跳到主要内容

在 ONTAP 9.5 和更低版本中启用板载密钥管理

您可使用 Onboard Key Manager 保护集群用于访问加密数据的密钥。您必须在访问加密卷或自加密磁盘的每个集群上启用 Onboard Key Manager。

开始之前

  • 如果将 LSE 与外部密钥管理（KMIP）软件配合使用，必须已删除外部密钥管理器数据库。

    从外部密钥管理转换为板载密钥管理

  • 只有集群管理员才能执行此任务。

  • 在启用加密之前，必须先配置 MetroCluster 环境。

关于本任务

每次向集群添加节点时，必须运行 security key-manager setup 命令。

如果您配置了 MetroCluster，请查看以下准则：

  • 在 ONTAP 9.5 中，必须先在本地集群上运行 security key-manager setup，然后再在远程集群上运行 security key-manager setup -sync-metrocluster-config yes，并且两次需使用相同的密码短语。

  • 在 ONTAP 9.5 之前的版本中，必须先在本地集群上运行 security key-manager setup，等待大约 20 秒，然后在远程集群上运行 security key-manager setup，并且两次需使用相同的密码短语。

默认情况下，重新启动节点时，您无需输入密钥管理器密码短语。从 ONTAP 9.4 开始，您可以使用 -enable-cc-mode yes 选项要求用户在重新启动后输入密码短语。

对于 LVE，如果设置 -enable-cc-mode yes，则用 volume create 和 volume move start 命令创建的卷将自动加密。对于 volume create，您不需要指定 -encrypt true。对于 volume move start，您不需要指定 -encrypt-destination true。

注
尝试输入密码短语失败后，您必须再次重新启动节点。
  1. 启动密钥管理器设置向导：security key-manager setup -enable-cc-mode yes|no
    注
    从 ONTAP 9.4 开始，您可以使用 -enable-cc-mode yes 选项要求用户在重新启动后输入密钥管理器密码短语。对于 LVE，如果设置 -enable-cc-mode yes，则用 volume create 和 volume move start 命令创建的卷将自动加密。

    示例

    以下示例将在 cluster1 上启动密钥管理器设置向导，而无需在每次重新启动后输入密码短语：

    cluster1::> security key-manager setup
    Welcome to the key manager setup wizard, which will lead you through
    the steps to add boot information.

    ...

    Would you like to use onboard key-management? {yes, no} [yes]: 
    Enter the cluster-wide passphrase:    <32..256 ASCII characters long text>
    Reenter the cluster-wide passphrase:    <32..256 ASCII characters long text>

  2. 在提示符处输入 yes 以配置板载密钥管理。
  3. 在密码短语提示符处，输入长度在 32 至 256 个字符之间的密码短语；对于 cc-mode，输入长度在 64 至 256 个字符之间的密码短语。
    注
    如果指定的cc-mode密码短语少于 64 个字符，密钥管理器设置向导再次显示密码短语提示符之前将有五秒延迟。
  4. 在密码短语提示符处重新输入密码短语。
  5. 确认所有节点均已配置密钥：security key-manager key show

    有关完整的命令语法，请参阅手册页。

    示例

    cluster1::> security key-manager key show

    Node: node1
    Key Store: onboard
    Key ID                                                           Used By
    ---------------------------------------------------------------- --------
    0000000000000000020000000000010059851742AF2703FC91369B7DB47C4722 NSE-AK
    000000000000000002000000000001008C07CC0AF1EF49E0105300EFC83004BF NSE-AK

    Node: node2
    Key Store: onboard
    Key ID                                                           Used By
    ---------------------------------------------------------------- --------
    0000000000000000020000000000010059851742AF2703FC91369B7DB47C4722 NSE-AK
    000000000000000002000000000001008C07CC0AF1EF49E0105300EFC83004BF NSE-AK

完成之后

将密码短语复制到一个存储系统之外的安全位置以供日后使用。

集群的所有密钥管理信息将自动备份到复制数据库（RDB）。此外还应手动备份该信息以备发生灾难情况时使用。

相关任务