פלטפורמת נתונים CISCO HyperFlex HX

מידע על המוצר

• שם המוצר: הצפנת אבטחה HX
• גִרְסָה: HXDP 5.01b
• פתרון הצפנה: פתרון מבוסס תוכנה באמצעות Intersight Key Manager
• סוג הצפנה: כוננים מוצפנים עצמיים (SEDs)
• סוגי כוננים נתמכים: HDD ו-SSD SEDs מבית Micron
• תקני ציות: FIPS 140-2 רמה 2 (יצרני כוננים) ו- FIPS 140-2 רמה 1 (פלטפורמה)
• הצפנה לכל אשכול: הצפנה ב-HX מיושמת בחומרה עבור נתונים במנוחה רק באמצעות SEDs
• הצפנת VM בודדת: מטופל על ידי תוכנות צד שלישי כגון Hytrust או הלקוח השקוף של Vormetric
• VMware Native VM Encryption: נתמך על ידי HX לשימוש עם הצפנת SED
• ניהול מפתח: מפתח הצפנת מדיה (MEK) ומפתח הצפנת מפתח (KEK) משמשים עבור כל SED
• שימוש בזיכרון: מפתחות הצפנה לעולם אינם קיימים בזיכרון הצומת
• השפעת ביצועים: ההצפנה/פענוח של הדיסק מטופל בחומרת הכונן, ביצועי המערכת הכוללים אינם מושפעים
• יתרונות נוספים של SEDs:
  • מחיקה קריפטוגרפית מיידית להפחתת עלויות הפרישה והפריסה מחדש של הכונן
  • עמידה בתקנות הממשלה או התעשייה לפרטיות נתונים
  • סיכון מופחת לגניבת דיסק וגניבת צומת מכיוון שהנתונים הופכים בלתי קריאים לאחר הסרת החומרה

הוראות שימוש במוצר

כדי להשתמש בהצפנת HX Security, בצע את ההוראות הבאות:

1. ודא שהמערכת שלך תומכת בהצפנה מבוססת חומרה או שאתה מעדיף את הפתרון מבוסס התוכנה באמצעות Intersight Key Manager.
2. עיין במסמכי הניהול או בנייר הלבן/ים למידע על הצפנה מבוססת תוכנה.
3. אם תבחר להשתמש בהצפנה מבוססת חומרה עם SEDs, ודא שאשכול ה-HX שלך מורכב מצמתים אחידים (SEDs או שאינם SEDs).
4. עבור SEDs, הבן שיש שני מפתחות בשימוש: מפתח הצפנת מדיה (MEK) ומפתח הצפנת מפתח (KEK).
5. ה-MEK שולט על ההצפנה והפענוח של הנתונים לדיסק ומאובטח ומנוהל בחומרה.
6. ה-KEK מאבטח את ה-MEK/DEK ומתוחזק במאגר מפתחות מקומי או מרוחק.
7. אל תדאג שהמפתחות יהיו בזיכרון הצומת, מכיוון שמפתחות הצפנה לעולם לא מאוחסנים שם.
8. שים לב שההצפנה/פענוח של הדיסק מטופל בחומרת הכונן, מה שמבטיח שביצועי המערכת הכוללים לא יושפעו.
9. אם יש לך דרישות ספציפיות לתקני תאימות, שים לב שכוננים מוצפנים HX SED עומדים בתקני FIPS 140-2 רמה 2 מיצרני הכוננים, בעוד שהצפנת HX בפלטפורמה עומדת בתקני FIPS 140-2 רמה 1.
10. אם אתה צריך להצפין מחשבי VM בודדים, שקול להשתמש בתוכנת צד שלישי כגון Hytrust או הלקוח השקוף של Vormetric. לחלופין, אתה יכול להשתמש בהצפנת ה-VM המקורית של VMware שהוצגה ב-vSphere 3.
11. זכור ששימוש בלקוח הצפנת VM על גבי הצפנה מבוססת HX SED יגרום להצפנה כפולה של הנתונים.
12. ודא שאשכול ה-HX שלך מחובר דרך רשתות מהימנות או מנהרות מוצפנות לשכפול מאובטח, שכן שכפול HX אינו מוצפן.

