A CISCO HyperFlex HX adatplatformra vonatkozó utasítások

Tartalom elrejt

1 CISCO HyperFlex HX adatplatform

2 Termékinformáció

3 A termék használati útmutatója

4 HX Security Encryption GYIK

5 Támogató dokumentumok

6 Dokumentumok / Források

6.1 Hivatkozások

7 Kapcsolódó bejegyzések

CISCO HyperFlex HX adatplatform

Termékinformáció

Termék neve: HX biztonsági titkosítás
Változat: HXDP 5.01b
Titkosító megoldás: Szoftver alapú megoldás az Intersight Key Manager használatával
Titkosítás típusa: Öntitkosító meghajtók (SED)
Támogatott meghajtótípusok: HDD és SSD SED a Microntól
Megfelelőségi szabványok: FIPS 140-2 2. szint (meghajtógyártók) és FIPS 140-2 1. szint (platform)

Klaszterszintű titkosítás: A HX titkosítása csak SED-ek használatával valósul meg hardverben a nyugalmi adatokhoz
Egyéni virtuális gép titkosítása: Harmadik féltől származó szoftverek kezelik, például a Hytrust vagy a Vormetric átlátható kliense

VMware natív virtuális gép titkosítás: A HX támogatja a SED titkosítással való használatra
Kulcskezelés: Médiatitkosítási Kulcsot (MEK) és Kulcstitkosítási Kulcsot (KEK) használnak minden egyes SED-hez

Memóriahasználat: A titkosítási kulcsok soha nem találhatók a csomópont memóriájában
Hatás a teljesítményre: A lemeztitkosítást/dekódolást a meghajtó hardvere kezeli, a rendszer általános teljesítményét ez nem érinti

A SED további előnyei:
- Azonnali kriptográfiai törlés a meghajtók kivonási és átcsoportosítási költségeinek csökkentése érdekében
- Az adatvédelemre vonatkozó kormányzati vagy iparági előírások betartása
- Csökkenti a lemezlopás és a csomópont-lopás kockázatát, mivel az adatok olvashatatlanná válnak a hardver eltávolítása után

A termék használati útmutatója

A HX Security Encryption használatához kövesse az alábbi utasításokat:

Győződjön meg arról, hogy rendszere támogatja a hardver alapú titkosítást, vagy hogy a szoftver alapú megoldást részesíti előnyben az Intersight Key Manager használatával.

A szoftver alapú titkosítással kapcsolatos információkért tekintse meg az adminisztrációs dokumentumokat vagy tanulmány(oka)t.
Ha úgy dönt, hogy hardveralapú titkosítást használ SED-ekkel, győződjön meg arról, hogy a HX-fürt egységes csomópontokból (SED-ekből vagy nem SED-ekből) áll.

Az SED-ek esetében vegye figyelembe, hogy két kulcs van használatban: a médiatitkosítási kulcs (MEK) és a kulcstitkosítási kulcs (KEK).
A MEK vezérli a lemezen lévő adatok titkosítását és visszafejtését, és hardveresen védett és felügyelt.

A KEK védi a MEK/DEK-et, és egy helyi vagy távoli kulcstárolóban van karbantartva.
Ne aggódjon amiatt, hogy a kulcsok a csomópont memóriájában vannak, mivel a titkosítási kulcsok soha nem tárolódnak ott.

Ne feledje, hogy a lemez titkosítása/dekódolása a meghajtó hardverében történik, biztosítva, hogy a rendszer teljes teljesítménye ne legyen hatással.
Ha speciális követelményei vannak a megfelelőségi szabványokkal kapcsolatban, vegye figyelembe, hogy a HX SED titkosított meghajtók megfelelnek a meghajtógyártók FIPS 140-2 2. szintű szabványainak, míg a platformon található HX Encryption megfelel a FIPS 140-2 1. szintű szabványoknak.

Ha egyes virtuális gépeket kell titkosítania, fontolja meg harmadik féltől származó szoftverek, például a Hytrust vagy a Vormetric átlátszó kliensének használatát. Alternatív megoldásként használhatja a VMware natív virtuálisgép-titkosítását, amelyet a vSphere 3-ben vezettek be.
Ne feledje, hogy a virtuálisgép-titkosítási ügyfél használata a HX SED-alapú titkosításon felül az adatok kettős titkosítását eredményezi.

