システムのインストールまたはアップグレードの直後に、すべてのセキュアーなユーザーがセキュリティ設定を調整することを推奨します。SSL FIPSモードが有効な場合は、ONTAPからONTAP外部のクライアントまたはサーバーコンポーネントへのSSL通信に、FIPSに準拠したSSL用の暗号が使用されます。

FIPSが有効な場合、4096ビットのRSAキーを使用する証明書をインストールまたは作成することはできません。

手順

advanced権限レベルに切り替えます。

set -privilege advanced
FIPSを有効にします。

security config modify -interface SSL -is-fips-enabled true
続行するかどうかを尋ねられたら、次のように入力します。

y
ONTAP 9.8以前を実行している場合は、クラスタ内の各ノードを1つずつ手動でリブートします。ONTAP 9.9.1以降では、リブートは必要ありません。

例

ONTAP 9.9.1以降を実行している場合、警告メッセージは表示されません。

security config modify -interface SSL -is-fips-enabled true

Warning: This command will enable FIPS compliance and can potentially cause some non-compliant components to fail. MetroCluster and Vserver DR require FIPS to be enabled on both sites in order to be compatible.
Do you want to continue? {y|n}: y

Warning: When this command completes, reboot all nodes in the cluster. This is necessary to prevent components from failing due to an inconsistent security configuration state in the cluster. To avoid a service outage, reboot one node at a time and wait for it to completely initialize before rebooting the next node. Run "security config status show" command to monitor the reboot status.
Do you want to continue? {y|n}: y

FIPSの無効化

古いシステム構成を実行し続けている状況で、ONTAPを設定する際に下位互換性を確保する場合は、FIPSが無効な場合にのみSSLv3を有効にすることができます。

手順

advanced権限レベルに切り替えます。

set -privilege advanced
次のように入力してFIPSを無効にします。

security config modify -interface SSL -is-fips-enabled false
続行するかどうかを尋ねられたら、次のように入力します。

y
ONTAP 9.8以前を実行している場合は、クラスタ内の各ノードを手動でリブートします。ONTAP 9.9.1以降では、リブートは必要ありません。

例

ONTAP 9.9.1以降を実行している場合、警告メッセージは表示されません。

security config modify -interface SSL -supported-protocols SSLv3

Warning: Enabling the SSLv3 protocol may reduce the security of the interface, and is not recommended.
Do you want to continue? {y|n}: y

Warning: When this command completes, reboot all nodes in the cluster. This is necessary to prevent components from failing due to an inconsistent security configuration state in the cluster. To avoid a service outage, reboot one node at a time and wait for it to completely initialize before rebooting the next node. Run "security config status show" command to monitor the reboot status.
Do you want to continue? {y|n}: y

FIPS準拠ステータスの表示

クラスタ全体が現在のセキュリティ設定を実行しているかを確認できます。

手順

クラスタ内の各ノードを1つずつリブートします。

すべてのクラスタノードを同時にリブートしないでください。クラスタ内のすべてのアプリケーションで新しいセキュリティ設定が実行されるようにするには、リブートが必要です。また、FIPSのオン / オフモード、プロトコル、暗号に対する変更を行う際にもリブートが必要です。
現在の準拠ステータスを表示します。

security config show

例

security config show

          Cluster                                              Cluster Security
Interface FIPS Mode  Supported Protocols     Supported Ciphers Config Ready
--------- ---------- ----------------------- ----------------- ----------------
SSL       false      TLSv1_2, TLSv1_1, TLSv1 ALL:!LOW:!aNULL:  yes
                                             !EXP:!eNULL

ONTAP 9.13

連邦情報処理標準（FIPS）を使用したネットワーク セキュリティの設定

FIPSの有効化

FIPSの無効化

FIPS準拠ステータスの表示

連邦情報処理標準（FIPS）を使用したネットワークセキュリティの設定