שאלות נפוצות בנושא הצפנת אבטחת HX

החל מ-HXDP 5.01b, HyperFlex מציעה פתרון מבוסס תוכנה באמצעות Intersight Key Manager עבור מערכות שאינן תומכות בהצפנה מבוססת חומרה או עבור משתמשים המעוניינים בפונקציונליות זו על פני פתרונות חומרה. שאלות נפוצות אלה מתמקדות רק בפתרונות חומרה מבוססי SED להצפנת HX. עיין במסמכי הניהול או בנייר הלבן/ים למידע על הצפנה מבוססת תוכנה.

הצהרת הטיה
ערכת התיעוד למוצר זה שואפת להשתמש בשפה נטולת הטיות. למטרות מערך התיעוד הזה, משוא פנים מוגדרת כשפה שאינה מרמזת על אפליה על בסיס גיל, מוגבלות, מגדר, זהות גזעית, זהות אתנית, נטייה מינית, מצב סוציו-אקונומי וצלבות. ייתכן שיהיו חריגים בתיעוד עקב שפה שמקודדת בממשקי המשתמש של תוכנת המוצר, שפה המבוססת על תיעוד סטנדרטים או שפה המשמשת מוצר של צד שלישי שמוזכר בו.

למה סיסקו לאבטחה והצפנת HX 

• ש 1.1: אילו תהליכים קיימים לפיתוח מאובטח?
  א 1.1: שרתי Cisco עומדים ב-Cisco Secure Development Lifecycle (CSDL):
  • סיסקו מספקת תהליכים, מתודולוגיות, מסגרות לפיתוח אבטחה משובצת בשרתי סיסקו, לא רק שכבת-על
  • צוות סיסקו ייעודי למידול איומים/ניתוח סטטי על תיק המוצרים של UCS
  • Cisco Advanced Security Initiative Group (ASIG) מבצעת בדיקות חדירה יזומות כדי להבין כיצד נכנסים איומים ולתקן בעיות על ידי שיפור HW & SW באמצעות CDETS והנדסה
  • צוות סיסקו ייעודי לבדיקה ולטפל בפגיעות יוצאת ולתקשורת כיועצי אבטחה ללקוחות
  • כל המוצרים הבסיסיים עוברים דרישות בסיס אבטחת המוצר (PSB) השולטות בתקני האבטחה של מוצרי Cisco
  • Cisco מבצעת בדיקות חוסן של פגיעות/פרוטוקול בכל מהדורות UCS
• ש 1.2: מדוע SEDs חשובים?
  א 1.2: SEDs משמשים להצפנת נתונים במנוחה והם דרישה עבור רבים, אם לא כולם, מוסדות פדרליים, רפואיים ופיננסיים.

