Verschlüsselungsverwaltung

SSH-ED25519

SSH-ED25519-CERT-V01@OPENSSH.COM

ECDSA-SHA2-NISTP256

ECDSA-SHA2-NISTP256-CERT-V01@OPENSSH.COM

ECDSA-SHA2-NISTP384

ECDSA-SHA2-NISTP384-CERT-V01@OPENSSH.COM

ECDSA-SHA2-NISTP521

ECDSA-SHA2-NISTP521-CERT-V01@OPENSSH.COM

RSA-SHA2-512

RSA-SHA2-256

RSA-SHA2-384

NIST SP 800-131A. Dieser Modus entspricht dem NIST SP 800-131A-Standard. XClarity Administrator ist so konzipiert, dass intern immer eine starke Verschlüsselung und, sofern verfügbar, stark verschlüsselte Netzwerkverbindungen verwendet werden. Allerdings sind in diesem Modus Netzverbindungen unzulässig, die eine von NIST SP 800-131A nicht genehmigte Verschlüsselung verwenden; so werden z. B. Transport Layer Security (TLS)-Zertifikate zurückgewiesen, die mit SHA-1 oder schwächerem Hash signiert sind.

Kompatibilität für Sicherheit. Wählen Sie diesen Modus aus, wenn Services und Clients eine Verschlüsselung erfordern, die nicht CNSA/FIPS entspricht. Dieser Modus unterstützt eine Vielzahl von Verschlüsselungsalgorithmen und ermöglicht die Aktivierung aller Services.

NIST SP 800-131A. Wählen Sie diesen Modus aus, um die Einhaltung des Standards NIST SP 800-131A sicherzustellen. Eingeschlossen sind hier einschränkende RSA-Schlüssel bis 2048 Bit oder höher und einschränkende Hashwerte für digitale Signaturen für SHA-256 oder länger. Des Weiteren muss sichergestellt werden, dass nur NIST-zertifizierte, symmetrische Verschlüsselungsalgorithmen verwendet werden. Für diesen Modus muss der SSL/TLS-Modus auf TLS 1.2 Server Client festgelegt werden.

Dieser Modus wird für ThinkSystem V1 und V2 Server unterstützt.

Standardsicherheit. Dies ist der Standardsicherheitsmodus für ThinkSystem V3 und V4 Server. Wählen Sie diesen Modus aus, um die Einhaltung des Standards FIPS 140-3 sicherzustellen. Damit XCC im überprüften FIPS 140-3-Modus betrieben wird, können nur Services aktiviert werden, die eine Verschlüsselung auf FIPS 140-3-Ebene unterstützen. Services, die keine Verschlüsselung auf FIPS 140-2/140-3-Ebene unterstützen, werden standardmäßig deaktiviert, aber können bei Bedarf aktiviert werden. Wenn ein Service aktiviert ist, der eine Verschlüsselung verwendet, die nicht auf FIPS 140-3-Ebene ist, kann XCC nicht im überprüften FIPS 140-3-Modus betrieben werden. Dieser Modus erfordert Zertifikate auf FIPS-Ebene.

„Enterprise Strikt“-Sicherheit. Dies ist der sicherste Modus für ThinkSystem V3 und V4 Server. Wählen Sie diesen Modus aus, um die Einhaltung des CNSA-Standards sicherzustellen. Es sind nur Services zulässig, die die Verschlüsselung auf CNSA-Ebene unterstützen. Unsichere Services sind standardmäßig deaktiviert und können nicht aktiviert werden. Dieser Modus erfordert Zertifikate auf CNSA-Ebene.

XClarity Administrator verwendet RSA-3072 Bit/SHA-384-Zertifikatsignaturen für Server im Modus „Enterprise Strikt“-Sicherheit.

Hochsicherheit. Dies ist der sicherste Modus für ThinkSystem V1 und V2 Server. Wählen Sie diesen Modus, um die Einhaltung der NIST- und PFS-Standards (Perfect Forward Secrecy) sicherzustellen.

Dieser Modus wird nur für ThinkSystem V1 und V2 Server unterstützt. Eine XCC-Firmwareversion, die im zweiten Quartal 2023 oder später veröffentlicht wurde, ist erforderlich.

Für XClarity Administrator v4.2 und vorherige Versionen:

• Um die verwaltete Authentifizierung für die Verwaltung eines ThinkSystem oder ThinkAgile Servers zu verwenden, wenn die TLS-Version auf dem XCC auf v1.3 festgelegt ist, muss die Mindest-TLS-Version für Server in XClarity Administrator ebenfalls auf TLS v1.3 festgelegt sein (siehe Verschlüsselungseinstellungen auf dem Verwaltungsserver konfigurieren).

• Sie können die verwaltete Authentifizierung nicht verwenden, um einen ThinkSystem oder ThinkAgile Server zu verwalten, wenn der XCC-Sicherheitsmodus auf TLS v1.3 festgelegt ist.
• Bei einem ThinkSystem oder ThinkAgile Server, der mit verwalteter Authentifizierung verwaltet wird, führt das Ändern des XCC-Sicherheitsmodus zu TLS v1.3 mit XClarity Administrator oder XCC dazu, dass der Server offline geht.

Der Wechsel vom Modus Kompatibilität für Sicherheit oder Standardsicherheit zum Modus „Enterprise Strikt“-Sicherheit wird nicht unterstützt.

Wenn Sie ein Upgrade vom Modus Kompatibilität für Sicherheit zu Standardsicherheit ausführen, werden Sie gewarnt, wenn importierte Zertifikate oder öffentliche SSH-Schlüssel nicht konform sind. Sie können trotzdem ein Upgrade auf den Modus Standardsicherheit durchführen.

Bei einem Herunterstufen vom Modus „Enterprise Strikt“-Sicherheit zum Modus Kompatibilität für Sicherheit oder Standardsicherheit:

• Der Server wird automatisch neu gestartet, damit der Sicherheitsmodus in Kraft tritt.

• Für ThinkSystem V3 und V4 Server: Wenn der FoD-Schlüssel für den strikten Modus auf XCC fehlt oder abgelaufen ist und XCC ein selbst signiertes TLS-Zertifikat verwendet, generiert XCC das selbst signierte TLS-Zertifikat auf Basis des konformen Algorithmus „Standard Strikt“. XClarity Administrator zeigt aufgrund eines Zertifikatsfehlers einen Verbindungsfehler an. Informationen zum Beheben des Fehlers mit nicht vertrauenswürdigen Zertifikaten finden Sie unter Ein nicht vertrauenswürdiges Serverzertifikat beheben. Wenn XCC ein angepasstes TLS-Zertifikat verwendet, gestattet XCC das Herabstufen und warnt Sie, dass Sie ein Serverzertifikat importieren müssen, das auf dem Verschlüsselungsmodus Standardsicherheit basiert.