Győződjön meg arról, hogy a HX-fürt megbízható hálózatokon vagy titkosított alagutakon keresztül csatlakozik a biztonságos replikáció érdekében, mivel a HX-replikáció nincs titkosítva.

HX Security Encryption GYIK

A HXDP 5.01b-től kezdve a HyperFlex szoftveralapú megoldást kínál az Intersight Key Manager használatával olyan rendszerek számára, amelyek vagy nem támogatják a hardveralapú titkosítást, vagy azoknak a felhasználóknak, akik ezt a funkcionalitást a hardvermegoldások helyett kívánják. Ez a GYIK csak a HX titkosítás SED-alapú hardvermegoldásaira összpontosít. A szoftver alapú titkosítással kapcsolatos információkért tekintse meg az adminisztrációs dokumentumokat vagy tanulmány(oka)t.

Elfogultsági nyilatkozat
A termék dokumentációja törekszik a torzításmentes nyelvhasználatra. A jelen dokumentációban az elfogultságmentesség olyan nyelvezet, amely nem jelent koron, fogyatékosságon, nemen, faji identitáson, etnikai identitáson, szexuális irányultságon, társadalmi-gazdasági státuszon és interszekcionalitáson alapuló megkülönböztetést. Kivételek lehetnek a dokumentációban a termékszoftver felhasználói felületén keménykódolt nyelv, a szabványos dokumentáción alapuló nyelv vagy a hivatkozott harmadik fél terméke által használt nyelv miatt.

Miért Cisco for Security és HX Encryption?

1.1. kérdés: Milyen folyamatok működnek a biztonságos fejlesztés érdekében?
A 1.1: A Cisco szerverek betartják a Cisco Secure Development Lifecycle (CSDL) előírásait:
- A Cisco folyamatokat, módszertanokat és keretrendszereket biztosít a beágyazott biztonság fejlesztéséhez a Cisco szervereken, nem csak egy átfedést
- Elkötelezett Cisco-csapat az UCS termékportfólió fenyegetésmodellezésére/statikus elemzésére
- A Cisco Advanced Security Initiative Group (ASIG) proaktív behatolási teszteket végez, hogy megértse a fenyegetések megjelenését, és javítsa a problémákat a HW és SW fejlesztésével a CDETS-en és a tervezésen keresztül.
- Elkötelezett Cisco-csapat a kimenő sebezhetőségek tesztelésére és kezelésére, valamint biztonsági tanácsadóként kommunikál az ügyfelekkel
- Az összes mögöttes termék megfelel a termékbiztonsági alapkövetelményeknek (PSB), amelyek szabályozzák a Cisco termékek biztonsági szabványait
- A Cisco minden UCS-kiadáson sérülékenység/protokoll robusztussági tesztet végez
1.2. kérdés: Miért fontosak a SED-ek?
A 1.2: Az SED-eket a nyugalmi adatok titkosítására használják, és sok, ha nem az összes szövetségi, egészségügyi és pénzügyi intézmény számára követelmény.

