Instructions pour la plateforme de données CISCO HyperFlex HX

Contenu cacher

1 Plateforme de données CISCO HyperFlex HX

2 Informations sur le produit

3 Instructions d'utilisation du produit

4 FAQ sur le chiffrement de sécurité HX

5 Documents justificatifs

6 Documents / Ressources

6.1 Références

7 Articles Similaires

Plateforme de données CISCO HyperFlex HX

Informations sur le produit

Nom du produit: Cryptage de sécurité HX
Version: HXDP 5.01b
Solution de cryptage : Solution logicielle utilisant Intersight Key Manager
Type de chiffrement: Disques à chiffrement automatique (SED)
Types de lecteurs pris en charge : Disques durs et SSD SED de Micron
Normes de conformité : FIPS 140-2 niveau 2 (fabricants de disques) et FIPS 140-2 niveau 1 (plateforme)
Chiffrement à l’échelle du cluster : Le chiffrement sur HX est implémenté dans le matériel pour les données au repos uniquement à l'aide de SED.
Chiffrement de VM individuelle : Géré par un logiciel tiers tel que Hytrust ou le client transparent de Vormetric
Chiffrement natif des machines virtuelles VMware : Pris en charge par HX pour une utilisation avec le cryptage SED
Gestion des clés: La clé de chiffrement multimédia (MEK) et la clé de chiffrement de clé (KEK) sont utilisées pour chaque SED
Utilisation de la mémoire : Les clés de chiffrement ne sont jamais présentes dans la mémoire du nœud
Impact sur les performances : Le chiffrement/déchiffrement du disque est géré dans le matériel du lecteur, les performances globales du système ne sont pas affectées
Avantages supplémentaires des SED :
- Effacement cryptographique instantané pour réduire les coûts de retrait et de redéploiement des disques
- Conformité aux réglementations gouvernementales ou industrielles en matière de confidentialité des données
- Risque réduit de vol de disque et de vol de nœuds, car les données deviennent illisibles une fois le matériel retiré

Instructions d'utilisation du produit

Pour utiliser HX Security Encryption, suivez ces instructions :

Assurez-vous que votre système prend en charge le chiffrement matériel ou que vous préférez la solution logicielle utilisant Intersight Key Manager.
Reportez-vous aux documents d'administration ou aux livres blancs pour obtenir des informations sur le chiffrement logiciel.
Si vous choisissez d'utiliser le chiffrement matériel avec les SED, assurez-vous que votre cluster HX est constitué de nœuds uniformes (SED ou non-SED).
Pour les SED, sachez que deux clés sont utilisées : la clé de chiffrement multimédia (MEK) et la clé de chiffrement de clé (KEK).
Le MEK contrôle le cryptage et le déchiffrement des données sur le disque et est sécurisé et géré matériellement.
La KEK sécurise la MEK/DEK et est conservée dans un magasin de clés local ou distant.
Ne vous inquiétez pas de la présence des clés dans la mémoire du nœud, car les clés de chiffrement n'y sont jamais stockées.
Notez que le chiffrement/déchiffrement du disque est géré dans le matériel du lecteur, garantissant ainsi que les performances globales du système ne sont pas affectées.
Si vous avez des exigences spécifiques en matière de normes de conformité, sachez que les disques chiffrés HX SED répondent aux normes FIPS 140-2 niveau 2 des fabricants de disques, tandis que le chiffrement HX sur la plate-forme répond aux normes FIPS 140-2 niveau 1.
Si vous devez chiffrer des machines virtuelles individuelles, envisagez d'utiliser un logiciel tiers tel que Hytrust ou le client transparent de Vormetric. Vous pouvez également utiliser le chiffrement natif des machines virtuelles de VMware introduit dans vSphere 3.
Gardez à l’esprit que l’utilisation d’un client de chiffrement de VM en plus du chiffrement basé sur HX SED entraînera un double chiffrement des données.
Assurez-vous que votre cluster HX est connecté via des réseaux approuvés ou des tunnels chiffrés pour une réplication sécurisée, car la réplication HX n'est pas chiffrée.

FAQ sur le chiffrement de sécurité HX

Depuis HXDP 5.01b, HyperFlex propose une solution logicielle utilisant Intersight Key Manager pour les systèmes qui ne prennent pas en charge le chiffrement matériel ou pour les utilisateurs qui souhaitent cette fonctionnalité plutôt que des solutions matérielles. Cette FAQ se concentre uniquement sur les solutions matérielles basées sur SED pour le chiffrement HX. Consultez les documents d'administration ou les livres blancs pour obtenir des informations sur le chiffrement logiciel.