מידע כללי נגמרview

• ש 2.1: מהם SEDs?
  א 2.1: ל-SED (כוננים בהצפנה עצמית) יש חומרה מיוחדת שמצפינה נתונים נכנסים ומפענחת נתונים יוצאים בזמן אמת.
• ש 2.2: מהו היקף ההצפנה ב-HX?
  א 2.2: הצפנה ב-HX מיושמת כעת בחומרה עבור נתונים במנוחה רק באמצעות כוננים מוצפנים (SEDs). הצפנת HX היא כלל-אשכול. הצפנת VM פרטנית מטופלת על ידי תוכנת צד שלישי כגון Hytrust או הלקוח השקוף של Vormetric והיא מחוץ לתחום האחריות של HX. HX תומך גם בשימוש בהצפנת ה-VM המקורית של VMware שהוצגה ב-vSphere 3. שימוש בלקוח הצפנת VM על גבי הצפנה מבוססת HX SED יגרום להצפנה כפולה של הנתונים. שכפול HX אינו מוצפן ומסתמך על רשתות מהימנות או מנהרות מוצפנות שנפרסות על ידי משתמש הקצה.
• ש 2.3: באילו תקני תאימות עומדים בהצפנת HX?
  א 2.3: כוננים מוצפנים HX SED עומדים בתקני FIPS 140-2 רמה 2 מיצרני הכוננים. הצפנת HX בפלטפורמה עומדת בתקני FIPS 140-2 רמה 1.
• ש 2.4: האם אנו תומכים גם ב-HDD וגם ב-SSD להצפנה?
  א 2.4: כן, אנו תומכים גם ב-HDD וגם ב-SSD SEDs מבית Micron.
• ש 2.5: האם לאשכול HX יכולים להיות כוננים מוצפנים ולא מוצפנים בו-זמנית?
  א 2.5: כל הצמתים באשכול חייבים להיות אחידים (SEDs או שאינם SEDs)
• ש 2.6: אילו מפתחות נמצאים בשימוש עבור SED וכיצד הם משמשים?
  א 2.6: ישנם שני מפתחות בשימוש עבור כל SED. מפתח הצפנת המדיה (MEK) הנקרא גם מפתח הצפנת הדיסק (DEK), שולט בהצפנה ובפענוח הנתונים לדיסק ומאובטח ומנוהל בחומרה. מפתח הצפנת מפתח (KEK) מאבטח את ה-DEK/MEK ונשמר במאגר מפתחות מקומי או מרוחק.
• ש 2.7: האם המפתחות נמצאים אי פעם בזיכרון?
  א 2.7: מפתחות הצפנה לעולם אינם קיימים בזיכרון הצומת
• ש 2.8: כיצד מושפעים הביצועים מתהליך ההצפנה/פענוח?
  א 2.8: ההצפנה/פענוח של הדיסק מטופל בחומרת הכונן. ביצועי המערכת הכוללים אינם מושפעים ואינם כפופים להתקפות המכוונות לרכיבים אחרים של המערכת
• ש 2.9: מלבד הצפנה במנוחה, מהן סיבות נוספות להשתמש ב-SEDs?
  א 2.9: SEDs יכולים להפחית את עלויות הפרישה והפריסה מחדש באמצעות מחיקה קריפטוגרפית מיידית. הם גם משמשים לציית לתקנות הממשלה או התעשייה לפרטיות נתונים. עוד אדוואןtage הוא הסיכון המופחת לגניבת דיסק וגניבת צומת מכיוון שהנתונים, לאחר הסרת החומרה מהמערכת האקולוגית, אינם ניתנים לקריאה.
• ש2.10: מה קורה עם מניעת כפילויות ודחיסה עם SEDs? מה קורה עם הצפנה מבוססת תוכנה של צד שלישי?
  A2.10: ביטול כפילות ודחיסה עם SEDs ב-HX נשמרים מאחר שהצפנת הנתונים במנוחה מתרחשת כשלב אחרון בתהליך הכתיבה. מניעת כפילות ודחיסה כבר בוצעו. עם מוצרי הצפנה מבוססי תוכנה של צד שלישי, ה-VMs מנהלים את ההצפנה שלהם ומעבירים כתיבה מוצפנת ל-Hypervisor ולאחר מכן ל-HX. מכיוון שהכתבים האלה כבר מוצפנים, הם לא מופקרים או נדחסים. HX Software Based Encryption (בקו הקוד 3.x) יהיה פתרון הצפנת תוכנה שמוטמע בערימה לאחר שהתרחשו אופטימיזציות כתיבה (ביטול כפילויות ודחיסה), כך שהתועלת תישמר במקרה זה.

האיור שלהלן נגמרview של יישום SED עם HX.

