Plataforma de datos CISCO HyperFlex HX

Información del producto

• Nombre del producto: Cifrado de seguridad HX
• Versión: HXDP 5.01b
• Solución de cifrado: Solución basada en software que utiliza Intersight Key Manager
• Tipo de cifrado: Unidades de autocifrado (SED)
• Tipos de unidades admitidas: Unidades SED HDD y SSD de Micron
• Estándares de Cumplimiento: FIPS 140-2 nivel 2 (fabricantes de unidades) y FIPS 140-2 nivel 1 (plataforma)
• Cifrado en todo el clúster: El cifrado en HX se implementa en hardware para datos en reposo únicamente utilizando SED
• Cifrado de VM individual: Manejado por software de terceros como Hytrust o el cliente transparente de Vormetric
• Cifrado de máquina virtual nativo de VMware: Compatible con HX para uso con cifrado SED
• Gestión de claves: La clave de cifrado de medios (MEK) y la clave de cifrado de clave (KEK) se utilizan para cada SED
• Uso de memoria: Las claves de cifrado nunca están presentes en la memoria del nodo
• Impacto en el rendimiento: El cifrado/descifrado del disco se gestiona en el hardware de la unidad, el rendimiento general del sistema no se ve afectado
• Beneficios adicionales de los SED:
  • Borrado criptográfico instantáneo para reducir los costos de retiro y redistribución de unidades
  • Cumplimiento de regulaciones gubernamentales o industriales para la privacidad de datos.
  • Reducción del riesgo de robo de disco y de nodo, ya que los datos se vuelven ilegibles una vez que se retira el hardware.

Instrucciones de uso del producto

Para utilizar HX Security Encryption, siga estas instrucciones:

1. Asegúrese de que su sistema admita el cifrado basado en hardware o que prefiera la solución basada en software utilizando Intersight Key Manager.
2. Consulte los documentos administrativos o los documentos técnicos para obtener información sobre el cifrado basado en software.
3. Si elige utilizar cifrado basado en hardware con SED, asegúrese de que su clúster HX esté formado por nodos uniformes (SED o no SED).
4. Para los SED, comprenda que se utilizan dos claves: la clave de cifrado de medios (MEK) y la clave de cifrado de clave (KEK).
5. MEK controla el cifrado y descifrado de los datos en el disco y está protegido y administrado en hardware.
6. La KEK protege la MEK/DEK y se mantiene en un almacén de claves local o remoto.
7. No se preocupe si las claves están presentes en la memoria del nodo, ya que las claves de cifrado nunca se almacenan allí.
8. Tenga en cuenta que el cifrado/descifrado del disco se gestiona en el hardware de la unidad, lo que garantiza que el rendimiento general del sistema no se vea afectado.
9. Si tiene requisitos específicos para los estándares de cumplimiento, tenga en cuenta que las unidades cifradas HX SED cumplen con los estándares FIPS 140-2 nivel 2 de los fabricantes de unidades, mientras que el cifrado HX en la plataforma cumple con los estándares FIPS 140-2 nivel 1.
10. Si necesita cifrar máquinas virtuales individuales, considere utilizar software de terceros como Hytrust o el cliente transparente de Vormetric. Alternativamente, puede utilizar el cifrado de VM nativo de VMware introducido en vSphere 3.
11. Tenga en cuenta que el uso de un cliente de cifrado de VM además del cifrado basado en HX SED dará como resultado un doble cifrado de los datos.
12. Asegúrese de que su clúster HX esté conectado a través de redes confiables o túneles cifrados para una replicación segura, ya que la replicación HX no está cifrada.

Preguntas frecuentes sobre cifrado de seguridad HX

A partir de HXDP 5.01b, HyperFlex ofrece una solución basada en software que utiliza Intersight Key Manager para sistemas que no admiten cifrado basado en hardware o para usuarios que desean esta funcionalidad en lugar de soluciones de hardware. Estas preguntas frecuentes se centran únicamente en soluciones de hardware basadas en SED para cifrado HX. Consulte los documentos administrativos o los documentos técnicos para obtener información sobre el cifrado basado en software.