Déclaration de partialité
La documentation de ce produit s'efforce d'utiliser un langage impartial. Aux fins de cette documentation, un langage impartial est défini comme n'impliquant aucune discrimination fondée sur l'âge, le handicap, le sexe, l'identité raciale, l'identité ethnique, l'orientation sexuelle, le statut socio-économique et l'intersectionnalité. Des exceptions peuvent être présentes dans la documentation en raison du langage codé en dur dans les interfaces utilisateur du logiciel du produit, du langage utilisé sur la base de la documentation des normes ou du langage utilisé par un produit tiers référencé.

Pourquoi Cisco pour la sécurité et le chiffrement HX

Q 1.1 : Quels processus sont en place pour un développement sécurisé ?
A 1.1: Les serveurs Cisco adhèrent au cycle de vie de développement sécurisé Cisco (CSDL) :
- Cisco fournit des processus, des méthodologies et des cadres pour développer une sécurité intégrée sur les serveurs Cisco, et pas seulement une superposition
- Équipe Cisco dédiée à la modélisation des menaces/analyse statique sur le portefeuille de produits UCS
- Cisco Advanced Security Initiative Group (ASIG) effectue des tests d'intrusion proactifs pour comprendre comment les menaces arrivent et résoudre les problèmes en améliorant le matériel et les logiciels via le CDETS et l'ingénierie.
- Équipe Cisco dédiée pour tester et gérer la vulnérabilité sortante et communiquer en tant que conseillers en sécurité auprès des clients
- Tous les produits sous-jacents sont soumis aux exigences de base de sécurité des produits (PSB) qui régissent les normes de sécurité des produits Cisco.
- Cisco effectue des tests de vulnérabilité/robustesse de protocole sur toutes les versions d'UCS
Q 1.2 : Pourquoi les SED sont-ils importants ?
A 1.2: Les SED sont utilisés pour le chiffrement des données au repos et constituent une exigence pour de nombreuses institutions fédérales, médicales et financières, sinon la totalité.

Informations générales surview

Q 2.1 : Que sont les SED ?
A 2.1: Les SED (Self-Encrypting Drives) disposent d'un matériel spécial qui crypte les données entrantes et déchiffre les données sortantes en temps réel.
Q 2.2 : Quelle est la portée du cryptage sur HX ?
A 2.2: Le chiffrement sur HX est actuellement implémenté dans le matériel pour les données au repos uniquement à l'aide de lecteurs chiffrés (SED). Le chiffrement HX s’applique à l’ensemble du cluster. Le chiffrement des VM individuelles est géré par des logiciels tiers tels que Hytrust ou le client transparent de Vormetric et ne relève pas des responsabilités de HX. HX prend également en charge l'utilisation du chiffrement natif des machines virtuelles de VMware introduit dans vSphere 3. L'utilisation d'un client de chiffrement de VM en plus du chiffrement basé sur HX SED entraînera un double chiffrement des données. La réplication HX n'est pas chiffrée et repose sur des réseaux fiables ou des tunnels chiffrés déployés par l'utilisateur final.
Q 2.3 : Quelles normes de conformité sont respectées avec le cryptage HX ?
A 2.3: Les disques chiffrés HX SED répondent aux normes FIPS 140-2 niveau 2 des fabricants de disques. Le chiffrement HX sur la plateforme répond aux normes FIPS 140-2 niveau 1.
Q 2.4 : Prenons-nous en charge les disques durs et les SSD pour le chiffrement ?
A 2.4: Oui, nous prenons en charge les SED HDD et SSD de Micron.
Q 2.5 : Un cluster HX peut-il avoir à la fois des lecteurs chiffrés et non chiffrés ?
A 2.5: Tous les nœuds du cluster doivent être uniformes (SED ou non-SED)
Q 2.6 : Quelles clés sont utilisées pour un SED et comment sont-elles utilisées ?
A 2.6: Deux clés sont utilisées pour chaque SED. La clé de chiffrement multimédia (MEK), également appelée clé de chiffrement de disque (DEK), contrôle le chiffrement et le déchiffrement des données sur le disque et est sécurisée et gérée matériellement. La clé de chiffrement de clé (KEK) sécurise la DEK/MEK et est conservée dans un magasin de clés local ou distant.
Q 2.7 : Les clés sont-elles toujours présentes en mémoire ?
A 2.7: Les clés de chiffrement ne sont jamais présentes dans la mémoire du nœud
Q 2.8 : Quel est l'impact sur les performances du processus de cryptage/déchiffrement ?
A 2.8: Le cryptage/déchiffrement du disque est géré dans le matériel du lecteur. Les performances globales du système ne sont pas affectées et ne sont pas sujettes à des attaques ciblant d'autres composants du système.
Q 2.9 : Outre le chiffrement au repos, quelles sont les autres raisons d'utiliser les SED ?
A 2.9: Les SED peuvent réduire les coûts de retrait et de redéploiement des disques grâce à un effacement cryptographique instantané. Ils servent également à se conformer aux réglementations gouvernementales ou industrielles en matière de confidentialité des données. Une autre avancéetagC'est le risque réduit de vol de disque et de vol de nœuds puisque les données, une fois le matériel retiré de l'écosystème, sont illisibles.
Q2.10 : Que se passe-t-il avec la déduplication et la compression avec les SED ? Que se passe-t-il avec le cryptage logiciel tiers ?
A2.10: La déduplication et la compression avec les SED sur HX sont maintenues puisque le chiffrement des données au repos a lieu comme dernière étape du processus d'écriture. La déduplication et la compression ont déjà eu lieu. Avec des produits de chiffrement logiciels tiers, les machines virtuelles gèrent leur chiffrement et transmettent les écritures chiffrées à l'hyperviseur, puis à HX. Puisque ces écritures sont déjà chiffrées, elles ne sont ni dédupliquées ni compressées. HX Software Based Encryption (dans la ligne de code 3.x) sera une solution de chiffrement logiciel qui sera implémentée dans la pile après que les optimisations d'écriture (déduplication et compression) aient eu lieu, de sorte que les avantages seront conservés dans ce cas.

