暗号化鍵の管理

アプライアンスには、組み込みのローカルキーストアと Oracle Key Manager (OKM) システムに接続する機能が含まれています。各暗号化プロジェクトまたはシェアでは、ローカルキーストアまたは OKM キーストアからのラッピング鍵が必要とされます。データ暗号化鍵はストレージアプライアンスによって管理され、ローカルまたは OKM キーストアからのラッピング鍵によって暗号化された状態で永続的に保存されます。

包括的な鍵管理システム (KMS) である OKM は、企業の間で急速にニーズが高まっているストレージベースのデータ暗号化に対応するものです。この機能はオープンな標準に準拠するように設計されており、広範囲に分散した異機種混在ストレージインフラストラクチャーにおける暗号鍵を集中管理するためのキャパシティー、スケーラビリティー、相互運用性を提供します。

OKM はストレージ鍵管理における特有の課題を解決します。

• 長期間の鍵保持 – OKM ではアーカイブデータをいつでも使用できるようになります。データのライフサイクルが終了するまで OKM が暗号化鍵を安全に保持します。

• 相互運用性 – OKM は、単一のストレージ鍵管理システム下で、メインフレームやオープンシステムに接続されたさまざまなストレージデバイスをサポートするための相互運用性を提供します。

• 高可用性 – アプライアンスが同じ場所にある場合でも世界中に分散している場合でも、アクティブな N ノードクラスタリング、動的な負荷分散、および自動化されたフェイルオーバーを使用する高可用性を提供します。

• 大容量 – 大量のストレージデバイスと、さらに多くのストレージ鍵を管理します。クラスタ化されたアプライアンス 1 つで、数千ものストレージデバイスと数百万ものストレージ鍵を対象にした鍵管理サービスを提供できます。

• 柔軟な鍵構成 - OKM クラスタごとに、鍵を自動で生成したり、ローカルキーストアまたは OKM キーストアに対して個別に作成したりできます。セキュリティー管理者は、キーストアと組み合わせたときに、特定のラップ鍵をプロジェクトまたはシェアと関連付ける鍵名を提供します。

鍵の管理

非アクティブの状態の OKM 鍵を使用するシェアおよびプロジェクトはアクセス可能なままになります。OKM 鍵を使用されないようにするには、OKM 管理者はこの鍵を明示的に削除する必要があります。

暗号化されたシェアおよびプロジェクトを確実にアクセス可能にするには、アプライアンス構成およびローカルキーストアの鍵の値をバックアップします。鍵が使用不可能になった場合、それらの鍵を使用するシェアまたはプロジェクトはアクセスできなくなります。プロジェクトの鍵が使用できない場合、新しいシェアをそのプロジクトに作成できなくなります。

鍵は次のような場合に使用不可能になります。

• 鍵の削除

• 暗号化をサポートしていないリリースへのロールバック

• 鍵が構成されていないリリースへのロールバック

• 出荷時リセット

• OKM サーバーが使用できない (OKM 鍵)

暗号化鍵の値について

次の表は、BUI および CLI 暗号化鍵の値と説明を示しています。また、暗号化タイプが複製解除で機能するかどうかを示しています。

表 5-24  暗号化鍵の値

BUI の値 CLI の値 説明 オフ オフ シェア/プロジェクトは暗号化されません AES-128-CCM aes-128-ccm CPU への影響が最小の暗号化。複製解除可能 AES-192-CCM aes-192-ccm 複製解除可能 AES-256-CCM aes-256-ccm 複製解除可能 AES-128-GCM aes-128-gcm NIST SP800-38D が推奨されます。複製解除不能 AES-192-GCM aes-192-gcm NIST SP800-38D が推奨されます。複製解除不能 AES-256-GCM aes-256-gcm CPU への影響が最大の暗号化。NIST SP800-38D が推奨されます。複製解除不能

暗号化エラーについて

暗号化鍵が有効期限切れになったり、削除されたり、正しくなかったりする場合は、問題の原因を示すエラーメッセージが表示されます。これらのエラーについては、次の表を使用してください。

表 5-25  暗号化鍵の値

エラー キーストア 説明 key_incorrect ローカルまたは OKM このシェアに割り当てられているラッピング鍵の値は、シェアが最初に作成されたときまたは鍵が最後に変更されたときの値と一致しません。 key_unavailable ローカルまたは OKM このシェアに割り当てられているラッピング鍵はキーストアから削除されました。OKM 鍵の場合、このエラーはリモート鍵管理サーバーに現在到達できないことを表している可能性もあります。 key_unusable OKM OKM で構成されているポリシーに従って、このシェアに割り当てられているラッピング鍵が有効期限切れになりました。

以前にバックアップしたローカル鍵を復元するには、ローカル鍵の復元 (CLI)を参照してください