Declaración de sesgo
El conjunto de documentación de este producto intenta utilizar un lenguaje libre de prejuicios. A los efectos de este conjunto de documentación, "libre de prejuicios" se define como un lenguaje que no implica discriminación por edad, discapacidad, género, identidad racial, identidad étnica, orientación sexual, estatus socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que está codificado en las interfaces de usuario del software del producto, el lenguaje utilizado según la documentación de estándares o el lenguaje utilizado por un producto de terceros al que se hace referencia.

Por qué Cisco para seguridad y cifrado HX 

• Pregunta 1.1: ¿Qué procesos existen para un desarrollo seguro?
  A 1.1: Los servidores Cisco cumplen con el ciclo de vida de desarrollo seguro de Cisco (CSDL):
  • Cisco proporciona procesos, metodologías y marcos para desarrollar seguridad integrada en servidores Cisco, no solo una superposición.
  • Equipo de Cisco dedicado al modelado de amenazas/análisis estático en la cartera de productos UCS
  • Cisco Advanced Security Initiative Group (ASIG) realiza pruebas de penetración proactivas para comprender cómo llegan las amenazas y solucionar problemas mejorando HW y SW a través de CDETS e ingeniería.
  • Equipo de Cisco dedicado a probar y manejar la vulnerabilidad saliente y comunicarse como asesores de seguridad con los clientes.
  • Todos los productos subyacentes pasan por los requisitos básicos de seguridad del producto (PSB) que rigen los estándares de seguridad para los productos Cisco.
  • Cisco realiza pruebas de solidez de protocolos y vulnerabilidades en todas las versiones de UCS
• Pregunta 1.2: ¿Por qué son importantes los SED?
  A 1.2: Los SED se utilizan para el cifrado de datos en reposo y son un requisito para muchas, si no todas, las instituciones federales, médicas y financieras.

Información general sobreview

• Pregunta 2.1: ¿Qué son los SED?
  A 2.1: Las SED (unidades de autocifrado) tienen un hardware especial que cifra los datos entrantes y descifra los datos salientes en tiempo real.
• P 2.2: ¿Cuál es el alcance del cifrado en HX?
  A 2.2: Actualmente, el cifrado en HX se implementa en hardware para datos en reposo únicamente mediante unidades cifradas (SED). El cifrado HX se aplica a todo el clúster. El cifrado de VM individual lo maneja software de terceros, como Hytrust o el cliente transparente de Vormetric, y está fuera del alcance de las responsabilidades de HX. HX también admite el uso del cifrado de VM nativo de VMware introducido en vSphere 3. El uso de un cliente de cifrado VM además del cifrado basado en HX SED dará como resultado un cifrado doble de los datos. La replicación HX no está cifrada y depende de redes confiables o túneles cifrados implementados por el usuario final.
• P 2.3: ¿Qué estándares de cumplimiento se cumplen con el cifrado HX?
  A 2.3: Las unidades cifradas HX SED cumplen con los estándares FIPS 140-2 nivel 2 de los fabricantes de unidades. HX Encryption en la plataforma cumple con los estándares FIPS 140-2 nivel 1.
• P 2.4: ¿Admitimos tanto HDD como SSD para el cifrado?
  A 2.4: Sí, admitimos unidades SED HDD y SSD de Micron.
• P 2.5: ¿Puede un clúster HX tener unidades cifradas y no cifradas al mismo tiempo?
  A 2.5: Todos los nodos del clúster deben ser uniformes (SED o no SED)
• P 2.6: ¿Qué claves se utilizan para un SED y cómo se utilizan?
  A 2.6: Hay dos claves en uso para cada SED. La clave de cifrado de medios (MEK), también llamada clave de cifrado de disco (DEK), controla el cifrado y descifrado de los datos en el disco y está protegida y administrada en hardware. La clave de cifrado de clave (KEK) protege el DEK/MEK y se mantiene en un almacén de claves local o remoto.
• P 2.7: ¿Las claves están siempre presentes en la memoria?
  A 2.7: Las claves de cifrado nunca están presentes en la memoria del nodo
• P 2.8: ¿Cómo afecta el rendimiento el proceso de cifrado/descifrado?
  A 2.8: El cifrado/descifrado del disco se gestiona en el hardware de la unidad. El rendimiento general del sistema no se ve afectado y no está sujeto a ataques dirigidos a otros componentes del sistema.
• P 2.9: Aparte del cifrado en reposo, ¿cuáles son otras razones para utilizar SED?
  A 2.9: Los SED pueden reducir los costos de retiro y reimplementación de unidades mediante el borrado criptográfico instantáneo. También sirven para cumplir con las regulaciones gubernamentales o industriales sobre privacidad de datos. Otra ventajatage es la reducción del riesgo de robo de disco y de nodo, ya que los datos, una vez que se elimina el hardware del ecosistema, son ilegibles.
• P2.10: ¿Qué sucede con la deduplicación y la compresión con SED? ¿Qué sucede con el cifrado basado en software de terceros?
  A2.10: La deduplicación y compresión con SED en HX se mantiene ya que el cifrado de datos en reposo se realiza como último paso en el proceso de escritura. Ya se han realizado la deduplicación y la compresión. Con productos de cifrado basados ​​en software de terceros, las máquinas virtuales gestionan su cifrado y pasan escrituras cifradas al hipervisor y posteriormente a HX. Dado que estas escrituras ya están cifradas, no se deduplican ni se comprimen. El cifrado basado en software HX (en la línea de código 3.x) será una solución de cifrado de software que se implementará en la pila después de que se hayan producido las optimizaciones de escritura (deduplicación y compresión), por lo que el beneficio se conservará en ese caso.