La figure ci-dessous est un surview de la mise en œuvre du SED avec HX.

Détails du lecteur

Q 3.1 : Qui fabrique les lecteurs cryptés utilisés dans HX ?
A 3.1: HX utilise des disques fabriqués par Micron : les documents spécifiques à Micron sont liés dans la section des documents justificatifs de cette FAQ.
Q 3.2 : Prenons-nous en charge les SED qui ne sont pas conformes à la norme FIPS ?
A 3.2: Nous prenons également en charge certains disques non FIPS, mais prenant en charge SED (TCGE).
Q 3.3 : Qu'est-ce que le JCC ?
A 3.3: TCG est le Trusted Computing Group, qui crée et gère la norme de spécifications pour le stockage de données cryptées.
Q 3.4 : Qu'est-ce qui est considéré comme une sécurité de classe entreprise lorsqu'il s'agit de disques SSD SAS pour le centre de données ? Quelles sont les fonctionnalités spécifiques de ces disques qui garantissent la sécurité et protègent contre les attaques ?
A 3.4: Cette liste résume les fonctionnalités de classe entreprise des SED utilisés dans HX et leur relation avec la norme TCG.
1. Les disques à chiffrement automatique (SED) offrent une sécurité renforcée pour les données au repos sur votre SED, empêchant tout accès non autorisé aux données. Le Trusted Computing Group (TCG) a élaboré une liste des fonctionnalités et des avantages des disques à chiffrement automatique pour les disques durs et SSD. Le TCG fournit une norme appelée TCG Enterprise SSC (Security Subsystem Class) et se concentre sur les données au repos. Il s’agit d’une exigence pour tous les SED. La spécification s'applique aux périphériques de stockage de données et aux contrôleurs qui fonctionnent dans le stockage d'entreprise. La liste comprend :
  - Transparence: Aucune modification du système ou de l'application requise ; clé de cryptage générée par le lecteur lui-même, à l'aide d'un véritable générateur de nombres aléatoires intégré ; le lecteur chiffre toujours.
  - Facilité de gestion : Aucune clé de chiffrement à gérer ; les fournisseurs de logiciels exploitent une interface standardisée pour gérer les SED, y compris la gestion à distance, l'authentification avant démarrage et la récupération de mot de passe.
  - Coût d’élimination ou de réutilisation : Avec un SED, effacez la clé de chiffrement intégrée
  - Rechiffrement : Avec SED, il n’est jamais nécessaire de chiffrer à nouveau les données
  - Performance: Aucune dégradation des performances du SED ; basé sur le matériel
  - Standardisation: L’ensemble du secteur des entraînements s’appuie sur les spécifications TCG/SED
  - Simplifié: Aucune interférence avec les processus en amont
2. Les SED SSD offrent la possibilité d’effacer le disque de manière cryptographique. Cela signifie qu'une simple commande authentifiée peut être envoyée au lecteur pour modifier la clé de cryptage de 256 bits stockée sur le lecteur. Cela garantit que le lecteur est nettoyé et qu’il ne reste plus de données. Même le système hôte d'origine ne peut pas lire les données, elles seront donc absolument illisibles par tout autre système. L'opération ne prend que quelques secondes, par opposition aux nombreuses minutes, voire heures, qu'il faut pour effectuer une opération analogue sur un disque dur non crypté et évite le coût d'équipements ou de services coûteux de démagnétisation du disque dur.
3. FIPS (Federal Information Processing Standard) 140-2 est une norme du gouvernement américain qui décrit les exigences de chiffrement et de sécurité associées que les produits informatiques doivent respecter pour une utilisation sensible, mais non classifiée. Il s’agit souvent d’une exigence pour les agences gouvernementales et les entreprises des secteurs des services financiers et de la santé. Un SSD validé FIPS-140-2 utilise des pratiques de sécurité strictes, notamment des algorithmes de chiffrement approuvés. Il précise également comment les individus ou autres processus doivent être autorisés afin d'utiliser le produit, et comment les modules ou composants doivent être conçus pour interagir en toute sécurité avec d'autres systèmes. En fait, l'une des exigences d'un disque SSD validé FIPS-140-2 est qu'il s'agisse d'un SED. Gardez à l’esprit que même si TCG n’est pas le seul moyen d’obtenir un lecteur crypté certifié, les spécifications TCG Opal et Enterprise SSC nous fournissent un tremplin vers la validation FIPS. 4. Une autre fonctionnalité essentielle est les téléchargements et les diagnostics sécurisés. Cette fonctionnalité du micrologiciel protège le lecteur contre les attaques logicielles grâce à une signature numérique intégrée au micrologiciel. Lorsque des téléchargements sont nécessaires, la signature numérique empêche tout accès non autorisé au disque, empêchant ainsi le chargement d'un micrologiciel contrefait sur le disque.

