外部キー管理サーバーはストレージ環境に配置されたサードパーティのシステムで、Key Management Interoperability Protocol（KMIP）を使用してノードにキーを提供します。外部キー管理サーバーは、データとは別のストレージシステムで設定することを推奨します。
オンボードキーマネージャは組み込みのツールで、データと同じストレージシステムからノードにキーを提供します。

Volume Encryption（VE）ライセンスがあり、オンボード / 外部キーマネージャを使用している場合、アグリゲートとボリュームの暗号化がデフォルトで有効になります。VEライセンスはONTAP Oneに付属しています。オンボード / 外部キーマネージャが設定されている場合、新しいアグリゲートとボリュームでは保存データの暗号化の設定が異なります。新しいアグリゲートに対しては、デフォルトでAggregate Encryption（AE）が有効になります。AEアグリゲートに属さない新しいボリュームに対しては、デフォルトでVolume Encryption（VE）が有効になります。マルチテナントキー管理を使用してデータStorage Virtual Machine（SVM）に独自のキーマネージャが設定されている場合、そのSVMに対して作成されたボリュームには自動的にVEが設定されます。

新しいボリュームと既存のボリュームのいずれでも暗号化を有効にできます。VEでは、重複排除や圧縮など、ストレージ効率化のためのさまざまな機能をサポートしています。ONTAP 9.14.1以降では、既存のSVMルートボリュームでVEを有効化できます。

SnapLockを使用している場合は、新しい空のSnapLockボリュームでのみ暗号化を有効にできます。既存のSnapLockボリュームで暗号化を有効にすることはできません。

VEは、アグリゲートのタイプ（HDD、SSD、ハイブリッド、アレイLUN）やRAIDタイプを問わず、サポートされるすべてのONTAP環境で使用できます。VEをハードウェアベースの暗号化と併用すれば、自己暗号化ドライブのデータを「二重に暗号化」することもできます。

VEを有効にすると、コアダンプも暗号化されます。

アグリゲートレベルの暗号化

通常、暗号化されたすべてのボリュームには一意のキーが割り当てられます。このキーは、ボリュームを削除すると一緒に削除されます。

Aggregate Encryption（AE）を使用して、暗号化するボリュームの包含アグリゲートにキーを割り当てることができます。暗号化されたボリュームを削除しても、アグリゲートのキーは削除されません。このキーは、アグリゲート全体を削除すると削除されます。

アグリゲートレベルの重複排除をインラインまたはバックグラウンドで実行する場合は、アグリゲートレベルの暗号化を使用する必要があります。そうしない場合は、VEでアグリゲートレベルの重複排除がサポートされません。

Volume Encryption（VE）ライセンスがあり、オンボード / 外部キーマネージャを使用している場合、アグリゲートとボリュームの暗号化がデフォルトで有効になります。

VEボリュームとAEボリュームは同一アグリゲート内で共存できます。アグリゲートレベルの暗号化で暗号化されたボリュームは、デフォルトでAEボリュームになります。このデフォルトの設定は、ボリュームを暗号化するときに無効にすることができます。

volume moveコマンドを使用して、VEボリュームをAEボリュームに（またはその逆に）変換することができます。AEボリュームはVEボリュームにレプリケートできます。

AEボリュームではsecure purgeコマンドを使用できません。

外部キー管理サーバーを使用する状況

オンボードキーマネージャを使用した方がコストもかからず一般的には便利ですが、次のいずれかに当てはまる場合はKMIPサーバーを用意する必要があります。

連邦情報処理標準（FIPS）140-2またはOASIS KMIP標準に準拠した暗号化キー管理ソリューションが必要な場合。
暗号化キーを一元管理するマルチクラスタソリューションが必要な場合。
認証キーをデータとは別のシステムや場所に格納してセキュリティを強化する必要がある場合。