La siguiente figura es un resumenview de la implementación de SED con HX.

Detalles de la unidad 

• P 3.1: ¿Quién fabrica las unidades cifradas que se utilizan en HX?
  A 3.1: HX utiliza unidades fabricadas por Micron: los documentos específicos de Micron están vinculados en la sección de documentos de respaldo de estas preguntas frecuentes.
• P 3.2: ¿Admitimos algún SED que no sea compatible con FIPS?
  A 3.2: También admitimos algunas unidades que no son FIPS, pero admiten SED (TCGE).
• P 3.3: ¿Qué es el TCG?
  A 3.3: TCG es Trusted Computing Group, que crea y gestiona el estándar de especificaciones para el almacenamiento de datos cifrados.
• P 3.4: ¿Qué se considera seguridad de clase empresarial cuando se trata de SSD SAS para el centro de datos? ¿Qué características específicas tienen estas unidades que garantizan la seguridad y protegen contra ataques?
  A 3.4: Esta lista resume las características de clase empresarial de los SED utilizados en HX y cómo se relacionan con el estándar TCG.
  1. Las unidades de autocifrado (SED) brindan una sólida seguridad para los datos almacenados en su SED, evitando el acceso no autorizado a los datos. Trusted Computing Group (TCG) ha desarrollado una lista de las características y beneficios de las unidades de autocifrado tanto para HDD como para SSD. TCG proporciona un estándar que se llama TCG Enterprise SSC (Clase de subsistema de seguridad) y se centra en datos en reposo. Este es un requisito para todos los SED. La especificación se aplica a los dispositivos y controladores de almacenamiento de datos que operan en el almacenamiento empresarial. La lista incluye:
     • Transparencia: No se requieren modificaciones del sistema o de la aplicación; clave de cifrado generada por la propia unidad, utilizando un verdadero generador de números aleatorios incorporado; la unidad siempre está encriptando.
     • Facilidad de gestión: No hay clave de cifrado que administrar; Los proveedores de software aprovechan la interfaz estandarizada para administrar SED, incluida la administración remota, la autenticación previa al arranque y la recuperación de contraseñas.
     • Costo de eliminación o reutilización: Con un SED, borre la clave de cifrado integrada
     • Volver a cifrar: Con SED, no es necesario volver a cifrar los datos.
     • Actuación: Sin degradación del rendimiento del SED; basado en hardware
     • Normalización: Toda la industria de variadores se está adaptando a las especificaciones TCG/SED
     • Simplificado: Sin interferencias con los procesos upstream
  2. Los SSD SED ofrecen la capacidad de borrar criptográficamente la unidad. Esto significa que se puede enviar un comando autenticado simple a la unidad para cambiar la clave de cifrado de 256 bits almacenada en la unidad. Esto garantiza que la unidad se limpie y que no queden datos. Incluso el sistema host original no puede leer los datos, por lo que ningún otro sistema podrá leerlos. La operación sólo toma un par de segundos, a diferencia de los muchos minutos o incluso horas que se necesitan para realizar una operación análoga en un disco duro no cifrado y evita el costo de costosos equipos o servicios de desmagnetización del disco duro.
  3. FIPS (Estándar Federal de Procesamiento de Información) 140-2 es un estándar del gobierno de EE. UU. que describe el cifrado y los requisitos de seguridad relacionados que deben cumplir los productos de TI para un uso confidencial, pero no clasificado. Este suele ser también un requisito para las agencias gubernamentales y las empresas de los sectores de servicios financieros y sanitarios. Un SSD validado por FIPS-140-2 utiliza prácticas de seguridad sólidas, incluidos algoritmos de cifrado aprobados. También especifica cómo se deben autorizar las personas u otros procesos para utilizar el producto, y cómo se deben diseñar los módulos o componentes para interactuar de forma segura con otros sistemas. De hecho, uno de los requisitos de una unidad SSD validada FIPS-140-2 es que sea una SED. Tenga en cuenta que, aunque TCG no es la única forma de obtener una unidad cifrada certificada, las especificaciones TCG Opal y Enterprise SSC nos proporcionan un trampolín hacia la validación FIPS. 4. Otra característica esencial son las descargas y diagnósticos seguros. Esta función de firmware protege la unidad de ataques de software mediante una firma digital integrada en el firmware. Cuando se necesitan descargas, la firma digital evita el acceso no autorizado a la unidad, evitando que se cargue firmware falso en la unidad.

