该设备包括一个内置的 LOCAL（本地）密钥库，并可连接到 OKM 和 KMIP 密钥库。每个加密池、项目或共享资源都需要一个来自密钥库的包装密钥。数据加密密钥由存储设备管理，并使用密钥库提供的包装密钥永久加密存储。
OKM 是综合密钥管理系统 (key management system, KMS)，可满足企业快速发展的、对基于存储的数据加密的需求。此功能的开发融合了多种开放标准，为集中管理分布在各地的异构存储基础结构上的加密密钥提供了相应的容量、可伸缩性和互操作性。
OKM 可应对存储密钥管理的独特挑战，包括：
密钥长期保留－OKM 确保归档数据始终可用，它可在整个数据生命周期内安全保留加密密钥。
互操作性－OKM 提供了支持在单一存储密钥管理系统下连接到大型机或开放系统的各种存储设备所需的互操作性。
高可用性－借助主动的 N 节点群集、动态负载平衡和自动故障转移，OKM 提供了高可用性，而不管设备是位于一个站点中还是分布在世界各地。
大容量－OKM 可以管理大量的存储设备以及更多的存储密钥。单个群集的设备对可以为数千个存储设备和以百万计的存储密钥提供密钥管理服务。
灵活的密钥配置－对于每个 OKM 群集，可以自动生成密钥，也可以为某个 LOCAL（本地）或 OKM 密钥库单独创建密钥。安全管理员负责提供密钥名称；密钥名称与密钥库组合可以将指定的包装密钥与某个池、项目或共享资源关联。
KMIP 密钥库与符合 KMIP 的服务器（包括 Oracle Key Vault）结合使用。Oracle Key Vault 是一个安装在专用服务器上的软件设备，支持 OASIS KMIP 标准。
如果列出了多个 KMIP 服务器，则在当前服务器不响应时，设备会将故障转移到备用服务器。所配置的每个 KMIP 服务器必须向设备提供同一组密钥，并且必须接受设备提供的相同证书以进行客户机验证。
可以更改 KMIP 服务器集和客户机证书，而无需从密钥库中删除密钥。
匹配主机名
如果此选项处于启用状态，系统会尝试验证指定的 KMIP 服务器是否与对等服务器证书中指定的主机匹配。
KMIP 允许使用主机名或 IP 地址指定 KMIP 服务器。如果您为 KMIP 服务器指定 IP 地址，并且 CA 签名证书的主体公用名仅具有域名，则证书的主机验证将失败。如果 "Match Hostname"（匹配主机名）BUI 选项处于禁用状态，或者 host_match CLI 属性设置为 false，则不会执行主机验证。
为了增强安全性，请执行主机验证。使用主机名指定 KMIP 服务器，然后启用主机验证选项。
销毁或保留服务器上的密钥
当设备上的某个密钥被删除时，KMIP 可以选择销毁或保留 KMIP 服务器上的该密钥。如果该选项处于启用状态，则从设备已知的密钥列表中删除的密钥也会在密钥服务器上销毁。如果禁用该选项，则从设备上的密钥列表中删除密钥后，密钥仍保留在密钥服务器上。
希望从设备中删除的密钥仍保留在密钥服务器上的一个示例是，在 Oracle Key Vault 中配置多个单独的设备以查看同一组密钥。如果您删除一个设备上的密钥，并且该密钥已从密钥服务器中删除，则该密钥将保留在其他设备上的列表中，并且您将无法删除该密钥，因为找不到该密钥并且该密钥似乎已被删除。
希望从设备中删除的密钥仍保留在密钥服务器上的另一个示例是，使用复制功能改变设备的用途。您从设备中移出（复制）所有源，并且希望使用相同的密钥对所移动的源进行加密。当复制过程清除原始源设备并删除密钥时，如果从密钥服务器中删除了密钥，则副本上的共享资源将无法使用该密钥进行加密。
使用处于停用状态的 OKM 或 KMIP 密钥的共享资源、项目和池仍可访问。要阻止使用 OKM 或 KMIP 密钥，您必须显式删除密钥。
要确保加密共享资源、项目和池可访问，请备份设备配置和 LOCAL（本地）密钥库密钥值。如果密钥变得不可用，则使用该密钥的所有共享资源、项目或池将变得不可访问。
如果某个池的密钥不可用，则无法在该池中创建新项目。
如果某个项目密钥不可用，则无法在该项目中创建新共享资源。
在以下情况下，密钥可能会变得不可用：
删除密钥
回滚到不支持加密的版本
回滚到未配置密钥的版本
恢复出厂设置
OKM 或 KMIP 服务器不可用
下表显示了 BUI 和 CLI 加密密钥值和说明。还指明加密类型是否可进行重复数据删除。
|