ONTAP 9.10.1以降では、Azure Key Vault（AKV）とGoogle Cloud PlatformのKey Management Service（Cloud KMS）を使用して、クラウドにホストされたアプリケーションでONTAPの暗号化キーを保護できます。ONTAP 9.12.0以降では、AWS KMSを使用してVEキーを保護することもできます。

AWS KMS、AKV、Cloud KMSを使用してVolume Encryption（VE）キーを保護できるのは、データSVMのみです。

タスク概要

クラウドプロバイダーによるキー管理は、CLIまたはONTAP REST APIを使用して有効にすることができます。

キーを保護するためにクラウドプロバイダーを利用する場合は、クラウドキー管理エンドポイントとの通信にデータSVM LIFがデフォルトで使用されることに注意してください。クラウドプロバイダーの認証サービス（Azureの場合はlogin.microsoftonline.com、Cloud KMSの場合はoauth2.googleapis.com）との通信にはノード管理ネットワークが使用されます。クラスタネットワークが正しく設定されていないと、クラスタはキー管理サービスを適切に利用できません。

クラウドプロバイダーのキー管理サービスを利用する場合は、次の制限事項に注意してください。

クラウドプロバイダーによるキー管理は、Storage Encryption（SE）およびAggregate Encryption（AE）では使用できません。代わりに外部KMIPを使用できます。
クラウドプロバイダーによるキー管理は、MetroCluster構成では利用できません。
クラウドプロバイダーによるキー管理を設定できるのは、データSVMのみです。

開始する前に

適切なクラウドプロバイダーでKMSを設定しておく必要があります。
ONTAPクラスタのノードでVEがサポートされている必要があります。
Volume Encryption（VE）ライセンスとMulti-tenant Encryption Key Management（MTEKM）ライセンスをインストールしておく必要があります。これらのライセンスはONTAP Oneに含まれています。
クラスタ管理者またはSVM管理者である必要があります。
データSVMに暗号化されたボリュームが含まれていないことと、キー管理ツールを使用していないことを確認してください。データSVMに暗号化されたボリュームが含まれている場合は、KMSを設定する前にそれらのボリュームを移行する必要があります。

外部キー管理の有効化

外部キー管理を有効にする方法は、使用するキー管理ツールによって異なります。適切なキー管理ツールと環境のタブを選択します。

AWS

開始する前に

暗号化を管理するIAMロールで使用されるAWS KMSキーに対応するグラントを作成する必要があります。IAMロールには、次の処理を許可するポリシーが含まれている必要があります。
- DescribeKey
- Encrypt
- Decrypt
  +
  詳細については、グラントに関するAWSのドキュメントを参照してください。

ONTAP SVMでAWS KMVを有効にする

作業を開始する前に、AWS KMSからアクセスキーIDとシークレットキーを取得しておきます。
権限レベルをadvancedに設定します。
set -priv advanced
AWS KMSを有効にします。
security key-manager external aws enable -vserver svm_name -region AWS_region -key-id key_ID -encryption-context encryption_context
プロンプトが表示されたら、シークレットキーを入力します。
AWS KMSが正しく設定されたことを確認します。
security key-manager external aws show -vserver svm_name

Azure

ONTAP SVMでAzure Key Vaultを有効にする

作業を開始する前に、Azureアカウントから適切な認証クレデンシャル（クライアントシークレットまたは証明書）を取得する必要があります。
また、クラスタ内のすべてのノードが健全であることを確認する必要があります。これはcluster showコマンドで確認できます。
権限レベルをadvancedに設定します。
set -priv advanced
SVMでAKVを有効にします。
security key-manager external azure enable -client-id client_id -tenant-id tenant_id -name -key-id key_id -authentication-method {certificate|client-secret}
プロンプトが表示されたら、Azureアカウントから取得したクライアント証明書またはクライアントシークレットを入力します。
AKVが有効になったことを確認します。
security key-manager external azure show vserver svm_name
サービスの到達可能性が「OK」でない場合は、データSVM LIFを使用してAKVキー管理サービスへの接続を確立します。

Google Cloud

ONTAP SVMでCloud KMSを有効にする

作業を開始する前に、Google Cloud KMSアカウントキーファイルの秘密鍵をJSON形式で取得しておきます。これはGCPアカウントから入手できます。
また、クラスタ内のすべてのノードが健全であることを確認する必要があります。これはcluster showコマンドで確認できます。
権限レベルをadvancedに設定します。
set -priv advanced
SVMでCloud KMSを有効にします。
security key-manager external gcp enable -vserver svm_name -project-id project_id-key-ring-name key_ring_name -key-ring-location key_ring_location -key-name key_name
プロンプトが表示されたら、サービスアカウントの秘密鍵に対応するJSONファイルの内容を入力します。
Cloud KMSに正しいパラメーターが設定されていることを確認します。
security key-manager external gcp show vserver svm_name
暗号化されたボリュームが作成されていない場合、kms_wrapped_key_statusのステータスは“UNKNOWN”になります。
サービスの到達可能性が「OK」でない場合は、データSVM LIFを使用してGCPキー管理サービスへの接続を確立します。

データSVMに暗号化されたボリュームがすでに1つ以上設定されており、対応するVEキーが管理SVMのオンボードキーマネージャで管理されている場合は、それらのキーを外部キー管理サービスに移行する必要があります。CLIでこの操作を行うには、次のコマンドを実行します。
security key-manager key migrate -from-Vserver admin_SVM -to-Vserver data_SVM
テナントのデータSVMのすべてのVEキーを移行するまで、データSVMに暗号化された新しいボリュームを作成することはできません。

ONTAP 9 マニュアル ( CA08871-402 )

クラウド プロバイダーによるキーの管理

外部キー管理の有効化

クラウドプロバイダーによるキーの管理