NetApp SG6000 Mode D'emploi page 968

effectuées.
1. Lorsque vous installez une appliance sur laquelle le chiffrement de nœud est activé dans le grid,
StorageGRID détermine si une configuration KMS existe pour le site qui contient le nouveau nœud.
◦ Si un KMS a déjà été configuré pour le site, l'appliance reçoit la configuration KMS.
◦ Si un KMS n'a pas encore été configuré pour le site, les données de l'appliance continuent d'être
cryptées par le KEK temporaire jusqu'à ce que vous configuriez un KMS pour le site et que l'appliance
reçoive la configuration KMS.
2. L'appliance utilise la configuration KMS pour vous connecter au KMS et demander une clé de chiffrement.
3. Le KMS envoie une clé de chiffrement à l'appliance. La nouvelle clé du KMS remplace la KEK temporaire
et est maintenant utilisée pour crypter et décrypter les clés de fin de séjour des volumes d'appliance.
Toutes les données qui existent avant que le nœud d'appliance chiffré ne se connecte au
KMS configuré sont chiffrées à l'aide d'une clé temporaire. Cependant, les volumes de
l'appliance ne doivent pas être considérés comme protégés de leur retrait du data Center
tant que la clé temporaire n'est pas remplacée par la clé de cryptage KMS.
4. Si l'appliance est sous tension ou redémarrée, elle se reconnecte au KMS pour demander la clé. La clé,
qui est enregistrée dans la mémoire volatile, ne peut pas survivre à une perte de puissance ou à un
redémarrage.
Considérations et conditions requises pour l'utilisation d'un serveur de gestion des clés
Avant de configurer un serveur de gestion des clés externe (KMS), vous devez connaître
les considérations et les exigences requises.
Quelles sont les exigences du protocole KMIP ?
StorageGRID prend en charge KMIP version 1.4.
"Spécification du protocole d'interopérabilité de gestion des clés version 1.4"
Les communications entre les nœuds d'appliance et le KMS configuré utilisent des connexions TLS
sécurisées. StorageGRID prend en charge le chiffrement TLS v1.2 suivant pour KMIP :
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
Vous devez vous assurer que chaque nœud d'appliance qui utilise le chiffrement de nœud dispose d'un accès
réseau au cluster KMS ou KMS que vous avez configuré pour le site.
Les paramètres de pare-feu réseau doivent permettre à chaque nœud de l'appliance de communiquer via le
port utilisé pour les communications KMIP (Key Management Interoperability Protocol). Le port KMIP par
défaut est 5696.
Quels dispositifs sont pris en charge ?
Vous pouvez utiliser un serveur de gestion des clés (KMS) pour gérer les clés de cryptage de n'importe quelle
appliance StorageGRID de la grille dont le paramètre Node Encryption est activé. Ce paramètre ne peut être
activé que lors de l'étape de configuration matérielle de l'installation de l'appliance à l'aide du programme
d'installation de l'appliance StorageGRID.
966