Általános információk Végeview

2.1. kérdés: Mik azok a SED-ek?
A 2.1: A SED (Self-Encrypting Drives) speciális hardverrel rendelkezik, amely titkosítja a bejövő adatokat és valós időben visszafejti a kimenő adatokat.
2.2. kérdés: Mi a titkosítás hatóköre a HX-en?
A 2.2: A HX-en a titkosítás jelenleg hardverben van megvalósítva a nyugalmi adatokhoz, csak titkosított meghajtók (SED) használatával. A HX titkosítás klaszterszintű. Az egyéni virtuális gépek titkosítását harmadik féltől származó szoftverek, például a Hytrust vagy a Vormetric átlátható kliense kezelik, és az nem tartozik a HX felelősségi körébe. A HX támogatja a VMware natív virtuálisgép-titkosításának használatát is, amelyet a vSphere 3-ben vezettek be. Virtuálisgép-titkosítási kliens használata a HX SED alapú titkosításon felül az adatok kettős titkosítását eredményezi. A HX replikáció nem titkosított, és a végfelhasználó által telepített megbízható hálózatokra vagy titkosított alagutakra támaszkodik.
2.3. kérdés: Milyen megfelelési szabványoknak felel meg a HX titkosítás?
A 2.3: A HX SED titkosított meghajtók megfelelnek a meghajtógyártók FIPS 140-2 2. szintű szabványainak. A platformon található HX titkosítás megfelel a FIPS 140-2 1. szintű szabványoknak.
2.4. kérdés: Támogatjuk a HDD-t és az SSD-t is a titkosításhoz?
A 2.4: Igen, a Micron HDD és SSD SED-eit egyaránt támogatjuk.
2.5. kérdés: Lehet-e egy HX-fürtnek egyszerre titkosított és nem titkosított meghajtója?
A 2.5: A fürt összes csomópontjának egységesnek kell lennie (SED vagy nem SED)
2.6. kérdés: Milyen kulcsokat használnak egy SED-hez, és hogyan használják őket?
A 2.6: Minden SED-hez két kulcs van használatban. A lemeztitkosítási kulcsnak (DEK) is nevezett médiatitkosítási kulcs (MEK) vezérli a lemezen tárolt adatok titkosítását és visszafejtését, és hardveresen védett és felügyelt. A kulcstitkosítási kulcs (KEK) védi a DEK/MEK-et, és egy helyi vagy távoli kulcstárolóban van karbantartva.
2.7. kérdés: A kulcsok jelen vannak a memóriában?
A 2.7: A titkosítási kulcsok soha nem találhatók a csomópont memóriájában
2.8. kérdés: Hogyan befolyásolja a teljesítményt a titkosítási/visszafejtési folyamat?
A 2.8: A lemez titkosítása/dekódolása a meghajtó hardverében történik. A rendszer általános teljesítményét ez nem érinti, és nincs kitéve a rendszer más összetevőit célzó támadásoknak
2.9. kérdés: A nyugalmi titkosításon kívül milyen egyéb okok indokolják a SED-ek használatát?
A 2.9: Az SED-ek az azonnali kriptográfiai törlés révén csökkenthetik a meghajtók nyugdíjazásának és átcsoportosításának költségeit. Arra is szolgálnak, hogy megfeleljenek a kormányzati vagy iparági adatvédelmi előírásoknak. Újabb advantage a lemezlopás és a csomópont-lopás kockázatának csökkentése, mivel az adatok a hardver ökoszisztémából való eltávolítása után olvashatatlanok.
2.10. kérdés: Mi történik a deduplikációval és a SED-ekkel való tömörítéssel? Mi történik a harmadik féltől származó szoftver alapú titkosítással?
A2.10: A deduplikáció és a tömörítés a SED-ekkel a HX-en megmarad, mivel a nyugalmi adatok titkosítása az írási folyamat utolsó lépéseként történik. A deduplikáció és a tömörítés már megtörtént. Harmadik féltől származó szoftver alapú titkosítási termékekkel a virtuális gépek kezelik a titkosításukat, és titkosított írásokat továbbítanak a hypervisornak, majd a HX-nek. Mivel ezek az írások már titkosítottak, nem kerülnek deduplikációra vagy tömörítésre. A HX Software Based Encryption (az 3.x kódsorban) egy olyan szoftveres titkosítási megoldás, amelyet az írási optimalizálás (deduplikáció és tömörítés) után implementálnak a veremben, így az előny ebben az esetben megmarad.

Az alábbi ábra egy végeview a SED HX-szel való megvalósításáról.

