クラスタ内の全SVMを対象に外部キー管理を設定するには、クラスタスコープ を使用します。クラスタ管理者は、サーバーに格納されているすべてのキーにアクセスできます。
SVMスコープ を使用して、クラスタ内のデータSVMを対象に外部キー管理を設定できます。各テナントが異なるSVM（またはSVMのセット）を使用してデータを提供するマルチテナント環境には、この方法が最適です。特定のテナントのSVM管理者だけが、そのテナントのキーにアクセスできます。
マルチテナント環境の場合は、次のコマンドを使用して MT_EK_MGMT のライセンスをインストールします。

system license add -license-code <MT_EK_MGMT license code>

コマンド構文の詳細については、コマンドのマニュアルページを参照してください。

同じクラスタで両方のスコープを使用できます。1つのSVMに対してキー管理サーバーが設定されている場合は、それらのサーバーのみを使用してキーが保護されます。そうでない場合は、クラスタに対して設定されたキー管理サーバーでキーが保護されます。

オンボードキー管理はクラスタスコープで設定でき、外部キー管理はSVMスコープで設定できます。security key-manager key migrateコマンドを使用すると、クラスタスコープのオンボードキー管理からSVMスコープの外部キー管理ツールにキーを移行できます。

開始する前に

KMIP SSLクライアント証明書とサーバー証明書をインストールしておく必要があります。
このタスクを実行するには、クラスタ管理者またはSVMの管理者である必要があります。
MetroCluster環境で外部キー管理を有効にする場合は、外部キー管理を有効にする前にMetroClusterを完全に設定する必要があります。
MetroCluster環境では、両方のクラスタにKMIP SSL証明書をインストールする必要があります。

手順

クラスタのキー管理ツールの接続を設定します。

security key-manager external enable -vserver admin_SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

security key-manager external enableコマンドは、security key-manager setupコマンドに置き換わるものです。このコマンドをクラスタのログインプロンプトで実行すると、admin_SVMがデフォルトで現在のクラスタの管理SVMに設定されます。クラスタスコープを設定するには、クラスタ管理者である必要があります。外部キー管理の設定を変更するには、security key-manager external modifyコマンドを実行します。
MetroCluster環境で管理SVMの外部キー管理を設定する場合は、パートナークラスタでもsecurity key-manager external enableコマンドを実行する必要があります。

次のコマンドは、3つの外部キーサーバーを指定してcluster1の外部キー管理を有効にします。1つ目のキーサーバーはホスト名とポートで指定し、2つ目のキーサーバーはIPアドレスとデフォルトポートで指定し、3つ目のキーサーバーはIPv6アドレスとポートで指定します。

clusterl::> security key-manager external enable -vserver cluster1 -key-servers ks1.local:15696,10.0.0.10,[fd20:8b1e:b255:814e:32bd:f35c:832c:5a09]:1234 -client-cert AdminVserverClientCert -server-ca-certs AdminVserverServerCaCert

SVMのキー管理ツールを設定します。

security key-manager external enable -vserver SVM -key-servers host_name|IP_address:port,… -client-cert client_certificate -server-ca-cert server_CA_certificates

このコマンドをSVMのログインプロンプトで実行すると、SVMがデフォルトで現在のSVMに設定されます。 SVMスコープを設定するには、クラスタ管理者またはSVM管理者である必要があります。外部キー管理の設定を変更するには、security key-manager external modifyコマンドを実行します。
MetroCluster環境でデータSVMの外部キー管理を設定する場合は、パートナークラスタでsecurity key-manager external enableコマンドを実行する必要はありません。

次のコマンドは、デフォルトポート5696を受信する1つのキーサーバーを指定してsvm1の外部キー管理を有効にします。

svm1l::> security key-manager external enable -vserver svm1 -key-servers keyserver.svm1.com -client-cert SVM1ClientCert -server-ca-certs SVM1ServerCaCert

最後の手順をその他のSVMに対して繰り返します。

security key-manager external add-serversコマンドを使用してその他のSVMを設定することもできます。security key-manager external add-serversコマンドは、security key-manager addコマンドに置き換わるものです。コマンド構文全体については、マニュアルページを参照してください。

設定したすべてのKMIPサーバーが接続されていることを確認します。

security key-manager external show-status -node node_name

security key-manager external show-statusコマンドは、security key-manager show -statusコマンドに置き換わるものです。コマンド構文全体については、マニュアルページを参照してください。

cluster1::> security key-manager external show-status

Node  Vserver  Key Server                                     Status
----  -------  ---------------------------------------        -------------
node1
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available
node2
      svm1
               keyserver.svm1.com:5696                        available
      cluster1
               10.0.0.10:5696                                 available
               fd20:8b1e:b255:814e:32bd:f35c:832c:5a09:1234   available
               ks1.local:15696                                available

8 entries were displayed.

必要に応じて、プレーンテキストボリュームを暗号化されたボリュームに変換します。

volume encryption conversion start

ボリュームを変換する前に、外部キー管理ツールの設定をすべて完了しておく必要があります。MetroCluster環境では、両方のサイトに外部キー管理ツールを設定する必要があります。

ONTAP 9 マニュアル ( CA08871-402 )

ONTAP 9.7以降での外部キー管理の有効化（VE）

本トピックの構成