Installation Hyperflex avec SED

Q 4.1 : Comment le programme d'installation gère-t-il un déploiement SED ? Y a-t-il des contrôles particuliers ?
A 4.1: Le programme d'installation communique avec UCSM et garantit que le micrologiciel du système est correct et pris en charge pour le matériel détecté. La compatibilité du chiffrement est vérifiée et appliquée (par exemple, pas de mélange de SED et non-SED).
Q 4.2 : Le déploiement est-il différent autrement ?
A 4.2: L'installation est similaire à une installation HX standard, cependant, le flux de travail personnalisé n'est pas pris en charge pour les SED. Cette opération nécessite également des informations d'identification UCSM pour les SED.
Q 4.3 : Comment fonctionne la licence avec le chiffrement ? Y a-t-il quelque chose de supplémentaire à mettre en place ?
A 4.3: Le matériel SED (commandé en usine, pas de mise à niveau) + HXDP 2.5 + UCSM (3.1(3x)) sont les seuls éléments nécessaires pour activer le chiffrement avec gestion des clés. Il n'y a aucune licence supplémentaire en dehors de l'abonnement de base HXDP requis dans la version 2.5.
Q 4.4 : Que se passe-t-il lorsque j'ai un système SED dont les disques ne sont plus disponibles ? Comment puis-je étendre ce cluster ?
A 4.4: Chaque fois que nous avons un PID en fin de vie auprès de nos fournisseurs, nous disposons d'un PID de remplacement compatible avec l'ancien PID. Ce PID de remplacement peut être utilisé pour la RMA, l'expansion au sein d'un nœud et l'expansion du cluster (avec de nouveaux nœuds). Toutes les méthodes sont toutes prises en charge, mais elles peuvent nécessiter une mise à niveau vers une version spécifique également identifiée dans les notes de version de transition.

