデータを二重に暗号化することもできます。