Meghajtó Részletek

3.1. kérdés: Ki gyártja a HX-ben használt titkosított meghajtókat?
A 3.1: A HX Micron által gyártott meghajtókat használ: A Micron-specifikus dokumentumok a GYIK alátámasztó dokumentumok részében találhatók.
3.2. kérdés: Támogatunk olyan SED-eket, amelyek nem megfelelnek a FIPS-kompatibilisnek?
A 3.2: Támogatunk néhány olyan meghajtót is, amelyek nem FIPS-ek, de támogatják a SED-et (TCGE).
3.3. kérdés: Mi az a TCG?
A 3.3: A TCG a Trusted Computing Group, amely létrehozza és kezeli a titkosított adattárolás specifikációs szabványát.
3.4. kérdés: Mi számít nagyvállalati szintű biztonságnak, ha az adatközpontba szánt SAS SSD-kről van szó? Milyen sajátosságai vannak ezeknek a meghajtóknak, amelyek biztosítják a biztonságot és védenek a támadásoktól?
A 3.4: Ez a lista összefoglalja a HX-ben használt SED-ek nagyvállalati szintű jellemzőit, és azt, hogy ezek hogyan kapcsolódnak a TCG-szabványhoz.
1. Az öntitkosító meghajtók (SED) erős biztonságot nyújtanak az SED-en nyugvó adatok számára, megakadályozva az illetéktelen adathozzáférést. A Trusted Computing Group (TCG) összeállított egy listát az öntitkosító meghajtók szolgáltatásairól és előnyeiről mind a HDD-k, mind az SSD-k számára. A TCG szabványt biztosít, amelyet TCG Enterprise SSC-nek (Security Subsystem Class) neveznek, és a nyugalmi adatokra összpontosít. Ez minden SED-re követelmény. A specifikáció a vállalati tárolásban működő adattároló eszközökre és vezérlőkre vonatkozik. A lista a következőket tartalmazza:
  - Átlátszóság: Nincs szükség rendszer- vagy alkalmazásmódosításra; maga a meghajtó által generált titkosítási kulcs egy beépített valódi véletlenszám-generátor használatával; a meghajtó mindig titkosít.
  - Könnyű kezelhetőség: Nincs kezelhető titkosítási kulcs; A szoftvergyártók szabványos felületet használnak a SED-ek kezeléséhez, beleértve a távkezelést, a rendszerindítás előtti hitelesítést és a jelszó-helyreállítást
  - Ártalmatlanítási vagy újrahasznosítási költség: SED segítségével törölje a fedélzeti titkosítási kulcsot
  - Újratitkosítás: A SED használatával nincs szükség az adatok újratitkosítására
  - Teljesítmény: Nem romlik a SED teljesítménye; hardver alapú
  - Szabványosítás: Az egész meghajtóipar a TCG/SED specifikációkra épít
  - Egyszerűsített: Nincs interferencia az upstream folyamatokkal
2. Az SSD SED-ek lehetővé teszik a meghajtó kriptográfiai törlését. Ez azt jelenti, hogy egy egyszerű hitelesített parancs küldhető a meghajtónak a meghajtón tárolt 256 bites titkosítási kulcs megváltoztatásához. Ez biztosítja, hogy a meghajtó tisztára kerüljön, és ne maradjanak adatok. Még az eredeti gazdarendszer sem tudja beolvasni az adatokat, így azok minden más rendszer számára nem olvashatók. A művelet mindössze néhány másodpercet vesz igénybe, szemben azzal a sok perccel vagy akár órával, amely egy analóg művelet végrehajtásához szükséges egy titkosítatlan HDD-n, és elkerülhető a drága HDD gáztalanító berendezés vagy szolgáltatás költsége.
3. A FIPS (Federal Information Processing Standard) 140-2 egy amerikai kormányszabvány, amely leírja azokat a titkosítási és kapcsolódó biztonsági követelményeket, amelyeket az IT-termékeknek meg kell felelniük az érzékeny, de nem minősített felhasználás esetén. Ez gyakran követelmény a pénzügyi szolgáltatások és az egészségügy kormányzati ügynökségei és vállalatai számára is. Az FIPS-140-2 hitelesítésű SSD erős biztonsági gyakorlatokat alkalmaz, beleértve a jóváhagyott titkosítási algoritmusokat. Azt is meghatározza, hogy az egyéneket vagy más folyamatokat hogyan kell engedélyezni a termék használatához, és hogyan kell a modulokat vagy összetevőket úgy megtervezni, hogy biztonságosan együttműködjenek más rendszerekkel. Valójában a FIPS-140-2-vel hitelesített SSD-meghajtók egyik követelménye, hogy SED legyen. Ne feledje, hogy bár a TCG nem az egyetlen módja annak, hogy hitelesített titkosított meghajtót szerezzünk be, a TCG Opal és az Enterprise SSC specifikációi ugródeszkát jelentenek a FIPS érvényesítéséhez. 4. Egy másik lényeges szolgáltatás a biztonságos letöltések és diagnosztika. Ez a firmware-funkció a firmware-be épített digitális aláírás révén védi a meghajtót a szoftveres támadásoktól. Amikor letöltésre van szükség, a digitális aláírás megakadályozza a meghajtóhoz való jogosulatlan hozzáférést, és megakadályozza, hogy hamis firmware-t töltsenek be a meghajtóra.

