MetroCluster構成を使用する場合は、同じパスフレーズを使用してまずローカルクラスタでsecurity key-manager onboard enableコマンドを実行し、次にリモートクラスタでsecurity key-manager onboard syncコマンドを実行する必要があります。ローカルクラスタからsecurity key-manager onboard enableコマンドを実行したあとでリモートクラスタで同期する場合、リモートクラスタからenableコマンドを再度実行する必要はありません。

デフォルトでは、ノードのリブート時にキー管理ツールのパスフレーズを入力する必要はありません。リブート後にユーザーにパスフレーズの入力を求めるには、cc-mode-enabled=yesオプションを使用します。

VEの場合、cc-mode-enabled=yesを設定すると、volume createコマンドとvolume move startコマンドで作成したボリュームが自動的に暗号化されます。volume createでは、-encrypt trueを指定する必要はありません。volume move startでは、-encrypt-destination trueを指定する必要はありません。

保存データの暗号化を設定する場合は、Commercial Solutions for Classified（CSfC）の要件を満たすために、Storage Encryption (SE)とVolume Encryptionを使用し、オンボードキーマネージャがCommon Criteriaモードで有効にする必要があります。

オンボードキーマネージャをCommon Criteriaモード（cc-mode-enabled=yes）で有効にすると、システムの動作が次のように変更されます。

Common Criteriaモードでは、クラスタパスフレーズの連続入力エラーが監視されます。

ブート時に正しいクラスタパスフレーズを入力しない場合は、暗号化されたボリュームはマウントされません。この問題を解決するには、ノードをリブートし、正しいクラスタパスフレーズを入力する必要があります。ブート後は、クラスタパスフレーズを求められるコマンドを実行するたびに、クラスタパスフレーズを24時間以内に5回まで試行できます。制限に達した場合（例：クラスタパスフレーズを5回連続で間違えた場合）、24時間のタイムアウト時間が過ぎるのを待つか、またはノードをリブートして制限をリセットする必要があります。
システムイメージの更新では、通常の富士通のRSA-2048コード署名証明書とSHA-256のコード署名ダイジェストではなく、富士通のRSA-3072コード署名証明書とSHA-384のコード署名ダイジェストを使用してイメージの整合性がチェックされます。

アップグレードコマンドは、さまざまなデジタル署名をチェックして、イメージの内容が変更されていないか、または破損していないかを確認します。検証に成功した場合、イメージの更新プロセスは次の手順に進み、成功しなかった場合は更新に失敗します。システム更新の情報については、cluster imageのマニュアルページを参照してください。

オンボードキーマネージャは揮発性メモリーにキーを格納します。揮発性メモリーの内容はシステムのリブート時または停止時にクリアされます。通常の動作状態では、揮発性メモリーの内容はシステムが停止してから30秒以内にクリアされます。

開始する前に

このタスクを実行するには、クラスタ管理者である必要があります。
オンボードキーマネージャを設定する前に、 MetroCluster 環境を設定する必要があります。

手順

キー管理ツールのセットアップを開始します。

security key-manager onboard enable -cc-mode-enabled yes|no

リブート後にユーザーにパスフレーズの入力を求めるには、cc-mode-enabled=yesを設定します。VEの場合、cc-mode-enabled=yesを設定すると、volume createコマンドとvolume move startコマンドで作成したボリュームが自動的に暗号化されます。- cc-mode-enabledオプションはMetroCluster構成ではサポートされません。 security key-manager onboard enableコマンドは、security key-manager setupコマンドに置き換わるものです。

次の例は、リブートのたびにパスフレーズの入力を求めずに、cluster1でキー管理ツールセットアップコマンドを開始します。

cluster1::> security key-manager onboard enable

Enter the cluster-wide passphrase for onboard key management in Vserver "cluster1"::    <32..256 ASCII characters long text>
Reenter the cluster-wide passphrase:    <32..256 ASCII characters long text>

パスフレーズのプロンプトで32～256文字のパスフレーズを入力します。「cc-mode」の場合は64～256文字のパスフレーズを入力します。

指定した「cc-mode」のパスフレーズが64文字未満の場合、5秒後に再度パスフレーズのプロンプトが表示されます。
パスフレーズの確認のプロンプトでパスフレーズをもう一度入力します。

認証キーが作成されたことを確認します。

security key-manager key query -key-type NSE-AK

security key-manager key queryコマンドは、security key-manager query keyコマンドに置き換わるものです。コマンド構文全体については、マニュアルページを参照してください。

次の例では、cluster1の認証キーが作成されたことを検証します。

cluster1::> security key-manager key query -key-type NSE-AK
               Node: node1
            Vserver: cluster1
        Key Manager: onboard
   Key Manager Type: OKM
 Key Manager Policy: -

 Key Tag                               Key Type Encryption   Restored

------------------------------------  -------- ------------ --------

node1                                 NSE-AK   AES-256      true

    Key ID: 00000000000000000200000000000100056178fc6ace6d91472df8a9286daacc0000000000000000

node1                                 NSE-AK   AES-256      true

    Key ID: 00000000000000000200000000000100df1689a148fdfbf9c2b198ef974d0baa0000000000000000

2 entries were displayed.

必要に応じて、プレーンテキストボリュームを暗号化ボリュームに変換します。

volume encryption conversion start

ボリュームを変換する前に、オンボードキーマネージャの設定が完了している必要があります。MetroCluster環境では、両方のサイトでオンボードキーマネージャを設定する必要があります。

終了後の操作

あとで使用できるように、ストレージシステムの外部の安全な場所にパスフレーズをコピーしておきます。

オンボードキーマネージャのパスフレーズは、災害時に備えて、ストレージシステム外部の安全な場所にも手動でバックアップしておく必要があります。「オンボードキー管理情報の手動バックアップ」を参照してください。

ONTAP 9 マニュアル ( CA08871-402 )

オンボード キー管理の有効化（ONTAP 9.7以降）- VE

オンボードキー管理の有効化（ONTAP 9.7以降）- VE