Інструкцыі па платформе дадзеных CISCO HyperFlex HX

Змест схаваць

1 Платформа перадачы дадзеных CISCO HyperFlex HX

2 Інфармацыя аб прадукце

3 Інструкцыя па ўжыванні прадукту

4 Частыя пытанні па шыфраванні бяспекі HX

5 Пацвярджаючыя дакументы

6 Дакументы / Рэсурсы

6.1 Спасылкі

7 Падобныя паведамленні

Платформа перадачы дадзеных CISCO HyperFlex HX

Інфармацыя аб прадукце

Назва прадукту: Шыфраванне бяспекі HX
Версія: HXDP 5.01b
Рашэнне шыфравання: Праграмнае рашэнне з выкарыстаннем Intersight Key Manager
Тып шыфравання: Дыскі з самашыфраваннем (SED)
Падтрымліваюцца тыпы дыскаў: HDD і SSD SSD ад Micron
Стандарты адпаведнасці: FIPS 140-2 узровень 2 (вытворцы дыскаў) і FIPS 140-2 узровень 1 (платформа)

Кластарнае шыфраванне: Шыфраванне на HX рэалізавана апаратна для даных у стане спакою толькі з выкарыстаннем SED
Індывідуальнае шыфраванне віртуальнай машыны: Апрацоўваецца староннім праграмным забеспячэннем, такім як Hytrust або празрысты кліент Vormetric

VMware Native VM Encryption: Падтрымліваецца HX для выкарыстання з шыфраваннем SED
Кіраванне ключамі: Ключ шыфравання мультымедыя (MEK) і ключ шыфравання ключа (KEK) выкарыстоўваюцца для кожнага SED

Выкарыстанне памяці: Ключы шыфравання ніколі не прысутнічаюць у памяці вузла
Уплыў на прадукцыйнасць: Шыфраванне/дэшыфраванне дыска ажыццяўляецца апаратным забеспячэннем назапашвальніка, агульная прадукцыйнасць сістэмы не ўплывае

Дадатковыя перавагі SED:
- Імгненнае крыптаграфічнае сціранне для зніжэння выдаткаў на выпіску і пераразмеркаванне дыска
- Адпаведнасць урадавым або галіновым нормам адносна прыватнасці даных
- Зніжэнне рызыкі крадзяжу дыска і вузла, паколькі даныя становяцца нечытэльнымі пасля выдалення абсталявання

Інструкцыя па ўжыванні прадукту

Каб выкарыстоўваць шыфраванне бяспекі HX, выканайце наступныя інструкцыі:

Пераканайцеся, што ваша сістэма падтрымлівае апаратнае шыфраванне або што вы аддаеце перавагу праграмнаму рашэнню з выкарыстаннем Intersight Key Manager.

Звярніцеся да адміністрацыйных дакументаў або тэхнічных дакументаў для атрымання інфармацыі аб праграмным шыфраванні.
Калі вы вырашылі выкарыстоўваць апаратнае шыфраванне з SED, пераканайцеся, што ваш кластар HX складаецца з аднолькавых вузлоў (SED або не SED).

Для SED трэба разумець, што выкарыстоўваюцца два ключы: ключ шыфравання мультымедыя (MEK) і ключ шыфравання ключа (KEK).
MEK кантралюе шыфраванне і дэшыфраванне даных на дыску, забяспечвае абарону і кіраванне апаратным забеспячэннем.

KEK абараняе MEK/DEK і захоўваецца ў лакальным або аддаленым сховішчы ключоў.
Не турбуйцеся аб тым, што ключы знаходзяцца ў памяці вузла, бо ключы шыфравання там ніколі не захоўваюцца.

Звярніце ўвагу, што шыфраванне/дэшыфраванне дыска ажыццяўляецца апаратным забеспячэннем дыскавода, гарантуючы, што гэта не ўплывае на агульную прадукцыйнасць сістэмы.
Калі ў вас ёсць асаблівыя патрабаванні да стандартаў адпаведнасці, майце на ўвазе, што дыскі з шыфраваннем HX SED адпавядаюць стандартам FIPS 140-2 ўзроўню 2 ад вытворцаў дыскаў, а шыфраванне HX на платформе адпавядае стандартам FIPS 140-2 ўзроўню 1.

Калі вам трэба зашыфраваць асобныя віртуальныя машыны, падумайце аб выкарыстанні старонняга праграмнага забеспячэння, такога як Hytrust або празрысты кліент Vormetric. Акрамя таго, вы можаце выкарыстоўваць уласнае шыфраванне віртуальных машын VMware, уведзенае ў vSphere 3.
Майце на ўвазе, што выкарыстанне кліента шыфравання ВМ у дадатак да шыфравання на аснове HX SED прывядзе да падвойнага шыфравання даных.