Instalación Hyperflex con SED

• P 4.1: ¿Cómo maneja el instalador una implementación de SED? ¿Existen controles especiales?
  A 4.1: El instalador se comunica con UCSM y garantiza que el firmware del sistema sea correcto y compatible con el hardware detectado. La compatibilidad del cifrado se verifica y se aplica (por ejemplo, no se mezclan SED y no SED).
• P 4.2: ¿La implementación es diferente?
  A 4.2: La instalación es similar a una instalación HX normal; sin embargo, el flujo de trabajo personalizado no es compatible con SED. Esta operación también requiere credenciales UCSM para los SED.
• P 4.3: ¿Cómo funcionan las licencias con el cifrado? ¿Hay algo adicional que deba implementarse?
  A 4.3: El hardware SED (pedido de fábrica, no actualizado) + HXDP 2.5 + UCSM (3.1(3x)) son los únicos elementos necesarios para habilitar el cifrado con administración de claves. No hay licencias adicionales fuera de la suscripción básica HXDP requerida en la versión 2.5.
• P 4.4: ¿Qué sucede cuando tengo un sistema SED que tiene unidades que ya no están disponibles? ¿Cómo puedo ampliar este clúster?
  A 4.4: Siempre que tenemos algún PID que ha llegado al final de su vida útil de nuestros proveedores, tenemos un PID de reemplazo que es compatible con el PID anterior. Este PID de reemplazo se puede utilizar para RMA, expansión dentro de un nodo y expansión del clúster (con nuevos nodos). Todos los métodos son compatibles; sin embargo, es posible que sea necesario actualizarlos a una versión específica que también se identifica en las notas de la versión de transición.

