security key-manager onboard enableコマンドはクラスタにノードを追加するたびに実行する必要があります。MetroCluster構成では、同じパスフレーズを使用してまずローカルクラスタでsecurity key-manager onboard enableを実行し、次にリモートクラスタでsecurity key-manager onboard syncを実行する必要があります。

デフォルトでは、ノードのリブート時にキー管理ツールのパスフレーズを入力する必要はありません。MetroClusterを除いて、cc-mode-enabled=yesオプションを使用してリブート後にユーザーにパスフレーズの入力を求めるように設定できます。

Common Criteriaモード（cc-mode-enabled=yes）でオンボードキーマネージャを有効にすると、システムの動作が次のように変更されます。

Common Criteriaモードでは、クラスタパスフレーズの連続入力エラーが監視されます。

Storage Encryption（SE）が有効な場合、ブート時にクラスタの正しいパスフレーズを入力しない場合は、システムはドライブに対して認証できず、自動的にリブートします。この問題を解決するには、ブートプロンプトで正しいクラスタパスフレーズを入力する必要があります。ブート後は、クラスタパスフレーズを求められるコマンドを実行するたびに、クラスタパスフレーズを24時間以内に5回まで試行できます。制限に達した場合（例：クラスタパスフレーズを5回連続で間違えた場合）、24時間のタイムアウト時間が過ぎるのを待つか、またはノードをリブートして制限をリセットする必要があります。
システムイメージの更新では、通常の弊社のRSA-2048コード署名証明書とSHA-256のコード署名ダイジェストではなく、弊社のRSA-3072コード署名証明書とSHA-384のコード署名ダイジェストを使用してイメージの整合性がチェックされます。

アップグレードコマンドは、さまざまなデジタル署名をチェックして、イメージの内容が変更されていないか、または破損していないかを確認します。検証に成功した場合、イメージの更新プロセスは次の手順に進み、成功しなかった場合は更新に失敗します。システム更新の情報については、「cluster image」のマニュアルページを参照してください。

オンボードキーマネージャは揮発性メモリーにキーを格納します。揮発性メモリーの内容はシステムのリブート時または停止時にクリアされます。通常の動作状態では、揮発性メモリーの内容はシステムが停止してから30秒以内にクリアされます。

開始する前に

SEで外部キー管理（KMIP）サーバーを使用している場合は、外部キー管理ツールのデータベースを削除しておく必要があります。

外部キー管理からオンボードキー管理への移行
このタスクを実行するには、クラスタ管理者である必要があります。
オンボードキーマネージャを設定する前に、MetroCluster環境を設定する必要があります。

手順

キー管理ツールセットアップコマンドを開始します。

security key-manager onboard enable -cc-mode-enabled yes|no

リブート後にユーザーにパスフレーズの入力を求めるには、cc-mode-enabled=yesを設定します。- cc-mode-enabledオプションはMetroCluster構成ではサポートされません。 security key-manager onboard enableコマンドは、security key-manager setupコマンドに置き換わるものです。

次の例は、リブートのたびにパスフレーズの入力を求めずに、cluster1でキー管理ツールセットアップコマンドを開始します。

cluster1::> security key-manager onboard enable

Enter the cluster-wide passphrase for onboard key management in Vserver "cluster1"::    <32..256 ASCII characters long text>
Reenter the cluster-wide passphrase:    <32..256 ASCII characters long text>

パスフレーズのプロンプトで32～256文字のパスフレーズを入力します。「cc-mode」の場合は64～256文字のパスフレーズを入力します。

指定した「cc-mode」のパスフレーズが64文字未満の場合、5秒後に再度パスフレーズのプロンプトが表示されます。
パスフレーズの確認のプロンプトでパスフレーズをもう一度入力します。

認証キーが作成されたことを確認します。

security key-manager key query -node node

security key-manager key queryコマンドは、security key-manager query keyコマンドに置き換わるものです。コマンド構文全体については、マニュアルページを参照してください。

次の例では、cluster1の認証キーが作成されたことを検証します。

cluster1::> security key-manager key query
       Vserver: cluster1
   Key Manager: onboard
          Node: node1

Key Tag                               Key Type  Restored
------------------------------------  --------  --------
node1                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001000c11b3863f78c2273343d7ec5a67762e0000000000000000
node1                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001006f4e2513353a674305872a4c9f3bf7970000000000000000

       Vserver: cluster1
   Key Manager: onboard
          Node: node2

Key Tag                               Key Type  Restored
------------------------------------  --------  --------
node1                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001000c11b3863f78c2273343d7ec5a67762e0000000000000000
node2                                 NSE-AK    yes
    Key ID: 000000000000000002000000000001006f4e2513353a674305872a4c9f3bf7970000000000000000

終了後の操作

あとで使用できるように、ストレージシステムの外部の安全な場所にパスフレーズをコピーしておきます。

キー管理情報は、クラスタのレプリケートデータベース（RDB）にすべて自動的にバックアップされます。災害時に備えて、情報を手動でもバックアップしておく必要があります。

ONTAP 9 マニュアル ( CA08871-402 )

オンボード キー管理の有効化）

オンボードキー管理の有効化）