Пераканайцеся, што ваш кластар HX падключаны праз надзейныя сеткі або зашыфраваныя тунэлі для бяспечнай рэплікацыі, паколькі рэплікацыя HX не шыфруецца.

Частыя пытанні па шыфраванні бяспекі HX

Пачынаючы з HXDP 5.01b, HyperFlex прапануе праграмнае рашэнне з выкарыстаннем Intersight Key Manager для сістэм, якія альбо не падтрымліваюць апаратнае шыфраванне, альбо для карыстальнікаў, якія хочуць гэтую функцыянальнасць замест апаратных рашэнняў. Гэты FAQ прысвечаны толькі апаратным рашэнням на базе SED для шыфравання HX. Інфармацыю аб праграмным шыфраванні глядзіце ў адміністрацыйных дакументах або дакументах.

Заява аб прадузятасці
У камплекце дакументацыі для гэтага прадукта імкнецца выкарыстоўваць непрадузятую мову. Для мэт гэтага набору дакументацыі беспрадузятая мова вызначаецца як мова, якая не прадугледжвае дыскрымінацыі па прыкмеце ўзросту, інваліднасці, полу, расавай прыналежнасці, этнічнай прыналежнасці, сэксуальнай арыентацыі, сацыяльна-эканамічнага статусу і ўзаемасувязі. У дакументацыі могуць прысутнічаць выключэнні з-за мовы, жорстка закадзіраванай у карыстальніцкіх інтэрфейсах праграмнага забеспячэння прадукту, мовы, якая выкарыстоўваецца на падставе дакументацыі па стандартах, або мовы, якая выкарыстоўваецца прадуктам трэцяга боку, на які спасылаецца спасылка.

Чаму Cisco для бяспекі і шыфравання HX

Пытанне 1.1: Якія працэсы існуюць для бяспечнай распрацоўкі?
A 1.1: Серверы Cisco адпавядаюць жыццёваму цыклу бяспечнай распрацоўкі Cisco (CSDL):
- Cisco забяспечвае працэсы, метадалогіі і структуры для распрацоўкі ўбудаванай бяспекі на серверах Cisco, а не толькі накладанне
- Спецыяльная каманда Cisco для мадэлявання пагроз/статычнага аналізу партфеля прадуктаў UCS
- Cisco Advanced Security Initiative Group (ASIG) праводзіць прэвентыўнае тэсціраванне на пранікненне, каб зразумець, як паступаюць пагрозы, і ліквідаваць праблемы шляхам удасканалення апаратнага і праграмнага забеспячэння з дапамогай CDETS і інжынерыі
- Выдзеленая каманда Cisco для тэсціравання і апрацоўкі выходных уразлівасцей і зносін з кліентамі ў якасці дарадцаў па бяспецы
- Усе асноўныя прадукты праходзяць базавыя патрабаванні бяспекі прадукту (PSB), якія рэгулююць стандарты бяспекі для прадуктаў Cisco
- Cisco праводзіць тэставанне на ўстойлівасць уразлівасці/пратакола для ўсіх выпускаў UCS
Пытанне 1.2: Чаму SED важныя?
A 1.2: SED выкарыстоўваюцца для шыфравання даных у стане спакою і з'яўляюцца патрабаваннем для многіх, калі не ўсіх, федэральных, медыцынскіх і фінансавых устаноў.