פרטי כונן 

• ש 3.1: מי מייצר את הכוננים המוצפנים המשמשים ב-HX?
  א 3.1: HX משתמש בכוננים המיוצרים על ידי Micron: מסמכים ספציפיים למיקרון מקושרים בחלק המסמכים התומכים בשאלות נפוצות זה.
• ש 3.2: האם אנו תומכים במכשירי SED שאינם תואמים ל-FIPS?
  א 3.2: אנו תומכים גם בכוננים מסוימים שאינם FIPS, אך תומכים ב-SED (TCGE).
• ש 3.3: מהו ה-TCG?
  א 3.3: TCG היא Trusted Computing Group, שיוצרת ומנהלת את תקן המפרטים לאחסון נתונים מוצפן
• ש 3.4: מה נחשב אבטחה ברמה ארגונית כשמדובר בכונני SAS SSD עבור מרכז הנתונים? אילו תכונות ספציפיות יש לכוננים אלה המבטיחים אבטחה ומגנים מפני התקפה?
  א 3.4: רשימה זו מסכמת את המאפיינים ברמה הארגונית של SEDs המשמשים ב-HX וכיצד הם קשורים לתקן TCG.
  1. כונני הצפנה עצמית (SEDs) מספקים אבטחה חזקה לנתונים במצב מנוחה על ה-SED שלך, ומונעים גישה לא מורשית לנתונים. Trusted Computing Group (TCG) פיתחה רשימה של התכונות והיתרונות של כוננים הצפנה עצמית עבור כונני HDD ו-SSD כאחד. ה-TCG מספק תקן הנקרא TCG Enterprise SSC (Security Subsystem Class) ומתמקד בנתונים במנוחה. זוהי דרישה עבור כל SEDs. המפרט חל על התקני אחסון נתונים ובקרים הפועלים באחסון ארגוני. הרשימה כוללת:
     • שְׁקִיפוּת: אין צורך בשינויי מערכת או אפליקציה; מפתח הצפנה שנוצר על ידי הכונן עצמו, באמצעות מחולל מספרים אקראיים אמיתיים; הכונן תמיד מוצפן.
     • קלות ניהול: אין מפתח הצפנה לניהול; ספקי תוכנה מנצלים ממשק סטנדרטי לניהול SEDs, כולל ניהול מרחוק, אימות לפני אתחול ושחזור סיסמאות
     • עלות סילוק או שימוש מחדש: עם SED, מחק את מפתח ההצפנה המובנה
     • הצפנה מחדש: עם SED, אין צורך להצפין מחדש את הנתונים
     • ביצועים: אין ירידה בביצועי SED; מבוסס חומרה
     • תְקִינָה: כל תעשיית הכוננים בונה לפי מפרטי TCG/SED
     • מְפוּשָׁט: אין הפרעה לתהליכים במעלה הזרם
  2. SSD SEDs מספקים את היכולת למחוק קריפטוגרפית את הכונן. המשמעות היא שניתן לשלוח פקודה מאומתת פשוטה לכונן כדי לשנות את מפתח ההצפנה של 256 סיביות המאוחסן בכונן. זה מבטיח שהכונן יימחק ושלא יישארו נתונים. אפילו המערכת המארחת המקורית לא יכולה לקרוא את הנתונים, כך שהיא לחלוטין לא תהיה ניתנת לקריאה על ידי כל מערכת אחרת. הפעולה נמשכת שניות ספורות בלבד, בניגוד לדקות או אפילו השעות הרבות שנדרש לביצוע פעולה אנלוגית בדיסק קשיח לא מוצפן, ומונעת את העלות של ציוד או שירותים יקרים לביטול גאוס של HDD.
  3. FIPS (Federal Information Processing Standard) 140-2 הוא תקן ממשלתי ארה"ב המתאר את דרישות ההצפנה ודרישות האבטחה הקשורות בהן מוצרי IT צריכים לעמוד לשימוש רגיש, אך לא מסווג. לעתים קרובות זוהי דרישה גם עבור סוכנויות ממשלתיות וחברות בענפי השירותים הפיננסיים והבריאות. כונן SSD בעל תוקף של FIPS-140-2 משתמש בשיטות אבטחה חזקות כולל אלגוריתמי הצפנה מאושרים. זה גם מפרט כיצד יש לאשר אנשים או תהליכים אחרים על מנת להשתמש במוצר, וכיצד יש לעצב מודולים או רכיבים ליצירת אינטראקציה מאובטחת עם מערכות אחרות. למעשה, אחת הדרישות של כונן SSD מאומת FIPS-140-2 היא שזהו SED. זכור שלמרות ש-TCG אינה הדרך היחידה לקבל כונן מוצפן מאושר, מפרטי TCG Opal ו-Enterprise SSC מספקים לנו קפיצה לאימות FIPS. 4. תכונה חיונית נוספת היא הורדות מאובטחות ואבחון. תכונת קושחה זו מגינה על הכונן מפני התקפות תוכנה באמצעות חתימה דיגיטלית המובנית בקושחה. כאשר יש צורך בהורדות, החתימה הדיגיטלית מונעת גישה בלתי מורשית לכונן, ומונעת טעינת קושחה מזויפת לכונן.