Gestión de claves

• P 5.1: ¿Qué es la gestión de claves?
  A 5.1: La gestión de claves son las tareas relacionadas con la protección, el almacenamiento, la copia de seguridad y la organización de las claves de cifrado. HX implementa esto en una política centrada en la UCSM.
• P 5.2: ¿Qué mecanismo brinda soporte para la configuración de claves?
  A 5.2: UCSM brinda soporte para configurar claves de seguridad.
• P 5.3: ¿Qué tipo de gestión de claves está disponible?
  A 5.3: Se admite la administración local de claves, junto con la administración remota de claves de clase empresarial con servidores de administración de claves de terceros.
• P 5.4: ¿Quiénes son los socios de gestión remota de claves?
  A 5.4: Actualmente admitimos Vormetric y Gemalto (Safenet) e incluye alta disponibilidad (HA). HyTrust está en pruebas.
• P 5.5: ¿Cómo se implementa la gestión remota de claves?
  A 5.5: La gestión remota de claves se gestiona a través de KMIP 1.1.
• P 5.6: ¿Cómo se configura la gestión local?
  A 5.6: La clave de seguridad (KEK) es configurada en HX Connect, directamente por el usuario.
• P 5.7: ¿Cómo se configura la administración remota?
  A 5.7: El usuario configura en HX Connect la información de la dirección del servidor de administración remota de claves (KMIP) junto con las credenciales de inicio de sesión.
• P 5.8: ¿Qué parte de HX se comunica con el servidor KMIP para su configuración?
  A 5.8: El CIMC de cada nodo utiliza esta información para conectarse al servidor KMIP y recuperar la clave de seguridad (KEK) del mismo.
  
• P 5.9: ¿Qué tipos de certificados se admiten en el proceso de generación/recuperación/actualización de claves?
  A 5.9: Se admiten certificados firmados por CA y autofirmados.
  
• P 5.10: ¿Qué flujos de trabajo se admiten con el proceso de cifrado?
  A 5.10: Se admite proteger/desproteger mediante una contraseña personalizada junto con la conversión de administración de claves local a remota. Se admiten operaciones de cambio de clave. También se admite la operación de borrado seguro del disco.
  

Flujo de trabajo del usuario: local

• P 6.1: En HX Connect, ¿dónde configuro la administración de claves local?
  A 6.1: En el panel de cifrado, seleccione el botón configurar y siga el asistente.
• P 6.2: ¿Qué necesito tener listo para comenzar con esto?
  A 6.2: Deberá proporcionar una frase de contraseña de seguridad de 32 caracteres.
• P 6.3: ¿Qué sucede si necesito insertar un nuevo SED?
  Un 6.3: En UCSM deberá editar la política de seguridad local y configurar la clave implementada en la clave de nodo existente.
• Pregunta 6.4: ¿Qué sucede cuando inserto el nuevo disco?
  A 6.4: Si la clave de seguridad del disco coincide con la del servidor (nodo), se desbloquea automáticamente. Si las claves de seguridad son diferentes, el disco se mostrará como "Bloqueado". Puede borrar el disco para eliminar todos los datos o desbloquearlo proporcionando la clave correcta. Este es un buen momento para involucrar al TAC.

Flujo de trabajo del usuario: remoto

• P 7.1: ¿Cuáles son algunas cosas que debo tener en cuenta con la configuración de administración remota de claves?
  A 7.1: La comunicación entre el clúster y los servidores KMIP se realiza a través del CIMC en cada nodo. Esto significa que el nombre de host se puede usar para el servidor KMIP solo si la dirección IP Inband y el DNS están configurados en la administración CIMC.
• P 7.2: ¿Qué sucede si necesito reemplazar o insertar un SED nuevo?
  A 7.2: El clúster leerá el identificador del disco e intentará desbloquearlo automáticamente. Si falla el desbloqueo automático, el disco aparece como "bloqueado" y el usuario debe desbloquearlo manualmente. Tendrá que copiar los certificados a los servidores KMIP para el intercambio de credenciales.
• P 7.3: ¿Cómo copio certificados del clúster a los servidores KMIP?
  A 7.3: Hay dos maneras de hacer esto. Puede copiar el certificado del BMC al servidor KMIP directamente o puede usar el CSR para obtener un certificado firmado por una CA y copiar el certificado firmado por una CA al BMC usando comandos UCSM.
• P 7.4: ¿Qué consideraciones existen para agregar nodos cifrados a un clúster que utiliza administración remota de claves?
  A 7.4: Al agregar nuevos hosts a los servidores KMIP, el nombre de host utilizado debe ser el número de serie del servidor. Para obtener el certificado del servidor KMIP, puede utilizar un navegador para obtener el certificado raíz de los servidores KMIP.