Агульная інфармацыя скончанаview

Пытанне 2.1: Што такое SED?
A 2.1: SED (самашыфруючыя дыскі) маюць спецыяльнае абсталяванне, якое шыфруе ўваходныя даныя і расшыфроўвае выходныя ў рэжыме рэальнага часу.
Пытанне 2.2: Які аб'ём шыфравання на HX?
A 2.2: Шыфраванне на HX у цяперашні час рэалізавана ў апаратным забеспячэнні для даных у стане спакою толькі з выкарыстаннем зашыфраваных дыскаў (SED). Шыфраванне HX распаўсюджваецца на ўвесь кластар. Індывідуальнае шыфраванне віртуальнай машыны ажыццяўляецца староннім праграмным забеспячэннем, такім як празрысты кліент Hytrust або Vormetric, і не ўваходзіць у сферу адказнасці HX. HX таксама падтрымлівае выкарыстанне ўласнага шыфравання віртуальнай машыны VMware, уведзенага ў vSphere 3. Выкарыстанне кліента шыфравання ВМ у дадатак да шыфравання на аснове HX SED прывядзе да падвойнага шыфравання даных. Рэплікацыя HX не шыфруецца і абапіраецца на давераныя сеткі або зашыфраваныя тунэлі, разгорнутыя канчатковым карыстальнікам.
Пытанне 2.3: Якім стандартам адпаведнасці адпавядае шыфраванне HX?
A 2.3: Дыскі з шыфраваннем HX SED адпавядаюць стандартам FIPS 140-2 ўзроўню 2 ад вытворцаў дыскаў. Шыфраванне HX на платформе адпавядае стандартам FIPS 140-2 ўзроўню 1.
Пытанне 2.4: Ці падтрымліваем мы як HDD, так і SSD для шыфравання?
A 2.4: Так, мы падтрымліваем як HDD, так і SSD SED ад Micron.
Пытанне 2.5: Ці можа кластар HX мець зашыфраваныя і незашыфраваныя дыскі адначасова?
A 2.5: Усе вузлы ў кластары павінны быць аднолькавымі (SED або не SED)
Пытанне 2.6: Якія ключы выкарыстоўваюцца для SED і як яны выкарыстоўваюцца?
A 2.6: Для кожнага SED выкарыстоўваюцца два ключа. Ключ шыфравання мультымедыя (MEK), таксама званы ключом шыфравання дыска (DEK), кантралюе шыфраванне і дэшыфраванне даных на дыску, абараняецца і кіруецца апаратным забеспячэннем. Ключ шыфравання ключа (KEK) абараняе DEK/MEK і захоўваецца ў лакальным або аддаленым сховішчы ключоў.
Пытанне 2.7: ці прысутнічаюць ключы ў памяці?
A 2.7: Ключы шыфравання ніколі не прысутнічаюць у памяці вузла
Пытанне 2.8: Як працэс шыфравання/дэшыфравання ўплывае на прадукцыйнасць?
A 2.8: Шыфраванне/дэшыфраванне дыска ажыццяўляецца апаратным забеспячэннем прывада. Агульная прадукцыйнасць сістэмы не ўплывае і не падвяргаецца атакам, накіраваным на іншыя кампаненты сістэмы
Пытанне 2.9: Якія яшчэ прычыны выкарыстоўваць SED, акрамя шыфравання ў стане спакою?
A 2.9: SED могуць знізіць выдаткі на спыненне працы дыска і пераразмеркаванне за кошт імгненнага крыптаграфічнага сцірання. Яны таксама служаць для захавання дзяржаўных або галіновых правілаў адносна прыватнасці даных. Яшчэ адзін прывілейtage - зніжэнне рызыкі крадзяжу дыска і вузла, паколькі даныя пасля выдалення апаратнага забеспячэння з экасістэмы становяцца нечытэльнымі.
Q2.10: Што адбываецца з дэдуплікацыяй і сцісканнем з SED? Што адбываецца з шыфраваннем на аснове старонняга праграмнага забеспячэння?
A2.10: Дэдуплікацыя і сцісканне з SED на HX падтрымліваецца, паколькі шыфраванне даных у стане спакою адбываецца як апошні этап у працэсе запісу. Дэдуплікацыя і сціск ужо адбыліся. З прадуктамі шыфравання на аснове праграмнага забеспячэння іншых вытворцаў віртуальныя машыны кіруюць сваім шыфраваннем і перадаюць зашыфраваныя запісы ў гіпервізар і пасля ў HX. Паколькі гэтыя запісы ўжо зашыфраваныя, яны не дэдуплікуюцца і не сціскаюцца. Шыфраванне на аснове праграмнага забеспячэння HX (у кодавай лініі 3.x) будзе рашэннем праграмнага шыфравання, якое ўкараняецца ў стэк пасля аптымізацыі запісу (дэдуплікацыі і сціску), таму ў гэтым выпадку перавага будзе захавана.

Малюнак ніжэй - надview рэалізацыі СЭД з HX.