Gestion des clés

Q 5.1 : Qu'est-ce que la gestion des clés ?
A 5.1: La gestion des clés concerne les tâches liées à la protection, au stockage, à la sauvegarde et à l'organisation des clés de chiffrement. HX implémente cela dans une politique centrée sur UCSM.
Q 5.2 : Quel mécanisme prend en charge la configuration des clés ?
A 5.2: UCSM prend en charge la configuration des clés de sécurité.
Q 5.3 : Quel type de gestion des clés est disponible ?
A 5.3: La gestion locale des clés est prise en charge, ainsi que la gestion des clés à distance de classe entreprise avec des serveurs de gestion de clés tiers.
Q 5.4 : Qui sont les partenaires de gestion des clés à distance ?
A 5.4: Nous prenons actuellement en charge Vormetric et Gemalto (Safenet) et incluons la haute disponibilité (HA). HyTrust est en cours de test.
Q 5.5 : Comment la gestion des clés à distance est-elle mise en œuvre ?
A 5.5: La gestion des clés à distance est gérée via KMIP 1.1.
Q 5.6 : Comment est configurée la gestion locale ?
A 5.6: La clé de sécurité (KEK) est configurée dans HX Connect, directement par l'utilisateur.
Q 5.7 : Comment la gestion à distance est-elle configurée ?
A 5.7: Les informations sur l'adresse du serveur de gestion des clés à distance (KMIP) ainsi que les informations de connexion sont configurées dans HX Connect par l'utilisateur.
Q 5.8 : Quelle partie de HX communique avec le serveur KMIP pour la configuration ?
A 5.8: Le CIMC sur chaque nœud utilise ces informations pour se connecter au serveur KMIP et en récupérer la clé de sécurité (KEK).
Q 5.9 : Quels types de certificats sont pris en charge dans le processus de génération/récupération/mise à jour de clé ?
A 5.9: Les certificats signés par une autorité de certification et auto-signés sont tous deux pris en charge.
Q 5.10 : Quels flux de travail sont pris en charge avec le processus de chiffrement ?
A 5.10: La protection/déprotection à l'aide d'un mot de passe personnalisé est prise en charge ainsi que la conversion de la gestion des clés locales vers distantes. Les opérations de retouche sont prises en charge. Les opérations d'effacement sécurisé du disque sont également prises en charge.

Flux de travail utilisateur : local

Q 6.1 : Dans HX Connect, où puis-je configurer la gestion des clés locales ?
A 6.1: Dans le tableau de bord Encryption, sélectionnez le bouton Configurer et suivez l'assistant.
Q 6.2 : De quoi ai-je besoin pour commencer ?
A 6.2: Vous devrez fournir une phrase secrète de sécurité de 32 caractères.
Q 6.3 : Que se passe-t-il si je dois insérer un nouveau SED ?
Un 6.3: Dans UCSM, vous devrez modifier la stratégie de sécurité locale et définir la clé déployée sur la clé de nœud existante.
Q 6.4 : Que se passe-t-il lorsque j'insère le nouveau disque ?
A 6.4: Si la clé de sécurité sur le disque correspond à celle du serveur (nœud), il est automatiquement déverrouillé. Si les clés de sécurité sont différentes, le disque s'affichera comme « Verrouillé ». Vous pouvez soit effacer le disque pour supprimer toutes les données, soit le déverrouiller en fournissant la clé correcte. C’est le bon moment pour engager le TAC.

Flux de travail utilisateur : à distance

Q 7.1 : À quels points dois-je faire attention lors de la configuration de la gestion des clés à distance ?
A 7.1: La communication entre le cluster et le(s) serveur(s) KMIP s'effectue via le CIMC sur chaque nœud. Cela signifie que le nom d'hôte peut être utilisé pour le serveur KMIP uniquement si l'adresse IP Inband et le DNS sont configurés sur la gestion CIMC.
Q 7.2 : Que se passe-t-il si je dois remplacer ou insérer un nouveau SED ?
A 7.2: Le cluster lira l'identifiant sur le disque et tentera de le déverrouiller automatiquement. Si le déverrouillage automatique échoue, le disque apparaît comme « verrouillé » et l'utilisateur doit déverrouiller le disque manuellement. Vous devrez copier les certificats sur le(s) serveur(s) KMIP pour l'échange d'informations d'identification.
Q 7.3 : Comment copier les certificats du cluster vers le(s) serveur(s) KMIP ?
A 7.3: Il y a deux façons de faire ça. Vous pouvez copier le certificat du BMC vers le serveur KMIP directement ou vous pouvez utiliser le CSR pour obtenir un certificat signé par une autorité de certification et copier le certificat signé par une autorité de certification sur le BMC à l'aide des commandes UCSM.
Q 7.4 : Quelles sont les considérations à prendre en compte pour l'ajout de nœuds chiffrés à un cluster qui utilise la gestion des clés à distance ?
A 7.4: Lors de l'ajout de nouveaux hôtes au(x) serveur(s) KMIP, le nom d'hôte utilisé doit être le numéro de série du serveur. Pour obtenir le certificat du serveur KMIP, vous pouvez utiliser un navigateur pour obtenir le certificat racine du ou des serveurs KMIP.