Flujo de trabajo del usuario: general

• P 8.1: ¿Cómo borro un disco?
  A 8.1: En el panel de HX Connect, seleccione la información del sistema view. Desde allí puede seleccionar discos individuales para un borrado seguro.
• P 8.2: ¿Qué pasa si borré un disco por accidente?
  A 8.2: Cuando se utiliza el borrado seguro, los datos se destruyen permanentemente.
• P 8.3: ¿Qué sucede cuando quiero desmantelar un nodo o disociar un profesional de servicios?file?
  A 8.3: Ninguna de estas acciones eliminará el cifrado en el disco/controlador.
• P 8.4: ¿Cómo se desactiva el cifrado?
  A 8.4: El usuario debe desactivar explícitamente el cifrado en HX Connect. Si el usuario intenta eliminar una política de seguridad en UCSM cuando el servidor asociado ha sido protegido, UCSM mostrará un error de configuración y no permitirá la acción. Primero se debe desactivar la política de seguridad.

Flujo de trabajo del usuario: gestión de certificados

• P 9.1: ¿Cómo se manejan los certificados durante la configuración de la administración remota?
  A 9.1: Los certificados se crean utilizando HX Connect y los servidores KMIP remotos. Los certificados una vez creados casi nunca se eliminarán.
• P 9.2: ¿Qué tipo de certificados puedo utilizar?
  A 9.2: Puede utilizar certificados autofirmados o certificados de CA. Tienes que elegir durante la configuración. Para los certificados firmados por CA, generará un conjunto de solicitudes de firma de certificados (CSR). Los certificados firmados se cargan en los servidores KMIP.
• P 9.3: ¿Qué nombre de host debo usar al generar los certificados?
  A 9.3: El nombre de host utilizado para generar el certificado debe ser el número de serie del servidor.

Actualizaciones de firmware

• P 10.1: ¿Existe alguna restricción para actualizar el firmware del disco?
  A 10.1: Si se detecta una unidad con capacidad de cifrado, no se permitirá ningún cambio en el firmware del disco para ese disco.
• P 10.2: ¿Existe alguna restricción para actualizar el firmware de UCSM?
  A 10.2: La degradación de UCSM/CIMC a una versión anterior a UCSM 3.1(3x) está restringida si hay un controlador que se encuentra en estado seguro.

Detalles de borrado seguro

• P 11.1: ¿Qué es el borrado seguro?
  A 11.1: El borrado seguro es el borrado instantáneo de los datos de la unidad (borrado de la clave de cifrado del disco). Esto significa que se puede enviar un comando autenticado simple a la unidad para cambiar la clave de cifrado de 256 bits almacenada en la unidad. Esto garantiza que la unidad se limpie y que no queden datos. Incluso el sistema host original no puede leer los datos, por lo que ningún otro sistema podrá leerlos. La operación sólo toma un par de segundos, a diferencia de los muchos minutos o incluso horas que se necesitan para realizar una operación análoga en un disco no cifrado y evita el costo de costosos equipos o servicios de desmagnetización.
• P 11.2: ¿Cómo se realiza el borrado seguro?
  A 11.2: Esta es una operación de GUI que se realiza una unidad a la vez.
• P 11.3: ¿Cuándo se suele realizar el borrado seguro?
  A 11.3: El borrado seguro de un solo disco iniciado por el usuario es una operación poco común. Esto se hace principalmente cuando desea extraer físicamente el disco para reemplazarlo, transferirlo a otro nodo o evitar fallas en el futuro cercano.
• P 11.4: ¿Qué restricciones existen sobre el borrado seguro?
  A 11.4: Las operaciones de borrado seguro solo se pueden realizar si el clúster está en buen estado para garantizar que la resistencia a fallas del clúster no se vea afectada.
• P 11.5: ¿Qué sucede si necesito eliminar un nodo completo?
  A 11.5: Hay flujos de trabajo de eliminación y reemplazo de nodos para admitir el borrado seguro de todas las unidades. Consulte la guía de administración para obtener más detalles o consulte Cisco TAC.
• P 11.6: ¿Se puede reutilizar un disco borrado de forma segura?
  A 11.6: Un disco que se haya borrado de forma segura sólo se puede reutilizar en un clúster diferente. El borrado seguro del SED se realiza borrando la clave de cifrado del disco (DEK). Los datos del disco no se pueden descifrar sin DEK. Esto le permite reutilizar o desmantelar el disco sin comprometer los datos.
• P 11.7: ¿Qué sucede si el disco que quiero borrar contiene la última copia primaria de los datos del clúster?
  A 11.7: Los datos del disco deben tener otras copias en el clúster para evitar la pérdida de datos. Sin embargo, si se solicita el borrado seguro en un disco que es la última copia primaria, esta operación se rechazará hasta que haya al menos una copia más disponible. Rebalance debería hacer esta copia en segundo plano.
• P 11.8: Realmente necesito borrar un disco de forma segura, pero el clúster no está en buen estado. ¿Cómo puedo hacerlo?
  A 11.8: La línea de comando (STCLI/HXCLI) permitirá el borrado seguro cuando el clúster no esté en buen estado y el disco no contenga la última copia primaria; de lo contrario, no se permitirá.
• Pregunta 11.9: ¿Cómo puedo borrar de forma segura un nodo completo?
  A 11.9: Este es un escenario poco común. El borrado seguro de todos los discos de un nodo se realiza cuando se quiere sacar el nodo del clúster. La intención es implementar el nodo en un clúster diferente o desmantelarlo. Podemos clasificar la eliminación de nodos en este escenario de dos formas diferentes:
  1. Borrado seguro de todos los discos sin desactivar el cifrado
  2. Borre de forma segura todos los discos y luego deshabilite el cifrado para ese nodo (y los discos). Comuníquese con Cisco TAC para obtener ayuda.