Дэталі дыска

Пытанне 3.1: Хто вырабляе зашыфраваныя дыскі, якія выкарыстоўваюцца ў HX?
A 3.1: HX выкарыстоўвае дыскі вытворчасці Micron: спасылкі на спецыфічныя дакументы Micron знаходзяцца ў раздзеле дапаможных дакументаў гэтага FAQ.
Пытанне 3.2: ці падтрымліваем мы SED, якія не сумяшчальныя з FIPS?
A 3.2: Мы таксама падтрымліваем некаторыя дыскі, якія не з'яўляюцца FIPS, але падтрымліваюць SED (TCGE).
Пытанне 3.3: Што такое TCG?
A 3.3: TCG - гэта Trusted Computing Group, якая стварае і кіруе стандартам спецыфікацый для зашыфраванага захоўвання даных
Пытанне 3.4: Што лічыцца бяспекай карпаратыўнага класа, калі справа даходзіць да цвёрдацельных назапашвальнікаў SAS для цэнтра апрацоўкі дадзеных? Якія асаблівасці гэтых дыскаў забяспечваюць бяспеку і абарону ад нападаў?
A 3.4: У гэтым спісе абагульняюцца функцыі карпаратыўнага класа SED, якія выкарыстоўваюцца ў HX, і тое, як яны звязаны са стандартам TCG.
1. Назапашвальнікі з самашыфраваннем (SED) забяспечваюць моцную бяспеку даных, якія захоўваюцца на вашым SED, прадухіляючы несанкцыянаваны доступ да даных. Trusted Computing Group (TCG) распрацавала спіс асаблівасцей і пераваг дыскаў з самашыфраваннем як для жорсткіх дыскаў, так і для цвёрдацельных назапашвальнікаў. TCG забяспечвае стандарт, які называецца TCG Enterprise SSC (клас падсістэмы бяспекі) і арыентаваны на даныя ў стане спакою. Гэта патрабаванне для ўсіх SED. Спецыфікацыя прымяняецца да прылад захоўвання дадзеных і кантролераў, якія працуюць у карпаратыўных сховішчах. Спіс уключае:
  - Празрыстасць: Не патрабуецца мадыфікацыя сістэмы або прыкладання; ключ шыфравання, згенераваны самім назапашвальнікам з дапамогай убудаванага сапраўднага генератара выпадковых лікаў; дыск заўсёды шыфруецца.
  - Прастата кіравання: Няма ключа шыфравання для кіравання; пастаўшчыкі праграмнага забеспячэння выкарыстоўваюць стандартызаваны інтэрфейс для кіравання SED, уключаючы дыстанцыйнае кіраванне, аўтэнтыфікацыю перад загрузкай і аднаўленне пароля
  - Кошт утылізацыі або перапрафілявання: З дапамогай SED сатрыце ўбудаваны ключ шыфравання
  - Паўторнае шыфраванне: З SED няма неабходнасці калі-небудзь паўторна шыфраваць дадзеныя
  - Прадукцыйнасць: Няма пагаршэння прадукцыйнасці SED; на апаратнай аснове
  - Стандартызацыя: Уся індустрыя прывадаў будуецца ў адпаведнасці са спецыфікацыямі TCG/SED
  - Спрошчана: Няма ўмяшання ў вышэйшыя працэсы
2. SSD SSD забяспечваюць магчымасць крыптаграфічнага сцірання назапашвальніка. Гэта азначае, што простая аўтэнтыфікаваная каманда можа быць адпраўлена на дыск для змены 256-бітнага ключа шыфравання, які захоўваецца на дыску. Гэта гарантуе, што дыск будзе ачышчаны і на ім не застанецца ніякіх даных. Нават арыгінальная хост-сістэма не можа прачытаць даныя, таму яны будуць абсалютна нечытэльнымі любой іншай сістэмай. Аперацыя займае ўсяго пару секунд, у адрозненне ад шматлікіх хвілін ці нават гадзін, неабходных для выканання аналагічнай аперацыі на незашыфраваным цвёрдым дыску, і дазваляе пазбегнуць выдаткаў на дарагое абсталяванне або паслугі дэгаўзавання жорсткага дыска.
3. FIPS (Федэральны стандарт апрацоўкі інфармацыі) 140-2 - гэта ўрадавы стандарт ЗША, які апісвае шыфраванне і адпаведныя патрабаванні бяспекі, якім ІТ-прадукты павінны адпавядаць для канфідэнцыйнага, але несакрэтнага выкарыстання. Гэта часта з'яўляецца патрабаваннем для дзяржаўных устаноў і кампаній у сферы фінансавых паслуг і аховы здароўя. SSD, які мае праверку FIPS-140-2, выкарыстоўвае надзейныя метады бяспекі, уключаючы зацверджаныя алгарытмы шыфравання. Ён таксама вызначае, як асобныя асобы або іншыя працэсы павінны быць аўтарызаваны для выкарыстання прадукту, і як модулі або кампаненты павінны быць распрацаваны для бяспечнага ўзаемадзеяння з іншымі сістэмамі. Фактычна, адным з патрабаванняў да цвёрдацельнага назапашвальніка з праверкай FIPS-140-2 з'яўляецца тое, што ён з'яўляецца SED. Майце на ўвазе, што хоць TCG - не адзіны спосаб атрымаць сертыфікаваны зашыфраваны дыск, спецыфікацыі TCG Opal і Enterprise SSC з'яўляюцца прыступкай да праверкі FIPS. 4. Яшчэ адна важная асаблівасць - гэта бяспечныя загрузкі і дыягностыка. Гэтая функцыя прашыўкі абараняе дыск ад праграмных атак праз лічбавы подпіс, убудаваны ў прашыўку. Пры неабходнасці загрузкі лічбавы подпіс прадухіляе несанкцыянаваны доступ да дыска, прадухіляючы загрузку падробленага праграмнага забеспячэння на дыск.