Hyperflex telepítés SED-ekkel

4.1. kérdés: Hogyan kezeli a telepítő a SED telepítését? Vannak speciális ellenőrzések?
A 4.1: A telepítő kommunikál az UCSM-mel, és biztosítja, hogy a rendszer firmware-e megfelelő, és az észlelt hardverhez támogatott. A titkosítási kompatibilitást ellenőrzik és kényszerítik (pl. nincs SED és nem SED keverés).
4.2. kérdés: Különben más a telepítés?
A 4.2: A telepítés hasonló a normál HX-telepítéshez, azonban az egyéni munkafolyamat nem támogatott SED-eknél. Ehhez a művelethez UCSM hitelesítő adatokra van szükség a SED-ekhez is.
4.3. kérdés: Hogyan működik a licencelés titkosítással? Van valami extra, aminek a helyén kell lennie?
A 4.3: SED hardver (gyárilag rendelt, nem utólag) + HXDP 2.5 + UCSM (3.1(3x)) az egyetlen dolog, ami szükséges a kulcskezeléssel történő titkosításhoz. A 2.5-ös kiadásban az alap HXDP-előfizetésen kívül nincs szükség további licencekre.

4.4. kérdés: Mi történik, ha olyan SED rendszerem van, amelynek meghajtói már nem állnak rendelkezésre? Hogyan bővíthetem ezt a klasztert?
A 4.4: Ha olyan PID-ünk van, amely a beszállítóinktól már lejárt, akkor van egy csere PID-ünk, amely kompatibilis a régi PID-vel. Ez a helyettesítő PID használható RMA-hoz, csomóponton belüli bővítéshez és fürt bővítéséhez (új csomópontokkal). Valamennyi módszer támogatott, azonban előfordulhat, hogy frissíteni kell egy adott kiadásra, amely szintén megtalálható az átmeneti kiadási megjegyzésekben.

Kulcskezelés

5.1. kérdés: Mi az a kulcskezelés?
A 5.1: A kulcskezelés a titkosítási kulcsok védelmével, tárolásával, biztonsági mentésével és rendszerezésével kapcsolatos feladatok. A HX ezt egy UCSM-központú szabályzatban valósítja meg.
5.2. kérdés: Milyen mechanizmus támogatja a kulcskonfigurációt?
A 5.2: Az UCSM támogatja a biztonsági kulcsok konfigurálását.

5.3. kérdés: Milyen típusú kulcskezelés érhető el?
A 5.3: A kulcsok helyi kezelése, valamint a nagyvállalati szintű távoli kulcskezelés harmadik fél kulcskezelő szervereivel támogatott.
5.4. kérdés: Kik a távoli kulcskezelési partnerek?
A 5.4: Jelenleg támogatjuk a Vormetric és Gemalto (Safenet) szolgáltatást, és magas rendelkezésre állást (HA) is tartalmaz. A HyTrust tesztelés alatt áll.
5.5. kérdés: Hogyan valósul meg a távoli kulcskezelés?
A 5.5: A távoli kulcskezelés a KMIP 1.1-en keresztül történik.

5.6. kérdés: Hogyan van konfigurálva a helyi felügyelet?
A 5.6: A biztonsági kulcsot (KEK) közvetlenül a felhasználó konfigurálja a HX Connectben.
5.7. kérdés: Hogyan van konfigurálva a távfelügyelet?
A 5.7: A távoli kulcskezelési (KMIP) szerver címinformációit a bejelentkezési hitelesítő adatokkal együtt a felhasználó konfigurálja a HX Connectben.
5.8. kérdés: A HX melyik része kommunikál a KMIP-kiszolgálóval a konfigurációhoz?
A 5.8: Az egyes csomópontokon található CIMC ezeket az információkat használja a KMIP-kiszolgálóhoz való csatlakozáshoz, és a biztonsági kulcs (KEK) lekéréséhez.