Flux de travail utilisateur : général

Q 8.1 : Comment effacer un disque ?
A 8.1: Dans le tableau de bord HX Connect, sélectionnez les informations système view. À partir de là, vous pouvez sélectionner des disques individuels pour un effacement sécurisé.
Q 8.2 : Que se passe-t-il si j'efface un disque par accident ?
A 8.2: Lorsque l'effacement sécurisé est utilisé, les données sont détruites définitivement
Q 8.3 : Que se passe-t-il lorsque je souhaite mettre hors service un nœud ou dissocier un professionnel du service ?file?
A 8.3: Aucune de ces actions ne supprimera le cryptage sur le disque/contrôleur.
Q 8.4 : Comment le cryptage est-il désactivé ?
A 8.4: L'utilisateur doit désactiver explicitement le cryptage dans HX Connect. Si l'utilisateur tente de supprimer une stratégie de sécurité dans UCSM lorsque le serveur associé a été sécurisé, UCSM affichera un échec de configuration et refusera l'action. La politique de sécurité doit d'abord être désactivée.

Flux de travail utilisateur : gestion des certificats

Q 9.1 : Comment les certificats sont-ils gérés lors de la configuration de la gestion à distance ?
A 9.1: Les certificats sont créés à l'aide de HX Connect et du ou des serveurs KMIP distants. Les certificats une fois créés ne seront presque jamais supprimés.
Q 9.2 : Quels types de certificats puis-je utiliser ?
A 9.2: Vous pouvez utiliser des certificats auto-signés ou des certificats CA. Vous devez choisir lors de l'installation. Pour les certificats signés par une autorité de certification, vous générerez un ensemble de demandes de signature de certificat (CSR). Les certificats signés sont téléchargés sur le(s) serveur(s) KMIP.
Q 9.3 : Quel nom d'hôte dois-je utiliser lors de la génération des certificats ?
A 9.3: Le nom d'hôte utilisé pour générer le certificat doit être le numéro de série du serveur.

Mises à jour du firmware

Q 10.1 : Existe-t-il des restrictions sur la mise à niveau du micrologiciel du disque ?
A 10.1: Si un lecteur compatible avec le chiffrement est détecté, aucune modification du micrologiciel du disque ne sera autorisée pour ce disque.
Q 10.2 : Existe-t-il des restrictions sur la mise à niveau du micrologiciel UCSM ?
A 10.2: La rétrogradation d'UCSM/CIMC vers la version antérieure à UCSM 3.1(3x) est limitée si un contrôleur est dans un état sécurisé.