Усталёўка Hyperflex з SED

Пытанне 4.1: Як праграма ўстаноўкі апрацоўвае разгортванне SED? Ці ёсць нейкія спецыяльныя праверкі?
A 4.1: Праграма ўстаноўкі ўзаемадзейнічае з UCSM і гарантуе, што ўбудаванае праграмнае забеспячэнне сістэмы правільнае і падтрымліваецца для выяўленага абсталявання. Сумяшчальнасць шыфравання правяраецца і забяспечваецца (напрыклад, адсутнасць змешвання SED і не-SED).
Пытанне 4.2: Ці адрозніваецца разгортванне?
A 4.2: Усталёўка падобная на звычайную ўсталёўку HX, аднак карыстальніцкі працоўны працэс не падтрымліваецца для SED. Гэтая аперацыя таксама патрабуе ўліковых дадзеных UCSM для SED.
Пытанне 4.3: Як працуе ліцэнзаванне з шыфраваннем? Ці ёсць нешта дадатковае, што павінна быць на месцы?
A 4.3: Абсталяванне SED (замоўленае на заводзе, а не мадэрнізацыя) + HXDP 2.5 + UCSM (3.1(3x)) - адзінае, што неабходна для ўключэння шыфравання з кіраваннем ключамі. У выпуску 2.5 няма дадатковага ліцэнзавання, акрамя базавай падпіскі HXDP.

Пытанне 4.4: Што адбываецца, калі ў мяне ёсць сістэма SED, у якой ёсць дыскі, якія больш не даступныя? Як я магу пашырыць гэты кластар?
A 4.4: Кожны раз, калі ў нашых пастаўшчыкоў ёсць любы PID, тэрмін службы якога скончыўся, у нас ёсць PID на замену, які сумяшчальны са старым PID. Гэты PID замены можна выкарыстоўваць для RMA, пашырэння ўнутры вузла і пашырэння кластара (з новымі вузламі). Усе метады падтрымліваюцца, аднак для іх можа спатрэбіцца абнаўленне да пэўнага выпуску, які таксама пазначаны ў нататках да выпуску пераходу.

Кіраванне ключамі

Пытанне 5.1: Што такое кіраванне ключамі?
A 5.1: Кіраванне ключамі - гэта задачы, звязаныя з абаронай, захоўваннем, рэзервовым капіраваннем і арганізацыяй ключоў шыфравання. HX рэалізуе гэта ў палітыцы, арыентаванай на UCSM.
Пытанне 5.2: Які механізм забяспечвае падтрымку канфігурацыі ключоў?
A 5.2: UCSM забяспечвае падтрымку для наладжвання ключоў бяспекі.

Пытанне 5.3: Які тып кіравання ключамі даступны?
A 5.3: Падтрымліваецца лакальнае кіраванне ключамі, а таксама аддаленае кіраванне ключамі карпаратыўнага класа са староннімі серверамі кіравання ключамі.
Пытанне 5.4: Хто такія партнёры па аддаленым кіраванні ключамі?
A 5.4: Зараз мы падтрымліваем Vormetric і Gemalto (Safenet) і ўключае высокую даступнасць (HA). HyTrust знаходзіцца ў стадыі тэставання.
Пытанне 5.5: Як рэалізавана дыстанцыйнае кіраванне ключамі?
A 5.5: Аддаленае кіраванне ключамі ажыццяўляецца праз KMIP 1.1.

Пытанне 5.6: Як наладжана лакальнае кіраванне?
A 5.6: Ключ бяспекі (KEK) наладжваецца ў HX Connect непасрэдна карыстальнікам.
Пытанне 5.7: Як наладжваецца дыстанцыйнае кіраванне?
A 5.7: Адрасная інфармацыя сервера аддаленага кіравання ключамі (KMIP) разам з уліковымі дадзенымі для ўваходу наладжваецца карыстальнікам у HX Connect.
Пытанне 5.8: Якая частка HX звязваецца з серверам KMIP для канфігурацыі?
A 5.8: CIMC на кожным вузле выкарыстоўвае гэтую інфармацыю для падлучэння да сервера KMIP і атрымання з яго ключа бяспекі (KEK).