5.9. kérdés: Milyen típusú Tanúsítványok támogatottak a kulcsgenerálási/visszakeresési/frissítési folyamat során?
A 5.9: A CA által aláírt és az önaláírt tanúsítványok egyaránt támogatottak.
5.10. kérdés: Milyen munkafolyamatokat támogat a titkosítási folyamat?
A 5.10: Az egyéni jelszóval történő védelem/védelem feloldása a helyi kulcskezelés konverziójával együtt támogatott. Az újrakulcsolási műveletek támogatottak. A biztonságos lemeztörlési művelet is támogatott.

Felhasználói munkafolyamat: Helyi

6.1. kérdés: A HX Connectben hol állíthatom be a helyi kulcskezelést?
A 6.1: A Titkosítási irányítópulton válassza ki a konfigurálás gombot, és kövesse a varázsló utasításait.

6.2. kérdés: Mire kell készen állnom a kezdéshez?
A 6.2: Meg kell adnia egy 32 karakteres biztonsági jelszót.
6.3. kérdés: Mi történik, ha új SED-et kell behelyeznem?
A 6.3: Az UCSM-ben módosítania kell a helyi biztonsági szabályzatot, és a telepített kulcsot a meglévő csomóponti kulcsra kell állítania.
6.4. kérdés: Mi történik, amikor behelyezem az új lemezt?
A 6.4: Ha a lemezen lévő biztonsági kulcs megegyezik a kiszolgáló (csomópont) kulcsával, az automatikusan feloldódik. Ha a biztonsági kulcsok eltérőek, a lemezen „Zárolva” felirat jelenik meg. Az összes adat törléséhez törölheti a lemezt, vagy feloldhatja a zárolást a megfelelő kulcs megadásával. Ez jó alkalom a TAC bevonására.

Felhasználói munkafolyamat: Távoli

7.1. kérdés: Milyen dolgokra kell figyelnem a távoli kulcskezelés konfigurációja során?
A 7.1: A fürt és a KMIP-kiszolgáló(k) közötti kommunikáció az egyes csomópontok CIMC-jén keresztül történik. Ez azt jelenti, hogy a gazdagépnév csak akkor használható a KMIP-kiszolgálóhoz, ha az Inband IP-cím és a DNS be van állítva a CIMC-kezelésben.
7.2. kérdés: Mi történik, ha ki kell cserélnem vagy új SED-et kell behelyeznem?
A 7.2: A fürt beolvassa az azonosítót a lemezről, és megpróbálja automatikusan feloldani. Ha az automatikus feloldás sikertelen, a lemez „zárt” állapotú lesz, és a felhasználónak kézzel kell feloldania a lemezt. A hitelesítő adatok cseréjéhez át kell másolnia a tanúsítványokat a KMIP-szerver(ek)re.
7.3. kérdés: Hogyan másolhatok át tanúsítványokat a fürtből a KMIP-kiszolgáló(k)ra?
A 7.3: Ennek két módja van. Másolhatja a tanúsítványt közvetlenül a BMC-ről a KMIP-kiszolgálóra, vagy a CSR segítségével szerezhet be egy CA által aláírt tanúsítványt, és UCSM-parancsokkal másolhatja a CA által aláírt tanúsítványt a BMC-re.

7.4. kérdés: Milyen szempontokat kell figyelembe venni titkosított csomópontok hozzáadásakor egy távoli kulcskezelést használó fürthöz?
A 7.4: Amikor új gazdagépeket ad hozzá a KMIP-kiszolgáló(k)hoz, a használt gazdagépnévnek a kiszolgáló sorozatszámának kell lennie. A KMIP-szerver tanúsítványának beszerzéséhez egy böngésző segítségével lekérheti a KMIP-szerver(ek) gyökértanúsítványát.

Felhasználói munkafolyamat: Általános

8.1. kérdés: Hogyan törölhetek lemezt?
A 8.1: A HX Connect műszerfalon válassza ki a rendszerinformációkat view. Innen kiválaszthatja az egyes lemezeket a biztonságos törléshez.
8.2. kérdés: Mi van, ha véletlenül töröltem egy lemezt?
A 8.2: Biztonságos törlés esetén az adatok véglegesen megsemmisülnek

8.3. kérdés: Mi történik, ha le akarok kapcsolni egy csomópontot vagy le akarok választani egy Service Pro-tfile?
A 8.3: Ezen műveletek egyike sem törli a titkosítást a lemezen/vezérlőn.
8.4. kérdés: Hogyan tiltható le a titkosítás?
A 8.4: A felhasználónak kifejezetten le kell tiltania a titkosítást a HX Connectben. Ha a felhasználó megpróbál törölni egy biztonsági házirendet az UCSM-ben, amikor a társított szerver védett, az UCSM konfigurációs hibaüzenetet jelenít meg, és letiltja a műveletet. A biztonsági házirendet először le kell tiltani.