外部キー管理のスコープ

外部キー管理のスコープによって、キー管理サーバーの保護対象がクラスタ内の全SVMになるか、選択したSVMのみになるかが決まります。

クラスタ内の全SVMを対象に外部キー管理を設定するには、クラスタスコープを使用します。クラスタ管理者は、サーバーに格納されているすべてのキーにアクセスできます。
SVMスコープを使用して、クラスタ内の指定したSVMを対象に外部キー管理を設定できます。各テナントが異なるSVM（またはSVMのセット）を使用してデータを提供するマルチテナント環境には、この方法が最適です。特定のテナントのSVM管理者だけが、そのテナントのキーにアクセスできます。

同じクラスタで両方のスコープを使用できます。1つのSVMに対してキー管理サーバーが設定されている場合は、それらのサーバーのみを使用してキーが保護されます。そうでない場合は、クラスタに対して設定されたキー管理サーバーでキーが保護されます。

サポートの詳細

次の表に、VEのサポートの詳細を示します。

リソースまたは機能	サポートの詳細
プラットフォーム	AES-NIオフロード機能が必要です。
暗号化	Volume Encryption（VE）ライセンスを追加し、オンボードまたは外部のキーマネージャを設定している場合、新しく作成したアグリゲートおよびボリュームはデフォルトで暗号化されます。暗号化せずにアグリゲートを作成する必要がある場合は、次のコマンドを使用します。 `storage aggregate create -encrypt-with-aggr-key false` プレーンテキストのボリュームを作成する必要がある場合は、次のコマンドを使用します。 `volume create -encrypt false` 次の場合、暗号化はデフォルトで有効になりません。 VEライセンスがインストールされていない。キーマネージャが設定されていない。プラットフォームまたはソフトウェアで暗号化がサポートされていない。ハードウェア暗号化が有効になっている。
ONTAP	すべてのONTAP実装。ONTAP 9.7以降では、ONTAP Cloudがサポートされます。
デバイス	HDD、SSD、ハイブリッド、アレイLUN。
RAID	RAID0、RAID4、RAID-DP、RAID-TEC。
ボリューム	データボリュームと既存のSVMルートボリューム。MetroClusterメタデータボリュームのデータは暗号化できません。9.14.1よりも前のバージョンのONTAPでは、VEでSVMルートボリュームのデータを暗号化することはできません。ONTAP 9.14.1以降では、ONTAPでSVMルートボリュームでのVEがサポートされます。
アグリゲートレベルの暗号化	ONTAP 9.7以降では、VEでアグリゲートレベルの暗号化（AE）がサポートされます。アグリゲートレベルの重複排除をインラインまたはバックグラウンドで実行する場合は、アグリゲートレベルの暗号化を使用する必要があります。アグリゲートレベルで暗号化されたボリュームのキーは変更できません。アグリゲートレベルで暗号化されたボリュームでは、セキュアーパージがサポートされません。 AEでは、データボリュームに加えて、SVMルートボリュームとMetroClusterメタデータボリュームの暗号化がサポートされます。ただし、ルートボリュームの暗号化はサポートされません。
SVMスコープ	VEで外部キー管理のみを対象にSVMスコープがサポートされます。オンボードキーマネージャに対してはサポートされません。MetroClusterはONTAP 9.8以降でサポートされます。
ストレージ効率	重複排除、圧縮、コンパクション、FlexClone。クローンでは、親からスプリットしたあとも親と同じキーを使用します。クローンをスプリットする際には、`volume move`を実行する必要があります。その後、スプリットしたクローンには別のキーが割り当てられます。
レプリケーション	ボリュームレプリケーションでは、ソースボリュームとデスティネーションボリュームで異なる暗号化設定を使用できます。ソースに対して暗号化を設定し、デスティネーションに対して暗号化の設定を解除できます（その逆も可能です）。 SVMレプリケーションの場合、デスティネーションボリュームは自動的に暗号化されます。ただし、ボリューム暗号化をサポートするノードがデスティネーションに含まれていない場合、レプリケーションは成功しますが、デスティネーションボリュームは暗号化されません。 MetroCluster構成では、各クラスタが設定されたキーサーバーから外部キー管理のキーを取得します。OKM（オンボードキーマネージャ）のキーは、設定レプリケーションサービスによってパートナーサイトにレプリケートされます。
コンプライアンス	新しいボリュームのみを対象に、SnapLockがComplianceモードとEnterpriseモードの両方でサポートされます。既存のSnapLockボリュームで暗号化を有効にすることはできません。
FlexGroup	FlexGroupがサポートされます。デスティネーションアグリゲートは、ソースアグリゲートと同じタイプ（ボリュームレベルまたはアグリゲートレベル）である必要があります。FlexGroupボリュームのキーをインプレースで変更できます。

