FIPSドライブまたはSEDは、ノードの認証キーIDがデフォルト以外の値に設定されている場合にのみ不正アクセスから保護されます。FIPSドライブまたはSEDの保護モードを解除するには、storage encryption disk modifyコマンドを使用してキーIDをデフォルトの値に設定します。

HAペアでSASドライブまたはNVMeドライブ（SED、SE、FIPS）の暗号化を使用している場合は、システムを初期化（ブートオプション4または9）する前に、HAペア内のすべてのドライブに対してこのプロセスを実行しておく必要があります。この手順を実行しないと、将来ドライブを転用した場合にデータが失われる可能性があります。

開始する前に

このタスクを実行するには、クラスタ管理者である必要があります。

手順

権限レベルをadvancedに設定します。

set -privilege advanced

FIPSドライブがFIPS準拠モードの場合は、ノードのFIPS認証キーIDをデフォルトのMSIDである0x0に戻します。

storage encryption disk modify -disk disk_id -fips-key-id 0x0

キーIDを表示するには、security key-manager queryコマンドを使用します。

cluster1::> storage encryption disk modify -disk 2.10.11 -fips-key-id 0x0

Info: Starting modify on 14 disks.
      View the status of the operation by using the
      storage encryption disk show-status command.

次のコマンドを使用して、処理が成功したことを確認します。

storage encryption disk show-status

「Disks Begun」と「Disks Done」の値が同じになるまでshow-statusコマンドを繰り返します。

cluster1:: storage encryption disk show-status

            FIPS    Latest   Start               Execution   Disks   Disks Disks
Node        Support Request  Timestamp           Time (sec)  Begun   Done  Successful
-------     ------- -------- ------------------  ---------- ------ ------  ----------
cluster1    true    modify   1/18/2022 15:29:38    3           14     5         5
1 entry was displayed.

ノードのデータ認証キーIDをデフォルトのMSIDである0x0に戻します。

storage encryption disk modify -disk disk_id -data-key-id 0x0

SASドライブまたはNVMeドライブのどちらの保護を解除する場合も、-data-key-idの値は0x0に設定します。

キーIDを表示するには、security key-manager queryコマンドを使用します。
```
cluster1::> storage encryption disk modify -disk 2.10.11 -data-key-id 0x0

Info: Starting modify on 14 disks.
      View the status of the operation by using the
      storage encryption disk show-status command.
```
次のコマンドを使用して、処理が成功したことを確認します。

storage encryption disk show-status

値が同じになるまでshow-statusコマンドを繰り返します。「disks begun」と「disks done」の値が同じになったら処理は完了です。

メンテナンスモード

ONTAP 9.7以降では、FIPSドライブのキー変更をメンテナンスモードから行うことができます。メンテナンスモードは、前のセクションに記載したONTAP CLIの手順を実行できない場合にのみ使用してください。

手順

ノードのFIPS認証キーIDをデフォルトのMSIDである0x0に戻します。

disk encrypt rekey_fips 0x0 disklist
ノードのデータ認証キーIDをデフォルトのMSIDである0x0に戻します。

disk encrypt rekey 0x0 disklist
FIPS認証キーが正常に変更されたことを確認します。

disk encrypt show_fips
次のコマンドを使用して、データ認証キーが正常に変更されたことを確認します。

disk encrypt show

出力には、デフォルトのMSIDの0x0キーID、またはキーサーバーに保存されている64文字の値が表示されます。Locked?フィールドは、データがロックされているかどうかを示しています。

Disk       FIPS Key ID                 Locked?
---------- --------------------------- -------
0a.01.0    0x0                          Yes

ONTAP 9.14

FIPSドライブまたはSEDの保護モード解除

メンテナンス モード

メンテナンスモード