Felhasználói munkafolyamat: Tanúsítványkezelés

9.1. kérdés: Hogyan kezelik a tanúsítványokat a távfelügyelet beállítása során?
A 9.1: A tanúsítványok a HX Connect és a távoli KMIP-kiszolgáló(k) segítségével jönnek létre. A létrehozott tanúsítványok szinte soha nem törlődnek.

9.2. kérdés: Milyen típusú tanúsítványokat használhatok?
A 9.2: Önaláírt tanúsítványokat vagy CA-tanúsítványokat is használhat. A beállítás során kell választani. A CA által aláírt tanúsítványok esetén tanúsítvány-aláíró kéréseket (CSR) kell létrehozni. Az aláírt tanúsítványok feltöltődnek a KMIP-szerver(ek)re.
9.3. kérdés: Milyen gazdagépnevet kell használnom a tanúsítványok generálásakor?
A 9.3: A tanúsítvány generálásához használt gazdagépnévnek a kiszolgáló sorozatszámának kell lennie.

Firmware frissítések

10.1. kérdés: Vannak korlátozások a lemez firmware frissítésére vonatkozóan?
A 10.1: Ha a rendszer titkosításra alkalmas meghajtót észlel, a lemez firmware-ének módosítása nem engedélyezett az adott lemezen.

10.2. kérdés: Vannak korlátozások az UCSM firmware frissítésére vonatkozóan?
A 10.2: Az UCSM/CIMC visszaminősítése az UCSM 3.1(3x) előtti verzióra korlátozott, ha van egy biztonságos állapotban lévő vezérlő.

Biztonságos törlés részletei

11.1. kérdés: Mi az a biztonságos törlés?
A 11.1: A biztonságos törlés a meghajtón lévő adatok azonnali törlése (a lemez titkosítási kulcsának törlése). Ez azt jelenti, hogy egy egyszerű hitelesített parancs küldhető a meghajtónak a meghajtón tárolt 256 bites titkosítási kulcs megváltoztatásához. Ez biztosítja, hogy a meghajtó tisztára kerüljön, és ne maradjanak adatok. Még az eredeti gazdarendszer sem tudja beolvasni az adatokat, így azokat bármely más rendszer nem tudja olvasni. A művelet mindössze néhány másodpercet vesz igénybe, szemben azzal a sok perccel vagy akár órával, amely egy analóg művelet végrehajtásához szükséges egy titkosítatlan lemezen, és elkerülhető a drága deaktiváló berendezések vagy szolgáltatások költségei.
11.2. kérdés: Hogyan történik a biztonságos törlés?
A 11.2: Ez egy GUI-művelet, amelyet egy meghajtónként hajtanak végre.

11.3. kérdés: Általában mikor történik a biztonságos törlés?
A 11.3: A felhasználó által kezdeményezett egyetlen lemez biztonságos törlése ritka művelet. Ez többnyire akkor történik, ha fizikailag el akarja távolítani a lemezt csere céljából, át kell vinni egy másik csomópontra, vagy elkerülni a közeljövőben bekövetkező hibákat.
11.4. kérdés: Milyen korlátozások vonatkoznak a biztonságos törlésre?
A 11.4: Biztonságos törlési műveletek csak akkor hajthatók végre, ha a fürt egészséges, így biztosítható, hogy a fürt hibatűrő képessége ne legyen hatással.
11.5. kérdés: Mi történik, ha el kell távolítanom egy teljes csomópontot?
A 11.5: Vannak csomópont-eltávolító és csomópontcsere munkafolyamatok, amelyek támogatják az összes meghajtó biztonságos törlését. A részletekért tekintse meg az adminisztrátori útmutatót, vagy forduljon a Cisco TAC-hoz.