התקנת Hyperflex עם SEDs

• ש 4.1: כיצד מטפל המתקין בפריסת SED? האם יש בדיקות מיוחדות?
  א 4.1: המתקין מתקשר עם UCSM ומבטיח שקושחת המערכת נכונה ונתמכת עבור החומרה שזוהתה. תאימות ההצפנה נבדקת ונאכפת (למשל, אין ערבוב של SED ללא SED).
• ש 4.2: האם הפריסה שונה אחרת?
  א 4.2: ההתקנה דומה להתקנת HX רגילה, עם זאת, זרימת עבודה מותאמת אישית אינה נתמכת עבור SEDs. פעולה זו דורשת אישורי UCSM גם עבור ה-SEDs.
• ש 4.3: כיצד פועל רישוי עם הצפנה? האם יש משהו נוסף שצריך להיות במקום?
  א 4.3: חומרת SED (מוזמן מהמפעל, לא שיפוץ) + HXDP 2.5 + UCSM (3.1(3x)) הם הדברים היחידים הדרושים כדי לאפשר הצפנה עם ניהול מפתחות. אין רישוי נוסף מחוץ למנוי הבסיס HXDP הנדרש במהדורה 2.5.
• ש 4.4: מה קורה כשיש לי מערכת SED שיש לה כוננים שאינם זמינים עוד? איך אני יכול להרחיב את האשכול הזה?
  א 4.4: בכל פעם שיש לנו PID שהוא סוף-חיים מהספקים שלנו, יש לנו PID חלופי התואם ל-PID הישן. PID חלופי זה יכול לשמש עבור RMA, הרחבה בתוך צומת והרחבת אשכול (עם צמתים חדשים). כל השיטות נתמכות כולן, עם זאת, ייתכן שהן דורשות שדרוג למהדורה ספציפית אשר מזוהה גם בהערות הגרסה של המעבר.

ניהול מפתח

• ש 5.1: מהו ניהול מפתח?
  א 5.1: ניהול מפתחות הוא המשימות הכרוכות בהגנה, אחסון, גיבוי וארגון מפתחות הצפנה. HX מיישם זאת במדיניות ממוקדת UCSM.
• ש 5.2: איזה מנגנון מספק תמיכה בתצורת מפתח?
  א 5.2: UCSM מספק תמיכה להגדרת מפתחות אבטחה.
• ש 5.3: איזה סוג של ניהול מפתחות זמין?
  א 5.3: ניהול מקומי של מפתחות נתמך, יחד עם ניהול מפתח מרחוק ברמה ארגונית עם שרתי ניהול מפתחות של צד שלישי.
• ש 5.4: מי הם השותפים לניהול מפתח מרחוק?
  א 5.4: כרגע אנו תומכים ב-Vormetric וב-Gemalto (Safenet) וכוללים זמינות גבוהה (HA). HyTrust נמצא בבדיקה.
• ש 5.5: כיצד מיושם ניהול מפתח מרחוק?
  א 5.5: ניהול מפתחות מרחוק מטופל באמצעות KMIP 1.1.
• ש 5.6: כיצד מוגדר הניהול המקומי?
  א 5.6: מפתח האבטחה (KEK) מוגדר ב-HX Connect, ישירות על ידי המשתמש.
• ש 5.7: כיצד מוגדר ניהול מרחוק?
  א 5.7: פרטי כתובת השרת לניהול מפתח מרחוק (KMIP) יחד עם אישורי כניסה מוגדרים ב-HX Connect על ידי המשתמש.
• ש 5.8: איזה חלק של HX מתקשר עם שרת KMIP לצורך תצורה?
  א 5.8: ה-CIMC בכל צומת משתמש במידע זה כדי להתחבר לשרת KMIP ולאחזר ממנו את מפתח האבטחה (KEK).
  
• ש 5.9: אילו סוגי אישורים נתמכים בתהליך יצירת/אחזור/עדכון מפתחות?
  א 5.9: אישורים חתומים בחתימה עצמית ואישורים בחתימה עצמית נתמכים שניהם.
  
• ש 5.10: אילו זרימות עבודה נתמכות בתהליך ההצפנה?
  א 5.10: הגנה/בטל הגנה באמצעות סיסמה מותאמת אישית נתמכת יחד עם המרת ניהול מפתחות מקומית למרוחק. פעולות מפתח מחדש נתמכות. גם פעולת מחיקת דיסק מאובטחת נתמכת.
  

