SEで外部キー管理（KMIP）サーバーを使用している場合は、外部キー管理ツールのデータベースを削除しておく必要があります。

外部キー管理からオンボードキー管理への移行
このタスクを実行するには、クラスタ管理者である必要があります。
オンボードキーマネージャを設定する前に、MetroCluster環境を設定する必要があります。

タスク概要

security key-manager onboard enable コマンドはクラスタにノードを追加するたびに実行する必要があります。MetroCluster構成では、同じパスフレーズを使用してまずローカルクラスタで security key-manager onboard enable を実行し、次にリモートクラスタで security key-manager onboard sync を実行する必要があります。

デフォルトでは、ノードのリブート時にキー管理ツールのパスフレーズを入力する必要はありません。MetroClusterを除いて、 cc-mode-enabled=yes オプションを使用してリブート後にユーザーにパスフレーズの入力を求めるように設定できます。

Common Criteriaモード（ cc-mode-enabled=yes ）でオンボードキーマネージャを有効にすると、システムの動作が次のように変更されます。

Common Criteriaモードでは、クラスタパスフレーズの連続入力エラーが監視されます。

Storage Encryption（SE）が有効な場合、ブート時にクラスタの正しいパスフレーズを入力しないと、システムはドライブに対して認証できず、自動的にリブートします。この問題を解決するには、ブートプロンプトで正しいクラスタパスフレーズを入力する必要があります。ブート後は、クラスタパスフレーズを求められるコマンドを実行するたびに、クラスタパスフレーズを24時間以内に5回まで試行できます。制限に達した場合（例：クラスタパスフレーズを5回連続で間違えた場合）、24時間のタイムアウト時間が過ぎるのを待つか、またはノードをリブートして制限をリセットする必要があります。
システムイメージの更新では、通常の富士通のRSA-2048コード署名証明書とSHA-256のコード署名ダイジェストではなく、富士通のRSA-3072コード署名証明書とSHA-384のコード署名ダイジェストを使用してイメージの整合性がチェックされます。

アップグレードコマンドは、さまざまなデジタル署名をチェックして、イメージの内容が変更されていないか、または破損していないかを確認します。検証に成功した場合、イメージの更新プロセスは次のステップに進み、成功しなかった場合は更新に失敗します。システム更新の情報については、" cluster image "のマニュアルページを参照してください。

オンボードキーマネージャは揮発性メモリーにキーを格納します。揮発性メモリーの内容はシステムのリブート時または停止時にクリアされます。通常の動作状態では、揮発性メモリーの内容はシステムが停止してから30秒以内にクリアされます。

手順

キー管理ツールセットアップコマンドを開始します。

security key-manager onboard enable -cc-mode-enabled yes|no

リブート後にユーザーにパスフレーズの入力を求めるには、 cc-mode-enabled=yes を設定します。 - cc-mode-enabled オプションはMetroCluster構成ではサポートされません。 security key-manager onboard enable コマンドは、 security key-manager setup コマンドに置き換わるものです。

次の例は、リブートのたびにパスフレーズの入力を求めずに、cluster1でキー管理ツールセットアップコマンドを開始します。

cluster1::> security key-manager onboard enable

Enter the cluster-wide passphrase for onboard key management in Vserver "cluster1"::    <32..256 ASCII characters long text>
Reenter the cluster-wide passphrase:    <32..256 ASCII characters long text>

パスフレーズのプロンプトで32～256文字のパスフレーズを入力します。" cc-mode "の場合は64～256文字のパスフレーズを入力します。

指定した" cc-mode "のパスフレーズが64文字未満の場合、5秒後に再度パスフレーズのプロンプトが表示されます。
パスフレーズの確認のプロンプトでパスフレーズをもう一度入力します。

認証キーが作成されたことを確認します。

security key-manager key query -node node

security key-manager key query コマンドは、 security key-manager query key コマンドに置き換わるものです。コマンド構文全体については、マニュアルページを参照してください。

次の例では、 cluster1 の認証キーが作成されたことを検証します。

cluster1::> security key-manager key query
       Vserver: cluster1
   Key Manager: onboard
          Node: node1

Key Tag                               Key Type  Restored
------------------------------------  --------  --------
node1                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001000c11b3863f78c2273343d7ec5a67762e0000000000000000
node1                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001006f4e2513353a674305872a4c9f3bf7970000000000000000

       Vserver: cluster1
   Key Manager: onboard
          Node: node2

Key Tag                               Key Type  Restored
------------------------------------  --------  --------
node1                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001000c11b3863f78c2273343d7ec5a67762e0000000000000000
node2                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001006f4e2513353a674305872a4c9f3bf7970000000000000000

終了後の操作

あとで使用できるように、ストレージシステムの外部の安全な場所にパスフレーズをコピーしておきます。

キー管理情報は、クラスタのReplicated Database（RDB;複製データベース）にすべて自動的にバックアップされます。災害時に備えて、情報を手動でもバックアップしておく必要があります。

ONTAP 9.13

オンボード キー管理の有効化（ONTAP 9.7以降）

オンボードキー管理の有効化（ONTAP 9.7以降）