ONTAP 9.11.1以降では、SVM上のクラスタ化された外部キー管理サーバーへの接続を設定できます。クラスタ化されたキーサーバーを使用すると、1台のSVM上にプライマリーキーサーバーとセカンダリーキーサーバーを指定できます。キーを登録する際、ONTAPは最初にプライマリーキーサーバーへのアクセスを試行し、その後処理が正常に完了するまで各セカンダリーサーバーへのアクセスを順次試行して、キーの重複を回避します。

外部キーサーバーは、Storage Encryption (SE)、Volume Encryption、Aggregate Encryption、およびSEDの各キーに使用できます。1台のSVMに最大4台の外部プライマリーKMIPサーバーを指定できます。各プライマリーサーバーには、最大3台のセカンダリーキーサーバーを指定できます。

開始する前に

SVMでKMIPを使用したキー管理が有効になっている必要があります。
クラスタのすべてのノードでONTAP 9.11.1以降が実行されている必要があります。
-secondary-key-serversパラメーターに指定するサーバーの順序が、外部キー管理（KMIP）サーバーのアクセス順序に沿っている必要があります。

クラスタ化されたキーサーバーの作成

設定手順は、プライマリーキーサーバーを設定済みかどうかによって異なります。

SVMへのプライマリーキーサーバーとセカンダリーキーサーバーの追加

1.クラスタでキー管理が有効になっていないことを確認します。
security key-manager external show -vserver svm_name
SVMですでに4台のプライマリーキーサーバーが有効になっている場合は、新しいプライマリーキーサーバーを追加する前に既存のプライマリーキーサーバーの1つを削除する必要があります。

2.プライマリーキー管理ツールを有効にします。
security key-manager external enable -vserver svm_name -key-servers server_ip -client-cert client_cert_name -server-ca-certs server_ca_cert_names

3.プライマリーキーサーバーを変更してセカンダリーキーサーバーを追加します。
-secondary-key-serversパラメーターには、最大3台のキーサーバーをカンマで区切って指定できます。
security key-manager external modify-server -vserver svm_name -key-servers primary_key_server -secondary-key-servers list_of_key_servers

既存のプライマリーキーサーバーへのセカンダリーキーサーバーの追加

1.プライマリーキーサーバーを変更してセカンダリーキーサーバーを追加します。
-secondary-key-servers パラメーターには、最大3台のキーサーバーをカンマで区切って指定できます。
security key-manager external modify-server -vserver svm_name -key-servers primary_key_server -secondary-key-servers list_of_key_servers
セカンダリーキーサーバーの詳細については、「セカンダリーキーサーバーの変更」を参照してください。

クラスタ化されたキーサーバーの変更

外部キーサーバーについては、特定のキーサーバーのステータス（プライマリーまたはセカンダリー）を変更する、セカンダリーキーサーバーを追加および削除する、またはセカンダリーキーサーバーのアクセス順序を変更することができます。

プライマリーキーサーバーとセカンダリーキーサーバーの変換

プライマリーキーサーバーをセカンダリーキーサーバーに変換するには、最初にsecurity key-manager external remove-serversコマンドを使用してサーバーをSVMから削除しておく必要があります。

セカンダリーキーサーバーをプライマリーキーサーバーに変換するには、最初に既存のプライマリーキーサーバーからセカンダリーキーサーバーを削除する必要があります。「セカンダリーキーサーバーの変更」を参照してください。既存のキーの削除中にセカンダリーキーサーバーをプライマリーサーバーに変換する場合、削除と変換が完了する前に新しいサーバーを追加しようとすると、キーが重複する可能性があります。

セカンダリーキーサーバーの変更

セカンダリーキーサーバーは、security key-manager external modify-serverコマンドの-secondary-key-serversパラメーターを使用して管理します。-secondary-key-serversパラメーターには、カンマで区切ったリストを指定できます。リストに指定されたセカンダリーキーサーバーの順序によって、セカンダリーキーサーバーのアクセス順序が決まります。アクセス順序を変更するには、セカンダリーキーサーバーを別の順序で入力してsecurity key-manager external modify-serverコマンドを実行します。

セカンダリーキーサーバーを削除するには、-secondary-key-servers引数に削除するキーサーバーは指定せず、残すキーサーバーだけを指定する必要があります。すべてのセカンダリーキーサーバーを削除するには、引数-（なし）を使用します。

詳細については、ONTAPコマンドリファレンスのsecurity key-manager externalのページを参照してください。

ONTAP 9.14

クラスタ化された外部キー サーバーの設定

開始する前に

クラスタ化されたキー サーバーの作成

クラスタ化されたキー サーバーの変更

プライマリー キー サーバーとセカンダリー キー サーバーの変換

セカンダリー キー サーバーの変更

クラスタ化された外部キーサーバーの設定

クラスタ化されたキーサーバーの作成

クラスタ化されたキーサーバーの変更

プライマリーキーサーバーとセカンダリーキーサーバーの変換

セカンダリーキーサーバーの変更