זרימת עבודה של משתמש: מקומי

• ש 6.1: ב-HX Connect, איפה אני מגדיר ניהול מפתחות מקומיים?
  א 6.1: בלוח המחוונים של ההצפנה בחר את כפתור התצורה ובצע את האשף.
• ש 6.2: מה אני צריך שיהיה מוכן ללכת כדי להתחיל את זה?
  א 6.2: יהיה עליך לספק ביטוי סיסמה אבטחה בן 32 תווים.
• ש 6.3: מה קורה אם אני צריך להכניס SED חדש?
  6.3: ב-UCSM תצטרך לערוך את מדיניות האבטחה המקומית ולהגדיר את המפתח הפרוס למפתח הצומת הקיים.
• שאלה 6.4: מה קורה כשאני מכניס את הדיסק החדש?
  א 6.4: אם מפתח האבטחה בדיסק תואם לזה של השרת (צומת) הוא יבוטל אוטומטית. אם מפתחות האבטחה שונים, הדיסק יוצג בתור "נעול". אתה יכול לנקות את הדיסק כדי למחוק את כל הנתונים או לבטל את נעילתו על ידי אספקת המפתח הנכון. זה זמן טוב לעסוק ב-TAC.

זרימת עבודה של משתמש: מרחוק

• ש 7.1: מהם כמה דברים שאני צריך להיזהר מהם עם תצורת ניהול מפתח מרחוק?
  א 7.1: התקשורת בין האשכול לשרתי KMIP מתרחשת דרך ה-CIMC בכל צומת. משמעות הדבר היא שניתן להשתמש בשם המארח עבור שרת KMIP רק אם כתובת ה-IP וה-DNS Inband מוגדרים בניהול CIMC
• ש 7.2: מה קורה אם אני צריך להחליף או להכניס SED חדש?
  א 7.2: האשכול יקרא את המזהה מהדיסק וינסה לבטל את הנעילה שלו אוטומטית. אם הנעילה האוטומטית נכשלת, הדיסק מופיע כ"נעול" והמשתמש צריך לבטל את נעילת הדיסק באופן ידני. יהיה עליך להעתיק את האישורים לשרתי KMIP לצורך החלפת אישורים.
• ש 7.3: כיצד אוכל להעתיק אישורים מהאשכול לשרת/ים של KMIP?
  א 7.3: ישנן שתי דרכים לעשות זאת. אתה יכול להעתיק את האישור מה-BMC לשרת KMIP ישירות או שאתה יכול להשתמש ב-CSR כדי לקבל אישור חתום על-ידי CA ולהעתיק את האישור החתום על-ידי CA ל-BMC באמצעות פקודות UCSM.
• ש 7.4: אילו שיקולים יש להוספת צמתים מוצפנים לאשכול המשתמש בניהול מפתח מרחוק?
  א 7.4: בעת הוספת מארחים חדשים לשרת/ים של KMIP, שם המארח בשימוש צריך להיות המספר הסידורי של השרת. כדי לקבל את האישור של שרת KMIP, אתה יכול להשתמש בדפדפן כדי לקבל את אישור הבסיס של שרתי KMIP.

זרימת עבודה של משתמש: כללי

• ש 8.1: כיצד אוכל למחוק דיסק?
  א 8.1: בלוח המחוונים של HX Connect, בחר את פרטי המערכת view. משם תוכל לבחור דיסקים בודדים למחיקה מאובטחת.
• ש 8.2: מה אם מחקתי דיסק בטעות?
  א 8.2: כאשר נעשה שימוש במחיקה מאובטחת הנתונים מושמדים לצמיתות
• ש 8.3: מה קורה כשאני רוצה לבטל צומת או לנתק מקצוען שירותfile?
  א 8.3: אף אחת מהפעולות הללו לא תסיר את ההצפנה בדיסק/בקר.
• ש 8.4: כיצד מושבתת ההצפנה?
  א 8.4: על המשתמש להשבית במפורש את ההצפנה ב-HX Connect. אם המשתמש מנסה למחוק מדיניות אבטחה ב-UCSM כאשר השרת המשויך מאובטח, UCSM יציג כשל בתצורה וימנע את הפעולה. יש להשבית תחילה את מדיניות האבטחה.