Expansión segura de un clúster

• P 12.1: ¿Con qué tipo de nodo puedo expandir un clúster cifrado?
  A 12.1: Solo se pueden agregar nodos compatibles con SED a un clúster HX con SED.
• P 12.2: ¿Cómo se maneja la expansión con la administración de claves local?
  A 12.2: La expansión de clave local es una operación perfecta que no requiere configuración externa.
• P 12.3: ¿Cómo se maneja la expansión con administración remota de claves?
  A 12.3: La expansión remota de claves requiere la coordinación con certificados/infraestructura de administración de claves:
  • Se requieren certificados para agregar un nuevo nodo de forma segura
  • La implementación mostrará una advertencia con los pasos a seguir, incluido un enlace para descargar el certificado.
  • El usuario sigue los pasos para cargar los certificados y luego vuelve a intentar la implementación.

Documentos de apoyo

Micrón:

• https://www.micron.com/about/blogs/2016/may/selfencrypting-drives-understanding-the-strategy-of-security
• https://www.micron.com/~/media/documents/products/technical-marketing-brief/5100_sed_tcg-e_tech_brief.pdf
• https://csrc.nist.gov/csrc/media/projects/cryptographic-module-validation-program/documents/security-policies/140sp2667.pdf
• https://csrc.nist.gov/csrc/media/projects/cryptographic-module-validation-program/documents/security-policies/140sp2382.pdf

Fips

• Lista de algoritmos criptográficos aprobados para FIPS 140-2: https://csrc.nist.gov/csrc/media/publications/fips/140/2/final/documents/fips1402annexa.pdf

CDETS:

• Proyecto: CSC.nuova Producto: ucs-blade-server Componente: ucsm

Especificación funcional SED:

• EDCS: 1574090

Especificación SED CIMC:

• http://wwwin-eng.cisco.com/Eng/SAVBU/Projects/Rackmount/Freel_Peak/SW_Specs/Remote_Key_Mgmt_sw_design_spec.doc

Listas de correo:

• ucsm-dev@cisco.com
• pregunte-hci-tme@cisco.com
• pregunte-hci-pm@cisco.com

Documentos / Recursos

Plataforma de datos CISCO HyperFlex HX [pdf] Instrucciones Plataforma de datos HyperFlex HX, HyperFlex, Plataforma de datos HX, Plataforma de datos, Plataforma

Referencias

• Manual de usuario