Gestion des clés de chiffrement

L'appareil inclut un keystore LOCAL intégré et présente la possibilité de se connecter au système OKM (Oracle Key Manager). Chaque projet ou partage chiffré nécessite une clé d'encapsulation provenant soit du keystore LOCAL, soit du keystore OKM. Les clés de chiffrement des données sont gérées par l'appareil de stockage, stockées de manière permanente et chiffrées par la clé d'encapsulation provenant du keystore LOCAL ou du keystore OKM.

Oracle Key Manager (OKM) est un système de gestion de clés (KMS) complet, conçu pour répondre aux besoins sans cesse croissants des entreprises en matière de chiffrement des données basé sur le stockage. Développé en conformité avec les normes de sécurité ouvertes, OKM fournit la capacité, l'évolutivité et l'interopérabilité nécessaires pour gérer de manière centrale les clés de chiffrement à travers des infrastructures de stockage largement distribuées et hétérogènes.

OKM répond aux défis uniques de la gestion des clés de stockage, notamment :

• Conservation de clés à long terme - OKM assure la disponibilité ininterrompue des données et conserve de manière sécurisée les clés de chiffrement pendant la totalité du cycle de vie des données.

• Interopérabilité : OKM fournit l'interopérabilité nécessaire à la prise en charge d'une gamme étendue de périphériques de stockage, qui peuvent être connectés à des mainframes ou des plates-formes de systèmes ouverts sous un service unique de gestion des clés de stockage.

• Haute disponibilité : fournit une haute disponibilité grâce au clustering actif à N noeuds, l'équilibrage dynamique de la charge et le basculement automatisé, que les appareils soient dans la même pièce ou répartis dans le monde entier.

• Haute capacité : OKM peut gérer un grand nombre de périphériques de stockage et plus encore de clés de stockage. Un appareil en cluster unique peut fournir des services de gestion des clés pour des milliers de périphériques de stockage et des millions de clés de stockage.

• Configuration de clé flexible : pour un cluster OKM, les clés peuvent être générées automatiquement ou individuellement pour un keystore LOCAL ou OKM. Les administrateurs de la sécurité sont chargés de fournir les noms de clés qui, combinés avec le keystore, associent une clé d'encapsulation données à un projet ou un partage.

Maintien des clés

Les partages et les projets qui utilisent des clés OKM à l'état désactivé demeurent accessibles. Pour empêcher l'utilisation d'une clé OKM, l'administrateur OKM doit explicitement supprimer la clé.

Pour vous assurer que les partages et les projets chiffrés sont accessibles, sauvegardez vos configurations d'appareil et vos valeurs de clés de keystore LOCAL. Si une ou plusieurs clés ne sont plus disponibles, les partages ou les projets utilisant ces clés ne sont plus accessibles. Si la clé d'un projet n'est pas disponible, de nouveaux partages ne peuvent pas être créés dans ce projet.

Les clés peuvent devenir indisponibles comme suit :

• Les clés sont supprimées

• Restauration d'une version ne prenant pas en charge le chiffrement

• Restauration d'une version où les clés ne sont pas configurées

• Réinitialisation des paramètres d'usine

• Le serveur OKM n'est pas disponible (clés OKM)

Présentation des valeurs de clés de chiffrement

Le tableau suivant présente les valeurs et les descriptions des clés de chiffrement de la BUI et de la CLI. Il indique également si le type de chiffrement fonctionne avec la suppression des doublons.

Table 5-24  Valeurs de clés de chiffrement

Valeur BUI Valeur CLI Description Désactivé Désactivé Le partage/le projet n'est pas chiffré AES-128-CCM aes-128-ccm Chiffrement à impact très faible sur la CPU Suppr. des doublons poss. AES-192-CCM aes-192-ccm Suppr. des doublons poss. AES-256-CCM aes-256-ccm Suppr. des doublons poss. AES-128-GCM aes-128-gcm NIST SP800-38D recommandé, suppr. des doublons impossible AES-192-GCM aes-192-gcm NIST SP800-38D recommandé, suppr. des doublons impossible AES-256-GCM aes-256-gcm Chiffrement à impact très élevé sur la CPU, NIST SP800-38D recommandé, suppr. des doublons impossible

Présentation des erreurs de chiffrement

Si une clé de chiffrement a expiré, a été supprimée ou est incorrecte, un message d'erreur indiquant la source du problème s'affiche. Consultez le tableau suivant pour comprendre ces erreurs :

Table 5-25  Valeurs de clés de chiffrement

Erreur Keystore Description key_incorrect LOCAL ou OKM La valeur de la clé d'encapsulation affectée à ce partage ne correspond pas à la valeur de la clé lors de la création du partage ou de la dernière modification de la clé. key_unavailable LOCAL ou OKM La clé d'encapsulation affectée à ce partage a été supprimée du keystore. S'agissant d'une clé OKM, cette erreur peut également indiquer que le serveur de gestion des clés distant est inaccessible. key_unusable OKM La clé d'encapsulation affectée à ce partage a expiré conformément aux stratégies configurées dans OKM.

Pour restaurer une clé LOCAL précédemment sauvegardée, reportez-vous à la section Restauration d'une clé LOCAL (CLI)