Пытанне 5.9: Якія тыпы сертыфікатаў падтрымліваюцца ў працэсе генерацыі/атрымання/абнаўлення ключоў?
A 5.9: Падтрымліваюцца як сертыфікаты з подпісам ЦС, так і з самаподпісам.
Пытанне 5.10: Якія працоўныя працэсы падтрымліваюцца ў працэсе шыфравання?
A 5.10: Падтрымліваецца абарона/зняцце абароны з выкарыстаннем карыстальніцкага пароля, а таксама пераўтварэнне лакальнага ў аддаленае кіраванне ключамі. Падтрымліваюцца аперацыі паўторнага ключа. Таксама падтрымліваецца бяспечная аперацыя сцірання дыска.

Працоўны працэс карыстальніка: Лакальны

Пытанне 6.1: Дзе ў HX Connect наладзіць лакальнае кіраванне ключамі?
A 6.1: На прыборнай панэлі шыфравання абярыце кнопку наладзіць і прытрымлівайцеся інструкцый майстра.

Пытанне 6.2: Што мне трэба падрыхтаваць, каб пачаць?
A 6.2: Вам трэба будзе ўвесці парольную фразу з 32 сімвалаў.
Пытанне 6.3: Што адбудзецца, калі мне спатрэбіцца ўставіць новы SED?
6.3: У UCSM вам трэба будзе адрэдагаваць лакальную палітыку бяспекі і ўсталяваць разгорнуты ключ на існуючы ключ вузла.
Пытанне 6.4: Што адбудзецца, калі я ўстаўлю новы дыск?
A 6.4: Калі ключ бяспекі на дыску супадае з ключом сервера (вузла), ён аўтаматычна разблакуецца. Калі ключы бяспекі іншыя, дыск будзе паказаны як «Заблакіраваны». Вы можаце альбо ачысціць дыск, каб выдаліць усе дадзеныя, альбо разблакіраваць яго, указаўшы правільны ключ. Гэта добры час, каб задзейнічаць TAC.

Працоўны працэс карыстальніка: дыстанцыйна

Пытанне 7.1: На што мне трэба звярнуць увагу пры канфігурацыі аддаленага кіравання ключамі?
A 7.1: Сувязь паміж кластарам і серверам (серверамі) KMIP адбываецца праз CIMC на кожным вузле. Гэта азначае, што імя хаста можа быць выкарыстана для сервера KMIP толькі ў тым выпадку, калі ўнутраны IP-адрас і DNS настроены ў кіраванні CIMC
Пытанне 7.2: Што адбудзецца, калі мне спатрэбіцца замяніць або ўставіць новы SED?
A 7.2: Кластар прачытае ідэнтыфікатар з дыска і паспрабуе аўтаматычна разблакіраваць яго. Калі аўтаматычная разблакіроўка не атрымоўваецца, дыск становіцца «заблакіраваным», і карыстальнік павінен разблакіраваць дыск уручную. Вам трэба будзе скапіяваць сертыфікаты на сервер(ы) KMIP для абмену ўліковымі дадзенымі.
Пытанне 7.3: Як скапіяваць сертыфікаты з кластара на сервер(ы) KMIP?
A 7.3: Ёсць два спосабу зрабіць гэта. Вы можаце скапіяваць сертыфікат з BMC на сервер KMIP непасрэдна або вы можаце выкарыстоўваць CSR, каб атрымаць сертыфікат з подпісам ЦС і скапіяваць сертыфікат з подпісам ЦС на BMC з дапамогай каманд UCSM.

Пытанне 7.4: Якія меркаванні існуюць для дадання зашыфраваных вузлоў у кластар, які выкарыстоўвае аддаленае кіраванне ключамі?
A 7.4: Пры даданні новых хастоў да сервера(-аў) KMIP выкарыстоўванае імя хаста павінна быць серыйным нумарам сервера. Каб атрымаць сертыфікат сервера KMIP, вы можаце выкарыстоўваць браўзер, каб атрымаць каранёвы сертыфікат сервера(-аў) KMIP.

