配置 Lenovo 卷加密

了解 LVE​

数据（包括快照副本）和元数据均会加密。仅可通过唯一的 XTS-AES-256 密钥（每个卷一个）来访问数据。密钥由外部密钥管理软件或 Onboard Key Manager 向节点提供：

• 外部密钥管理软件是您的存储环境中的第三方系统，使用密钥管理互操作性协议 (KMIP) 向节点提供密钥。外部密钥管理软件最好不要在存放数据的存储系统上进行配置。

• Onboard Key Manager 是一款内置工具，从您的数据所在的存储系统向节点提供密钥。

从 ONTAP 9.7 开始，如果您具有卷加密（VE）许可证并使用板载或外部密钥管理器，则默认会启用聚合和卷加密。只要配置了外部或板载密钥管理器，为全新的聚合和全新的卷配置静态数据加密的方式就会发生变化。默认情况下，全新的聚合将启用 Lenovo 聚合加密（LAE）。默认情况下，不属于 LAE 聚合的全新卷将启用 Lenovo 卷加密（LVE）。如果使用 LAE 聚合中的多租户密钥管理为某个数据存储虚拟机（SVM）配置了密钥管理器，则会自动为针对该 SVM 创建的卷配置 LVE。

LVE 可在任何类型的聚合（硬盘、固态硬盘、混合）上使用，与任何类型的 RAID 配合使用，以及在所有支持的 ONTAP 实施中使用。LVE 还可以与基于硬件的加密一起使用，对自加密驱动器上的数据进行“双重加密”。

聚合级加密​

通常会为每个加密卷分配一个唯一密钥。删除卷时，密钥也随之删除。

从 ONTAP 9.6 开始，可使用 Lenovo 聚合加密（LAE）将密钥分配给要加密的卷所属的聚合。删除加密卷时，聚合的密钥将保留。只有在删除聚合中的最后一个加密卷后，才会删除密钥。

如果计划执行内联或后台聚合级重复数据删除，则必须使用聚合级加密。否则，LVE 不支持聚合级重复数据删除。

从 ONTAP 9.7 开始，如果您具有卷加密（VE）许可证并使用板载或外部密钥管理器，则默认会启用聚合和卷加密。

LVE 和 LAE 卷可在同一聚合上共存。默认情况下，在聚合级加密下加密的卷是 LAE 卷。您可以在加密卷时覆盖该默认值。

可使用 volume move 命令将 LVE 卷转换为 LAE 卷，反之亦然。可将 LAE 卷复制到 LVE 卷。

何时使用外部密钥管理软件​

尽管 Onboard Key Manager 成本较低且在通常情况下更易于使用，但在以下情况下您仍应设置 KMIP 服务器：

• 您的加密密钥管理解决方案必须符合联邦信息处理标准 (FIPS) 140-2 或 OASIS KMIP 标准。

• 您需要一种可集中管理加密密钥的多集群解决方案。

• 您的业务在系统中存储认证密钥时需要更高的安全性，或需要将认证密钥与数据分开存储。

外部密钥管理的范围​

外部密钥管理的范围可以确定密钥管理软件是保护集群中的所有 SVM 还是仅保护选定的 SVM：

• 可使用集群范围 为集群中的所有 SVM 配置外部密钥管理。集群管理员可以访问存储在服务器上的每个密钥。

• 从 ONTAP 9.6 开始，可使用 SVM 范围 为集群中的指定 SVM 配置外部密钥管理。这对于多租户环境来说是最好的，在此类环境中，每个租户使用不同的 SVM（或一组 SVM）来提供数据。只有特定租户的 SVM 管理员才能访问该租户的密钥。

可以在同一集群中使用这两种范围。如果已为 SVM 配置了密钥管理软件，则 ONTAP 仅使用这些管理软件来保护密钥。否则，ONTAP 将使用为集群配置的密钥管理软件来保护密钥。

支持详细信息​

下表显示了 LVE 支持详细信息：