ZFS ファイルシステムの暗号化

言語:

Oracle Solaris の以前のリリースとこのリリースでは、暗号化フレームワーク機能にファイルを暗号化するための encrypt、decrypt、および mac コマンドが備わっています。

Oracle Solaris 10 は ZFS 暗号化をサポートしていません。ただし、Oracle Solaris 11 は次の ZFS 暗号化機能をサポートしています。

ZFS 暗号化は ZFS コマンドセットと統合されています。ほかの ZFS 操作と同様に、鍵の変更および鍵の再入力操作はオンラインで実行されます。
既存のストレージプールがアップグレードされていれば、それを使用できます。特定のファイルシステムの暗号化には柔軟性があります。
ZFS 暗号化は子孫のファイルシステムに継承できます。鍵管理は、ZFS 委任管理を通じて委任できます。
データは、CCM および GCM 操作モードで鍵長が 128,192、および 256 の AES (Advanced Encryption Standard) を使用して暗号化されます。
ZFS 暗号化では、暗号化フレームワーク機能を使用します。これにより、利用可能なハードウェアアクセラレーションや、暗号化アルゴリズムの最適化されたソフトウェア実装に自動的にアクセスできます。

注 - 現時点では、単独のファイルシステムであっても、ZFS ルートファイルシステムまたはその他の OS コンポーネント (/var ディレクトリなど) を暗号化できません。

使用例 9-4 暗号化された ZFS ファイルシステムを作成する

次の例は、暗号化された ZFS ファイルシステムの作成方法を示しています。デフォルトの暗号化ポリシーでは、最低 8 文字の長さが必要な passphrase の入力が求められます。

# zfs create -o encryption=on tank/data
Enter passphrase for 'tank/data': xxxxxxxx
Enter again: xxxxxxxx

ファイルシステムの暗号化の値が on になっている場合、デフォルトの暗号化アルゴリズムは aes-128-ccm です。

暗号化されたファイルシステムが作成されたあとで、その暗号化を解除することはできません。例:

# zfs set encryption=off tank/data
cannot set property for 'tank/data': 'encryption' is readonly