Працоўны працэс карыстальніка: агульны

Пытанне 8.1: Як сцерці дыск?
A 8.1: На прыборнай панэлі HX Connect абярыце інфармацыю аб сістэме view. Адтуль вы можаце выбраць асобныя дыскі для бяспечнага сцірання.
Пытанне 8.2: Што рабіць, калі я выпадкова сцёр дыск?
A 8.2: Пры выкарыстанні бяспечнага сцірання даныя знішчаюцца назаўжды

Пытанне 8.3: Што адбываецца, калі я хачу вывесці вузел з эксплуатацыі або раз'яднаць паслугу Profile?
A 8.3: Ні адно з гэтых дзеянняў не выдаліць шыфраванне на дыску/кантролеры.
Пытанне 8.4: Як шыфраванне адключаецца?
A 8.4: Карыстальнік павінен відавочна адключыць шыфраванне ў HX Connect. Калі карыстальнік паспрабуе выдаліць палітыку бяспекі ў UCSM, калі звязаны сервер быў абаронены, UCSM адлюструе памылку канфігурацыі і забараніць дзеянне. Спачатку трэба адключыць палітыку бяспекі.

Працоўны працэс карыстальніка: кіраванне сертыфікатамі

Пытанне 9.1: Як апрацоўваюцца сертыфікаты падчас наладкі аддаленага кіравання?
A 9.1: Сертыфікаты ствараюцца з дапамогай HX Connect і аддаленага(-ых) сервера(-аў) KMIP. Пасля стварэння сертыфікаты амаль ніколі не будуць выдалены.

Пытанне 9.2: Якія сертыфікаты я магу выкарыстоўваць?
A 9.2: Вы можаце выкарыстоўваць як самазавераныя сертыфікаты, так і сертыфікаты ЦС. Вы павінны выбраць падчас наладкі. Для сертыфікатаў, падпісаных ЦС, вы створыце набор запытаў на подпіс сертыфіката (CSR). Падпісаныя сертыфікаты загружаюцца на сервер(ы) KMIP.
Q 9.3: Якое імя хаста я павінен выкарыстоўваць пры генерацыі сертыфікатаў?
A 9.3: Імя хоста, якое выкарыстоўваецца для стварэння сертыфіката, павінна быць серыйным нумарам сервера.

Абнаўленне прашыўкі

Пытанне 10.1: Ці ёсць якія-небудзь абмежаванні на абнаўленне прашыўкі дыска?
A 10.1: Пры выяўленні дыска, які падтрымлівае шыфраванне, любыя змены прашыўкі дыска не будуць дазволены для гэтага дыска.

Q 10.2: Ці існуюць якія-небудзь абмежаванні на абнаўленне прашыўкі UCSM?
A 10.2: Паніжэнне UCSM/CIMC да папярэдняй UCSM 3.1(3x) абмежавана, калі ёсць кантролер, які знаходзіцца ў абароненым стане.

Падрабязнасці бяспечнага сцірання

Пытанне 11.1: Што такое Secure Erase?
A 11.1: Бяспечнае сціранне - гэта імгненнае сціранне даных на дыску (ачыстка ключа шыфравання дыска). Гэта азначае, што простая аўтэнтыфікаваная каманда можа быць адпраўлена на дыск для змены 256-бітнага ключа шыфравання, які захоўваецца на дыску. Гэта гарантуе, што дыск будзе ачышчаны і на ім не застанецца ніякіх даных. Нават зыходная хост-сістэма не можа прачытаць даныя, таму яны будуць нечытэльнымі для любой іншай сістэмы. Аперацыя займае ўсяго пару секунд, у адрозненне ад шматлікіх хвілін ці нават гадзін, неабходных для выканання аналагічнай аперацыі на незашыфраваным дыску, і дазваляе пазбегнуць выдаткаў на дарагое абсталяванне або паслугі размагнічвання.
Пытанне 11.2: Як выконваецца бяспечнае сціранне?
A 11.2: Гэта аперацыя графічнага інтэрфейсу, якая выконваецца па адным дыску.

Q 11.3: Калі звычайна выконваецца бяспечнае сціранне?
A 11.3: Ініцыяванае карыстальнікам бяспечнае сціранне аднаго дыска - рэдкая аперацыя. У асноўным гэта робіцца, калі вы хочаце фізічна выдаліць дыск для замены, перанесці яго на іншы вузел або пазбегнуць збою ў бліжэйшай будучыні.
Пытанне 11.4: Якія абмежаванні існуюць для бяспечнага сцірання?
A 11.4: Аперацыі бяспечнага сцірання можна выконваць толькі ў тым выпадку, калі кластар спраўны, каб гарантаваць, што гэта не ўплывае на ўстойлівасць кластара да збояў.
Пытанне 11.5: Што адбудзецца, калі мне спатрэбіцца выдаліць увесь вузел?
A 11.5: Існуюць працоўныя працэсы выдалення і замены вузла для падтрымкі бяспечнага сцірання ўсіх дыскаў. Глядзіце падрабязную інфармацыю ў кіраўніцтве адміністратара або звярніцеся да Cisco TAC.