リソースまたは機能

サポートの詳細

プラットフォーム

AES-NIオフロード機能が必要です。

暗号化

Volume Encryption（VE）ライセンスを追加し、オンボードまたは外部のキーマネージャを設定している場合、新しく作成したアグリゲートおよびボリュームはデフォルトで暗号化されます。暗号化せずにアグリゲートを作成する必要がある場合は、次のコマンドを使用します。

storage aggregate create -encrypt-with-aggr-key false

プレーンテキストのボリュームを作成する必要がある場合は、次のコマンドを使用します。

volume create -encrypt false

次の場合、暗号化はデフォルトで有効になりません。

VEライセンスがインストールされていない。
キーマネージャが設定されていない。
プラットフォームまたはソフトウェアで暗号化がサポートされていない。
ハードウェア暗号化が有効になっている。

ONTAP

すべてのONTAP実装。ONTAP 9.7以降では、ONTAP Cloudがサポートされます。

デバイス

HDD、SSD、ハイブリッド、アレイLUN。

RAID

RAID0、RAID4、RAID-DP、RAID-TEC。

ボリューム

データボリュームと既存のSVMルートボリューム。MetroClusterメタデータボリュームのデータは暗号化できません。9.14.1よりも前のバージョンのONTAPでは、VEでSVMルートボリュームのデータを暗号化することはできません。ONTAP 9.14.1以降では、ONTAPでSVMルートボリュームでのVEがサポートされます。

アグリゲートレベルの暗号化

ONTAP 9.7以降では、VEでアグリゲートレベルの暗号化（AE）がサポートされます。

アグリゲートレベルの重複排除をインラインまたはバックグラウンドで実行する場合は、アグリゲートレベルの暗号化を使用する必要があります。
アグリゲートレベルで暗号化されたボリュームのキーは変更できません。
アグリゲートレベルで暗号化されたボリュームでは、セキュアーパージがサポートされません。
AEでは、データボリュームに加えて、SVMルートボリュームとMetroClusterメタデータボリュームの暗号化がサポートされます。ただし、ルートボリュームの暗号化はサポートされません。

SVMスコープ

VEで外部キー管理のみを対象にSVMスコープがサポートされます。オンボードキーマネージャに対してはサポートされません。MetroClusterはONTAP 9.8以降でサポートされます。

ストレージ効率

重複排除、圧縮、コンパクション、FlexClone。

クローンでは、親からスプリットしたあとも親と同じキーを使用します。クローンをスプリットする際には、volume moveを実行する必要があります。その後、スプリットしたクローンには別のキーが割り当てられます。

レプリケーション

ボリュームレプリケーションでは、ソースボリュームとデスティネーションボリュームで異なる暗号化設定を使用できます。ソースに対して暗号化を設定し、デスティネーションに対して暗号化の設定を解除できます（その逆も可能です）。
SVMレプリケーションの場合、デスティネーションボリュームは自動的に暗号化されます。ただし、ボリューム暗号化をサポートするノードがデスティネーションに含まれていない場合、レプリケーションは成功しますが、デスティネーションボリュームは暗号化されません。
MetroCluster構成では、各クラスタが設定されたキーサーバーから外部キー管理のキーを取得します。OKM（オンボードキーマネージャ）のキーは、設定レプリケーションサービスによってパートナーサイトにレプリケートされます。

コンプライアンス

新しいボリュームのみを対象に、SnapLockがComplianceモードとEnterpriseモードの両方でサポートされます。既存のSnapLockボリュームで暗号化を有効にすることはできません。

FlexGroup

FlexGroupがサポートされます。デスティネーションアグリゲートは、ソースアグリゲートと同じタイプ（ボリュームレベルまたはアグリゲートレベル）である必要があります。FlexGroupボリュームのキーをインプレースで変更できます。