配置基于硬件的加密

了解 Lenovo 基于硬件的加密​

节点会使用从外部密钥管理软件或 Onboard Key Manager 检索到的认证密钥向自加密驱动器进行自我认证：

• 外部密钥管理软件是您的存储环境中的第三方系统，使用密钥管理互操作性协议 (KMIP) 向节点提供密钥。外部密钥管理软件最好不要在存放数据的存储系统上进行配置。

• Onboard Key Manager 是一款内置工具，从您的数据所在的存储系统向节点提供认证密钥。

您可以将 Lenovo 卷加密与基于硬件的加密一起使用，对自加密驱动器上的数据进行“双重加密”。

支持的驱动器类型​

支持两种类型的自加密驱动器：

• 所有混合系统和全闪存阵列系统均支持经过 FIPS 认证的自加密 SAS 或 NVMe 驱动器。这些驱动器称为 FIPS 驱动器，符合美国联邦信息处理标准出版物 140-2 级别 2 的要求。经过认证的功能除了加密之外还支持保护，例如防止针对驱动器的拒绝服务攻击。FIPS 驱动器不能在同一节点或 HA 对中与其他类型的驱动器混合使用。

• 未经 FIPS 测试的自加密 NVMe 驱动器称为 SED，提供与 FIPS 驱动器相同的加密功能，但可在同一节点或 HA 对中与非 SED 混合使用。

KMIP 服务器的使用场合​

尽管 Onboard Key Manager 成本较低且在通常情况下更易于使用，但在以下情况下您仍应设置 KMIP 服务器：

• 加密密钥管理解决方案必须符合 FIPS 140-2 级别 2 或更高级别。

• 您需要一种可集中管理加密密钥的多集群解决方案。

• 您的业务在系统中存储认证密钥时需要更高的安全性，或需要将认证密钥与数据分开存储。

支持详细信息​

下表显示了重要的硬件加密支持详细信息。请参阅 Lenovo Storage Interoperation Center（LSIC），了解有关受支持的 KMIP 服务器、存储系统和磁盘架的最新信息。