スタンドアロンラックサーバでのリモートキー管理の設定

はじめに

このドキュメントでは、スタンドアロンラックサーバでのKey Management Interoperability Protocol(KMIP)(KMIP)の設定について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco インテグレーテッド マネージメント コントローラ（CIMC）
• 自己暗号化ドライブ(SED) 
• KMIP

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• UCSC-C220-M4S、CIMCバージョン：4.1(1h)
• SEDドライブ
• 800 GBエンタープライズパフォーマンスSAS SED SSD(10 FWPD) - MTFDJAK800MBS
• ドライブ部品ID:UCS-SD800GBEK9
• ベンダー：MICRON
• モデル：S650DC-800FIPS
• サードパーティのキーマネージャとしてのvormetric

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

KMIPは、キー管理サーバ上で暗号キーを操作するためのメッセージフォーマットを定義する、拡張可能な通信プロトコルです。これにより、暗号化キーの管理が簡素化されるため、データの暗号化が容易になります。

SEDドライブ

SEDは、暗号化回路が組み込まれたハードディスクドライブ(HDD)またはソリッドステートドライブ(SSD)です。メディアに書き込まれたすべてのデータを透過的に暗号化し、ロックが解除されると、メディアから読み取られたすべてのデータを透過的に復号化します。

SEDでは、暗号キー自体がSEDハードウェアの範囲から外に出ることはありません。したがって、OSレベルの攻撃から安全です。

SEDドライブワークフロー：

1. SEDドライブフロー

ドライブのロックを解除するためのパスワードは、ローカルキー管理設定を使用してローカルで取得できます。この設定では、ユーザがキー情報を記憶する必要があります。また、リモートキー管理を使用して、セキュリティキーを作成してKMIPサーバから取得することもできます。ユーザの責任は、CIMCでKMIPサーバを設定することです。

設定

クライアント秘密キーとクライアント証明書の作成

これらのコマンドは、Cisco IMCではなく、OpenSSLパッケージを使用するLinuxマシンで入力します。ルートCA証明書とクライアント証明書のCommon Nameが同じであることを確認します。

注:Cisco IMCの時刻が現在の時刻に設定されていることを確認してください。

1. 2048ビットのRSAキーを作成します。

openssl genrsa –out client_private.pem 2048

 2. 既に作成されているキーを使用して自己署名証明書を作成します。

openssl req -new -x509 -key client_private.pem -out client.pem -days 365

 3. ルートCA証明書の取得の詳細については、KMIPベンダーのドキュメントを参照してください。

注:Vormetricでは、RootCa証明書の共通名がVormetricホストのホスト名と一致する必要があります。

注:KMIPベンダーの設定ガイドにアクセスするには、アカウントが必要です。
セーフネット
ボルメトリック

CIMCでのKMIPサーバの設定

1. Admin > Security Management > Secure Key Managementの順に移動します。

明確な設定は次のとおりです Export/Delete buttons grayed out, only Download buttons are active.

2. IPアドレスをクリックし、KMIPサーバーのIPを設定します。IPアドレスに到達できることを確認し、デフォルト・ポートが使用されている場合は他に変更する必要がない場合は、変更を保存します。

3. 証明書と秘密キーをサーバーにダウンロードします。次のファイルをダウンロードできます。 .pem file or just paste the content.

4. 証明書をアップロードすると、証明書が使用可能と表示されます。アップロードされていない不足している証明書については、使用不可と表示されます。

接続をテストできるのは、すべての証明書と秘密鍵がCIMCに正常にダウンロードされている場合だけです。

5. （オプション）すべての証明書を取得したら、オプションでKMIPサーバのユーザとパスワードを追加できます。この設定は、サードパーティのKMIPサーバとしてのSafeNetでのみサポートされています。

6. 接続をテストし、証明書が正しく、設定されたポートを介してKMIPサーバに到達できる場合は、正常に接続されていることを確認します。

7. KMIPとの接続が成功したら、リモートキー管理を有効にできます。

Networking > Modular Raid Controller > Controller Infoの順に選択します。

Enable Drive Securityを選択してから、Remote Key Managementを選択します。

注：以前にローカルキー管理が有効にされていた場合は、リモート管理を変更するために現在のキーを要求されます

確認

ここでは、設定が正常に機能しているかどうかを確認します。

CLIを使用して、設定を確認できます。

1. KMIPが有効になっているかどうかを確認します。

C-Series-12# scope kmip
C-Series-12 /kmip # show detail
    Enabled: yes

2. IPアドレス、ポート、およびタイムアウトを確認します。

C-Series-12 /kmip # show kmip-server
Server number Server domain name or IP address Port   Timeout
------------- -------------------------------- ------ ------
1             10.104.253.26                    5696   5
2                                              5696   5

3. 証明書が使用可能かどうかを確認します。

C-Series-12 /kmip # show kmip-client-certificate
    KMIP Client Certificate Available: 1
C-Series-12 /kmip # show kmip-client-private-key
     KMIP Client Private Key Available: 1
C-Series-12 /kmip # show kmip-root-ca-certificate
    KMIP Root CA Certificate Available: 1

4. ログインの詳細を確認します。

C-Series-12 /kmip # show kmip-login
Use KMIP Login             Login name to KMIP server  Password to KMIP server
-------------------------- -------------------------- --------------------
no                                                    ******

5. 接続をテストします。

C-Series-12 /kmip #
C-Series-12 /kmip # scope kmip-server 1
C-Series-12 /kmip/kmip-server # test-connectivity
Result of test-connectivity: query on kmip-server run successfully!

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。

KMIPサーバとのテスト接続が失敗した場合は、サーバにpingできることを確認します。

CIMCおよびKMIPサーバでポート5696が開いていることを確認します。このコマンドはCIMCでは使用できないため、PCにNMAPバージョンをインストールできます。

ローカルマシンにNMAPをインストールして、ポートが開いているかどうかをテストできます。ファイルがインストールされたディレクトリで、次のコマンドを使用します。

nmap <ipAddress> -p <port>

出力は、KMIPサービスのオープンポートを示しています。

出力は、KMIPサービスのクローズポートを示しています。

関連情報

• Cシリーズ構成ガイド – 自己暗号化ドライブ
• Cシリーズ設定ガイド – Key Management Interoperability Protocol
• テクニカル サポートとドキュメント - Cisco Systems