MetroCluster構成を使用する場合は、同じパスフレーズを使用してまずローカルクラスタで security key-manager onboard enable を実行し、次にリモートクラスタで security key-manager onboard sync を実行する必要があります。

デフォルトでは、ノードのリブート時にキー管理ツールのパスフレーズを入力する必要はありません。リブート後にユーザーにパスフレーズの入力を求めるには、cc-mode-enabled=yes オプションを使用します。

VEの場合、cc-mode-enabled=yes を設定すると、volume create コマンドと volume move start コマンドで作成したボリュームが自動的に暗号化されます。volume create では、-encrypt true を指定する必要はありません。volume move start では、-encrypt-destination true を指定する必要はありません。

保存データの暗号化を設定する場合は、Commercial Solutions for Classified（CSfC）の要件を満たすために、VEとSEを使用し、オンボードキーマネージャがCommon Criteriaモードで有効にする必要があります。

オンボードキーマネージャをCommon Criteriaモード（cc-mode-enabled=yes）で有効にすると、システムの動作が次のように変更されます。

Common Criteriaモードでは、クラスタパスフレーズの連続入力エラーが監視されます。

ブート時に正しいクラスタパスフレーズを入力しないと、暗号化されたボリュームはマウントされません。この問題を解決するには、ノードをリブートし、正しいクラスタパスフレーズを入力する必要があります。ブート後は、クラスタパスフレーズを求められるコマンドを実行するたびに、クラスタパスフレーズを24時間以内に5回まで試行できます。制限に達した場合（例：クラスタパスフレーズを5回連続で間違えた場合）、24時間のタイムアウト時間が過ぎるのを待つか、またはノードをリブートして制限をリセットする必要があります。
システムイメージの更新では、通常の富士通のRSA-2048コード署名証明書とSHA-256のコード署名ダイジェストではなく、富士通のRSA-3072コード署名証明書とSHA-384のコード署名ダイジェストを使用してイメージの整合性がチェックされます。

アップグレードコマンドは、さまざまなデジタル署名をチェックして、イメージの内容が変更されていないか、または破損していないかを確認します。検証に成功した場合、イメージの更新プロセスは次のステップに進み、成功しなかった場合は更新に失敗します。システム更新の情報については、「cluster image」のマニュアルページを参照してください。

オンボードキーマネージャは揮発性メモリーにキーを格納します。揮発性メモリーの内容はシステムのリブート時または停止時にクリアされます。通常の動作状態では、揮発性メモリーの内容はシステムが停止してから30秒以内にクリアされます。

作業を開始する前に

このタスクを実行するには、クラスタ管理者である必要があります。
オンボードキーマネージャを設定する前に、 MetroCluster 環境を設定する必要があります。

手順

キー管理ツールのセットアップを開始します。

security key-manager onboard enable -cc-mode-enabled yes|no

リブート後にユーザーにパスフレーズの入力を求めるには、cc-mode-enabled=yes を設定します。VEの場合、cc-mode-enabled=yes を設定すると、volume create コマンドと volume move start コマンドで作成したボリュームが自動的に暗号化されます。- cc-mode-enabled オプションはMetroCluster構成ではサポートされません。 security key-manager onboard enable コマンドは、security key-manager setup コマンドに置き換わるものです。

次の例は、リブートのたびにパスフレーズの入力を求めずに、cluster1でキー管理ツールセットアップコマンドを開始します。

cluster1::> security key-manager onboard enable

Enter the cluster-wide passphrase for onboard key management in Vserver "cluster1"::    <32..256 ASCII characters long text>
Reenter the cluster-wide passphrase:    <32..256 ASCII characters long text>

パスフレーズのプロンプトで32～256文字のパスフレーズを入力します。「cc-mode」の場合は64～256文字のパスフレーズを入力します。

指定した「cc-mode」のパスフレーズが64文字未満の場合、5秒後に再度パスフレーズのプロンプトが表示されます。
パスフレーズの確認のプロンプトでパスフレーズをもう一度入力します。

認証キーが作成されたことを確認します。

security key-manager key query -key-type NSE-AK

security key-manager key query コマンドは、security key-manager query key コマンドに置き換わるものです。コマンド構文全体については、マニュアルページを参照してください。

次の例では、cluster1 の認証キーが作成されたことを検証します。

cluster1::> security key-manager key query -key-type NSE-AK
                 Node: node1
           Vserver: cluster1
   Key Manager: onboard
          Key Manager Type: OKM
 Key Manager Policy: -

Key Tag                               Key Type Encryption   Restored

------------------------------------  -------- ------------ --------

node1                                 NSE-AK   AES-256      true

    Key ID: 00000000000000000200000000000100056178fc6ace6d91472df8a9286daacc0000000000000000

node1                                 NSE-AK   AES-256      true

    Key ID: 00000000000000000200000000000100df1689a148fdfbf9c2b198ef974d0baa0000000000000000

2 entries were displayed.

必要に応じて、プレーンテキストボリュームを暗号化ボリュームに変換します。

volume encryption conversion start

ボリュームを変換する前に、オンボードキーマネージャの設定が完了している必要があります。MetroCluster環境では、両方のサイトでオンボードキーマネージャを設定する必要があります。

完了後

あとで使用できるように、ストレージシステムの外部の安全な場所にパスフレーズをコピーしておきます。

オンボードキーマネージャのパスフレーズを設定するときは、災害時に備えて、ストレージシステムの外部の安全な場所にも手動で情報をバックアップしておく必要があります。 "オンボードキー管理情報を手動でバックアップ"を参照してください。

ONTAP 9.13

オンボード キー管理の有効化（ONTAP 9.7以降）- VE

オンボードキー管理の有効化（ONTAP 9.7以降）- VE