ドライブ セキュリティ機能の仕組み
ドライブ セキュリティは、Full Disk Encryption（FDE）ドライブまたは連邦情報処理標準（FIPS）ドライブを使用してセキュリティを強化するストレージ アレイの機能です。これらのドライブにドライブ セキュリティ機能を使用すると、データにアクセスする際にセキュリティ キーが要求されるようになります。ドライブをアレイから物理的に取り外した場合、別のアレイに取り付けるまでは動作しなくなり、取り付けたあとも正しいセキュリティ キーが提供されないかぎりセキュリティ ロック状態になります。
ドライブ セキュリティを実装する方法
- ストレージ・アレイにセキュア対応ドライブ (FDE ドライブまたは FIPS ドライブ) を装備します。(FIPS のサポートが必要なボリュームの場合、FIPS ドライブのみを使用します。ボリューム・グループまたはプールに FIPS ドライブと FDE ドライブが混在している場合、すべてのドライブが FDE ドライブとして扱われます。また、FIPS ドライブのみを含むボリューム・グループまたはプールで、FDE ドライブをスペアとして追加したり使用したりすることはできません。)
- セキュリティ キーを作成します。セキュリティ キーは、読み取り / 書き込みアクセス用にコントローラとドライブで共有される文字列です。コントローラの永続的メモリから内部キーを作成するか、またはキー管理サーバから外部キーを作成することができます。
- プールおよびボリューム・グループのドライブ・セキュリティーを有効にします。
- プールおよびボリューム・グループを作成します (候補の表でセキュア対応の列がはいになっていることを確認します)。
- 新しいボリュームを作成する際にプールまたはボリューム・グループを選択します (プールおよびボリューム・グループの候補の表でセキュア対応の隣がはいになっていることを確認します)。
ドライブ・レベルでのドライブ・セキュリティーの動作
セキュア対応ドライブ (FDE または FIPS) では、書き込み時にデータが暗号化され、読み取り時に復号化されます。この暗号化と復号化は、パフォーマンスやユーザーのワークフローには影響しません。この暗号化と復号化は、パフォーマンスやユーザのワークフローには影響しません。
ドライブ・セキュリティー機能は、セキュア対応ドライブを使用して保護を強化します。これらのドライブのボリューム・グループまたはプールをドライブ・セキュリティーの対象として選択すると、ドライブでセキュリティー・キーを確認してからデータへのアクセスを許可するようになります。セキュリティ対応ドライブを使用するボリューム グループまたはプールをドライブ セキュリティの対象として選択すると、ドライブはセキュリティ キーを確認してからドライブ内のデータへのアクセスを許可するようになります。プールおよびボリューム グループのドライブ セキュリティはいつでも有効にすることができ、ドライブ上の既存データへの影響はありません。
ストレージ・アレイ・レベルでのドライブ・セキュリティーの動作
ドライブ・セキュリティー機能では、ストレージ・アレイのセキュア対応ドライブとコントローラーの間で共有されるセキュリティー・キーを作成します。ドライブの電源をオフにしてオンにするたびに、コントローラによってセキュリティ キーが適用されるまでセキュリティ有効ドライブはセキュリティ ロック状態となります。
セキュア対応ドライブをストレージ・アレイから取り外して別のストレージ・アレイに再び取り付けた場合、ドライブはセキュリティー・ロック状態になります。再配置したドライブのデータに再びアクセスするにはセキュリティー・キーが必要になります。再配置したドライブ上のデータに再びアクセスするにはセキュリティ キーが必要になります。データのロックを解除するには、ソース ストレージ アレイからセキュリティ キーを適用します。
ボリューム・レベルでのドライブ・セキュリティーの動作
セキュア対応のドライブからプールまたはボリューム・グループを作成する場合、それらのプールまたはボリューム・グループに対してドライブ・セキュリティーを有効にすることもできます。ドライブ・セキュリティーを有効にした場合は、ドライブとそれに関連付けられているボリューム・グループおよびプールがセキュア対応になります。
セキュア対応ボリューム・グループおよびプールを作成する際は、次のガイドラインに注意してください。
- ボリューム・グループおよびプールは、セキュア対応ドライブだけで構成する必要があります。(FIPS のサポートが必要なボリュームの場合、FIPS ドライブのみを使用します。ボリューム・グループまたはプールに FIPS ドライブと FDE ドライブが混在している場合、すべてのドライブが FDE ドライブとして扱われます。また、FIPS ドライブのみを含むボリューム・グループまたはプールで、FDE ドライブをスペアとして追加したり使用したりすることはできません。)
- ボリューム・グループとプールの状態が最適である必要があります。