Пытанне 11.6: Ці можна паўторна выкарыстоўваць бяспечна сцёрты дыск?
A 11.6: Дыск, які быў надзейна сцёрты, можна паўторна выкарыстоўваць толькі ў іншым кластары. Бяспечнае выдаленне SED ажыццяўляецца шляхам выдалення ключа шыфравання дыска (DEK). Даныя на дыску немагчыма расшыфраваць без DEK. Гэта дазваляе паўторна выкарыстоўваць або вывесці дыск з эксплуатацыі без шкоды для дадзеных.
Q 11.7: Што адбудзецца, калі дыск, які я хачу сцерці, змяшчае апошнюю асноўную копію дадзеных кластара?
A 11.7: Дадзеныя на дыску павінны мець іншыя копіі ў кластары, каб пазбегнуць страты дадзеных. Аднак, калі бяспечнае сціранне запытваецца на дыску, які з'яўляецца апошняй асноўнай копіяй, гэтая аперацыя будзе адхілена, пакуль не будзе даступная хаця б яшчэ адна копія. Rebalance павінен рабіць гэту копію ў фонавым рэжыме.
Пытанне 11.8: Мне сапраўды трэба бяспечна сцерці дыск, але кластар не спраўны. Як я магу гэта зрабіць?
A 11.8: Камандны радок (STCLI/HXCLI) дазволіць бяспечнае сціранне, калі кластар не спраўны і дыск не ўтрымлівае апошняй першаснай копіі, інакш гэта забаронена.

Пытанне 11.9: Як я магу бяспечна сцерці ўвесь вузел?
A 11.9: Гэта рэдкі сцэнар. Бяспечнае выдаленне ўсіх дыскаў у вузле выконваецца, калі хочацца вывесці вузел з кластара. Намер альбо разгарнуць вузел у іншым кластары, альбо вывесці вузел з эксплуатацыі. Мы можам класіфікаваць выдаленне вузла ў гэтым сцэнары двума рознымі спосабамі:
1. Бяспечнае выдаленне ўсіх дыскаў без адключэння шыфравання
2. Бяспечнае выдаленне ўсіх дыскаў з наступным адключэннем шыфравання для гэтага вузла (і дыскаў). Калі ласка, звяжыцеся з Cisco TAC па дапамогу.

Бяспечнае пашырэнне кластара

Пытанне 12.1: з дапамогай якога вузла я магу пашырыць зашыфраваны кластар?
A 12.1: Толькі сумяшчальныя з SED вузлы могуць быць дададзены ў кластар HX з SED.

Q 12.2: Як адбываецца пашырэнне з лакальным кіраваннем ключамі?
A 12.2: Пашырэнне лакальнага ключа - гэта бясшвоўная аперацыя без неабходнасці знешняй канфігурацыі.
Q 12.3: Як адбываецца пашырэнне з дыстанцыйным кіраваннем ключамі?
A 12.3: Аддаленае пашырэнне ключа патрабуе lockstep з сертыфікатамі/інфраструктурай кіравання ключамі:
- Для бяспечнага дадання новага вузла патрабуюцца сертыфікаты
- Разгортванне пакажа папярэджанне з крокамі, каб працягнуць, уключаючы спасылку для загрузкі сертыфіката
- Карыстальнік выконвае інструкцыі па загрузцы сертыфікатаў, а затым паўторна спрабуе разгортванне

Пацвярджаючыя дакументы

Мікрон:

FIPS

Спіс крыпта-алгарытмаў, ухваленых для FIPS 140-2: https://csrc.nist.gov/csrc/media/publications/fips/140/2/final/documents/fips1402annexa.pdf

CDETS:

праект: CSC.nuova Прадукт: ucs-blade-server Кампанент: ucsm

Функцыянальная спецыфікацыя SED:

EDCS: 1574090

Спецыфікацыя SED CIMC:

http://wwwin-eng.cisco.com/Eng/SAVBU/Projects/Rackmount/Freel_Peak/SW_Specs/Remote_Key_Mgmt_sw_design_spec.doc

Спісы рассылкі:

Дакументы / Рэсурсы

Платформа перадачы дадзеных CISCO HyperFlex HX [pdfІнструкцыі
Платформа дадзеных HyperFlex HX, HyperFlex, платформа дадзеных HX, платформа дадзеных, платформа

Спасылкі

Кіраўніцтва карыстальніка