11.6. kérdés: A biztonságosan törölt lemez újrafelhasználható?
A 11.6: A biztonságosan törölt lemez csak egy másik fürtben használható újra. A SED biztonságos törlése a lemez titkosítási kulcsának (DEK) törlésével történik. A lemezen lévő adatok nem dekódolhatók DEK nélkül. Ez lehetővé teszi a lemez újrafelhasználását vagy leállítását az adatok veszélyeztetése nélkül.
11.7. kérdés: Mi történik, ha a törölni kívánt lemez tartalmazza a fürtadatok utolsó elsődleges másolatát?
A 11.7: Az adatvesztés elkerülése érdekében a lemezen lévő adatoknak más másolatokat kell tartalmazniuk a fürtben. Ha azonban a biztonságos törlést kérik egy olyan lemezen, amely az utolsó elsődleges másolat, akkor ez a művelet mindaddig elutasításra kerül, amíg legalább egy további másolat nem áll rendelkezésre. Az egyensúly helyreállításának a háttérben kell elkészítenie ezt a másolatot.
11.8. kérdés: Valóban biztonságosan törölnöm kell egy lemezt, de a fürt nem egészséges. Hogyan tudom megtenni?
A 11.8: A parancssor (STCLI/HXCLI) lehetővé teszi a biztonságos törlést, ha a fürt nem egészséges, és a lemez nem tartalmazza az utolsó elsődleges másolatot, ellenkező esetben ez nem engedélyezett.

11.9. kérdés: Hogyan törölhetek biztonságosan egy teljes csomópontot?
A 11.9: Ez egy ritka forgatókönyv. A csomópontban lévő összes lemez biztonságos törlésére akkor kerül sor, ha ki akarjuk venni a csomópontot a fürtből. A cél az, hogy a csomópontot egy másik fürtben helyezzék üzembe, vagy leállítsák a csomópontot. Ebben a forgatókönyvben kétféleképpen osztályozhatjuk a csomópont eltávolítását:
1. Az összes lemez biztonságos törlése a titkosítás letiltása nélkül
2. Az összes lemez biztonságos törlése, majd az adott csomópont (és a lemezek) titkosításának letiltása. Segítségért forduljon a Cisco TAC-hoz.

Klaszter biztonságos bővítése

12.1. kérdés: Milyen csomóponttal bővíthetem ki a titkosított fürtöt?
A 12.1: Csak SED-képes csomópontok adhatók hozzá SED-ekkel rendelkező HX-fürthöz.

12.2. kérdés: Hogyan történik a helyi kulcskezeléssel történő bővítés?
A 12.2: A helyi kulcs kiterjesztése zökkenőmentes művelet, külső konfiguráció nélkül.
12.3. kérdés: Hogyan történik a távoli kulcskezeléssel történő bővítés?
A 12.3: A távoli kulcsbővítéshez lockstep szükséges tanúsítványokkal/kulcskezelési infrastruktúrával:
- Tanúsítványok szükségesek az új csomópont biztonságos hozzáadásához
- A Telepítés figyelmeztetést jelenít meg a folytatáshoz szükséges lépésekkel, beleértve a tanúsítvány letöltésére szolgáló hivatkozást
- A felhasználó követi a tanúsítvány(ok) feltöltéséhez szükséges lépéseket, majd újra próbálkozik a központi telepítéssel

Támogató dokumentumok

Mikron:

FIPS

A FIPS 140-2 számára jóváhagyott kriptográfiai algoritmusok listája: https://csrc.nist.gov/csrc/media/publications/fips/140/2/final/documents/fips1402annexa.pdf

CDETS:

Projekt: CSC.nuova Termék: ucs-blade-server Összetevő: ucsm

SED funkcionális specifikáció:

EDCS: 1574090

SED CIMC specifikáció:

http://wwwin-eng.cisco.com/Eng/SAVBU/Projects/Rackmount/Freel_Peak/SW_Specs/Remote_Key_Mgmt_sw_design_spec.doc

Levelezőlisták:

Dokumentumok / Források

CISCO HyperFlex HX adatplatform [pdfUtasítások
HyperFlex HX adatplatform, HyperFlex, HX adatplatform, adatplatform, platform

Hivatkozások

Felhasználói kézikönyv