Détails d'effacement sécurisé

Q 11.1 : Qu'est-ce que l'effacement sécurisé ?
A 11.1: L'effacement sécurisé est un effacement instantané des données sur le disque (effacement de la clé de cryptage du disque). Cela signifie qu'une simple commande authentifiée peut être envoyée au lecteur pour modifier la clé de cryptage de 256 bits stockée sur le lecteur. Cela garantit que le lecteur est nettoyé et qu’il ne reste plus de données. Même le système hôte d'origine ne peut pas lire les données et elles seront donc illisibles par tout autre système. L'opération ne prend que quelques secondes, contrairement aux nombreuses minutes, voire heures, qu'il faut pour effectuer une opération analogue sur un disque non crypté et évite le coût d'équipements ou de services de démagnétisation coûteux.
Q 11.2 : Comment l'effacement sécurisé est-il effectué ?
A 11.2: Il s'agit d'une opération GUI effectuée un lecteur à la fois.
Q 11.3 : Quand l'effacement sécurisé est-il généralement effectué ?
A 11.3: L’effacement sécurisé d’un seul disque initié par l’utilisateur est une opération rare. Cela se produit principalement lorsque vous souhaitez retirer physiquement le disque pour le remplacer, le transférer vers un autre nœud ou éviter une panne dans un futur proche.
Q 11.4 : Quelles sont les restrictions concernant l'effacement sécurisé ?
A 11.4: Les opérations d'effacement sécurisé ne peuvent être effectuées que si le cluster est sain afin de garantir que la résilience aux pannes du cluster n'est pas affectée.
Q 11.5 : Que se passe-t-il si je dois supprimer un nœud entier ?
A 11.5: Il existe des flux de travail de suppression et de remplacement de nœuds pour prendre en charge l'effacement sécurisé de tous les lecteurs. Consultez le guide de l'administrateur pour plus de détails ou consultez Cisco TAC.
Q 11.6 : Un disque effacé de manière sécurisée peut-il être réutilisé ?
A 11.6: Un disque qui a été effacé de manière sécurisée peut être réutilisé uniquement dans un autre cluster. L'effacement sécurisé du SED se fait en effaçant la clé de cryptage du disque (DEK). Les données du disque ne peuvent pas être déchiffrées sans DEK. Cela vous permet de réutiliser ou de mettre hors service le disque sans aucun compromis sur les données.
Q 11.7 : Que se passe-t-il si le disque que je souhaite effacer contient la dernière copie principale des données du cluster ?
A 11.7: Les données sur le disque doivent avoir d'autres copies dans le cluster pour éviter toute perte de données. Cependant, si un effacement sécurisé est demandé sur un disque qui constitue la dernière copie principale, cette opération sera rejetée jusqu'à ce qu'il y ait au moins une copie supplémentaire disponible. Rebalance devrait effectuer cette copie en arrière-plan.
Q 11.8 : J'ai vraiment besoin d'effacer un disque en toute sécurité, mais le cluster n'est pas sain. Comment puis-je le faire?
A 11.8: La ligne de commande (STCLI/HXCLI) permettra l'effacement sécurisé lorsque le cluster n'est pas sain et que le disque ne contient pas la dernière copie principale, sinon il est interdit.
Q 11.9 : Comment puis-je effacer en toute sécurité un nœud entier ?
A 11.9: Il s'agit d'un scénario rare. L'effacement sécurisé de tous les disques d'un nœud est effectué lorsque l'on souhaite retirer le nœud du cluster. L'intention est soit de déployer le nœud dans un cluster différent, soit de mettre le nœud hors service. Nous pouvons classer la suppression de nœuds dans ce scénario de deux manières différentes :
1. Effacement sécurisé de tous les disques sans désactiver le cryptage
2. Effacez de manière sécurisée tous les disques, puis désactivez le cryptage pour ce nœud (et ces disques). Veuillez contacter Cisco TAC pour obtenir de l'aide.

Extension sécurisée d'un cluster

Q 12.1 : Avec quel type de nœud puis-je étendre un cluster chiffré ?
A 12.1: Seuls les nœuds compatibles SED peuvent être ajoutés à un cluster HX avec des SED.
Q 12.2 : Comment l'expansion avec la gestion des clés locales est-elle gérée ?
A 12.2: L’extension de clé locale est une opération transparente sans configuration externe requise.
Q 12.3 : Comment l'expansion avec la gestion des clés à distance est-elle gérée ?
A 12.3: L’expansion des clés à distance nécessite une synchronisation avec l’infrastructure de gestion des certificats/clés :
- Des certificats sont requis pour ajouter un nouveau nœud en toute sécurité
- Le déploiement affichera un avertissement avec les étapes à suivre, y compris un lien pour le téléchargement du certificat.
- L'utilisateur suit les étapes pour télécharger le(s) certificat(s), puis réessaye le déploiement.

Documents justificatifs

Micron:

FIPS

Liste des algorithmes de chiffrement approuvés pour FIPS 140-2 : https://csrc.nist.gov/csrc/media/publications/fips/140/2/final/documents/fips1402annexa.pdf

CDETS :

Projet: CSC.nuova Produit : ucs-blade-server Composant : ucsm

Spécification fonctionnelle SED :

EDCS : 1574090

Spécification CIMC SED :

http://wwwin-eng.cisco.com/Eng/SAVBU/Projects/Rackmount/Freel_Peak/SW_Specs/Remote_Key_Mgmt_sw_design_spec.doc

Listes de diffusion :

Documents / Ressources

Plateforme de données CISCO HyperFlex HX [pdf] Instructions
Plateforme de données HyperFlex HX, HyperFlex, Plateforme de données HX, Plateforme de données, Plateforme

Références

Manuel d'utilisation