זרימת עבודה של משתמש: ניהול אישורים

• ש 9.1: כיצד מטופלים אישורים במהלך הגדרת ניהול מרחוק?
  א 9.1: אישורים נוצרים באמצעות HX Connect ושרתי KMIP המרוחקים. אישורים לאחר שנוצרו כמעט לעולם לא יימחקו.
• ש 9.2: באיזה סוג של אישורים אוכל להשתמש?
  א 9.2: אתה יכול להשתמש באישורים בחתימה עצמית או באישורי CA. אתה צריך לבחור במהלך ההגדרה. עבור אישורים חתומים על ידי CA, תיצור קבוצה של בקשות חתימת אישורים (CSRs). האישורים החתומים מועלים לשרת/ים של KMIP.
• ש 9.3: באיזה שם מארח עלי להשתמש בעת הפקת האישורים?
  א 9.3: שם המארח המשמש להפקת האישור צריך להיות המספר הסידורי של השרת.

עדכוני קושחה

• ש 10.1: האם יש הגבלות על שדרוג קושחת הדיסק?
  א 10.1: אם מזוהה כונן בעל יכולת הצפנה, לא יתאפשרו שינויים כלשהם בקושחת הדיסק בדיסק הזה.
• ש 10.2: האם יש הגבלות על שדרוג קושחת UCSM?
  א 10.2: שדרוג לאחור של UCSM/CIMC לקדם UCSM 3.1(3x) מוגבל אם יש בקר שנמצא במצב מאובטח.

פרטי מחיקה מאובטחת

• ש 11.1: מהי מחיקה מאובטחת?
  א 11.1: מחיקה מאובטחת היא מחיקה מיידית של נתונים בכונן (מחיקת מפתח ההצפנה של הדיסק). המשמעות היא שניתן לשלוח פקודה מאומתת פשוטה לכונן כדי לשנות את מפתח ההצפנה של 256 סיביות המאוחסן בכונן. זה מבטיח שהכונן יימחק ושלא יישארו נתונים. אפילו המערכת המארחת המקורית לא יכולה לקרוא את הנתונים ולכן הם לא יהיו קריאים על ידי כל מערכת אחרת. הפעולה אורכת שניות ספורות בלבד, בניגוד לדקות או אפילו השעות הרבות שנדרש לביצוע פעולה אנלוגית בדיסק לא מוצפן ומונעת את העלות של ציוד או שירותים יקרים להסרת גג.
• ש 11.2: כיצד מתבצעת מחיקה מאובטחת?
  א 11.2: זוהי פעולת GUI שמתבצעת כונן אחד בכל פעם.
• ש 11.3: מתי מתבצעת בדרך כלל מחיקה מאובטחת?
  א 11.3: מחיקה מאובטחת ביוזמת המשתמש של דיסק בודד היא פעולה נדירה. זה נעשה בעיקר כאשר אתה רוצה להסיר פיזית את הדיסק להחלפה, להעביר אותו לצומת אחר, או להימנע מכשל קרוב לעתיד.
• ש 11.4: אילו הגבלות קיימות על מחיקה מאובטחת?
  א 11.4: ניתן לבצע פעולות מחיקה מאובטחת רק אם האשכול תקין כדי להבטיח שחוסן התקלות של האשכול אינו מושפע.
• ש 11.5: מה קורה אם אני צריך להסיר צומת שלם?
  א 11.5: יש זרימות עבודה של הסרת צומת והחלפת צומת כדי לתמוך במחיקה מאובטחת של כל הכוננים. עיין במדריך הניהול לפרטים או התייעץ עם Cisco TAC.
• ש 11.6: האם ניתן לעשות שימוש חוזר בדיסק שנמחק בצורה מאובטחת?
  א 11.6: ניתן לעשות שימוש חוזר בדיסק שנמחק בצורה מאובטחת באשכול אחר בלבד. המחיקה המאובטחת של ה-SED מתבצעת על ידי מחיקת מפתח הצפנת הדיסק (DEK). לא ניתן לפענח את הנתונים בדיסק ללא DEK. זה מאפשר לך לעשות שימוש חוזר או לבטל את הדיסק מבלי להתפשר על הנתונים.
• ש 11.7: מה קורה אם הדיסק שאני רוצה למחוק מכיל את העותק הראשי האחרון של נתוני האשכולות?
  א 11.7: לנתונים בדיסק צריכים להיות עותקים אחרים באשכול כדי למנוע אובדן נתונים. עם זאת, אם מתבקשת מחיקה מאובטחת בדיסק שהוא העותק הראשי האחרון, פעולה זו תידחה עד שיהיה עותק אחד נוסף זמין לפחות. איזון מחדש אמור ליצור עותק זה ברקע.
• שאלה 11.8: אני באמת צריך למחוק דיסק בצורה מאובטחת, אבל האשכול לא בריא. איך אני יכול לעשות את זה?
  א 11.8: שורת הפקודה (STCLI/HXCLI) תאפשר מחיקה מאובטחת כאשר האשכול אינו תקין והדיסק אינו מכיל את העותק הראשי האחרון, אחרת היא אסורה.
• שאלה 11.9: כיצד אוכל למחוק בצורה מאובטחת צומת שלם?
  א 11.9: זהו תרחיש נדיר. מחיקה מאובטחת של כל הדיסקים בצומת מתבצעת כאשר רוצים להוציא את הצומת מהאשכול. הכוונה היא לפרוס את הצומת באשכול אחר או לבטל את הצומת. אנו יכולים לסווג הסרת צומת בתרחיש זה בשתי דרכים שונות:
  1. מחיקה מאובטחת של כל הדיסקים מבלי להשבית את ההצפנה
  2. מחיקה מאובטחת של כל הדיסקים ולאחריה ביטול ההצפנה עבור הצומת (והדיסקים). אנא צור קשר עם Cisco TAC לקבלת סיוע.

הרחבה מאובטחת של אשכול

• ש 12.1: עם איזה סוג של צומת אוכל להרחיב אשכול מוצפן?
  א 12.1: ניתן להוסיף רק צמתים בעלי יכולת SED ל-HX Cluster עם SEDs.
• ש 12.2: כיצד מטופלת הרחבה עם ניהול מפתחות מקומי?
  א 12.2: הרחבת מפתח מקומי היא פעולה חלקה ללא צורך בתצורה חיצונית.
• ש 12.3: כיצד מתנהלת הרחבה עם ניהול מפתח מרחוק?
  א 12.3: הרחבת מפתח מרחוק דורשת שלב נעילה עם אישורים/תשתית ניהול מפתחות:
  • נדרשים אישורים כדי להוסיף צומת חדש בצורה מאובטחת
  • הפריסה תציג אזהרה עם שלבים להמשך כולל קישור להורדת אישור
  • המשתמש מבצע את השלבים להעלאת אישורים ולאחר מכן מנסה שוב את הפריסה

מסמכים תומכים

מיקרון:

• https://www.micron.com/about/blogs/2016/may/selfencrypting-drives-understanding-the-strategy-of-security
• https://www.micron.com/~/media/documents/products/technical-marketing-brief/5100_sed_tcg-e_tech_brief.pdf
• https://csrc.nist.gov/csrc/media/projects/cryptographic-module-validation-program/documents/security-policies/140sp2667.pdf
• https://csrc.nist.gov/csrc/media/projects/cryptographic-module-validation-program/documents/security-policies/140sp2382.pdf

FIPS

• רשימת אלגוריתמי ההצפנה שאושרו עבור FIPS 140-2: https://csrc.nist.gov/csrc/media/publications/fips/140/2/final/documents/fips1402annexa.pdf

CDETS:

• פּרוֹיֶקט: CSC.nuova מוצר: ucs-blade-server רכיב: ucsm

מפרט פונקציונלי SED:

• EDCS: 1574090

מפרט SED CIMC:

• http://wwwin-eng.cisco.com/Eng/SAVBU/Projects/Rackmount/Freel_Peak/SW_Specs/Remote_Key_Mgmt_sw_design_spec.doc

רשימות תפוצה:

• ucsm-dev@cisco.com
• ask-hci-tme@cisco.com
• ask-hci-pm@cisco.com

מסמכים / משאבים

פלטפורמת נתונים CISCO HyperFlex HX [pdfהוראות HyperFlex HX Data Platform, HyperFlex, HX Data Platform, Data Platform, Platform

הפניות

• מדריך למשתמש