Data ONTAPがアレイLUNを使用できるケース
1. Data ONTAPシステムで、次のコマンドを入力して所有権情報を削除します。
storage disk removeowner -disk arrayLUNname 2. ストレージアレイで、次の手順を実行します。
a. アレイLUNのマッピングを解除し、Data ONTAPシステムから認識されないようにします。
b. アレイLUNのサイズまたは構成を変更します。
c. アレイLUNをData ONTAPで再び使用できるようにするには、アレイLUNをData ONTAPシ ステムに再度マッピングします。
この時点で、アレイLUNのマッピング先のFCイニシエータポートからは認識されますが、ど のData ONTAPシステムでもまだ使用できません。
3. アレイLUNの所有者に設定するData ONTAPシステムで、次のコマンドを実行します。
storage disk assign -disk arrayLUNname -owner nodename
所有権情報を削除したアレイLUNは、割り当てを再設定するまで、どのData ONTAPシステム でも使用できません。 アレイLUNはスペアのままにしておくことも、アグリゲートに追加すること もできます。アレイLUNをストレージに使用するには、アグリゲートに追加する必要がありま す。
関連コンセプト
ストレージ アレイ上でアレイLUNを再構成するための前提条件（81ページ）
アレイ LUN の Data ONTAP による使用の中止
ストレージアレイ管理者が特定のアレイLUNについてData ONTAPでの使用を中止し、そのLUN を別のホストで使用するように再設定する場合は、Data ONTAPによってLUNに書き込まれた情報
（サイズや所有権など）を事前に削除しておく必要があります。
開始する前に
Data ONTAPでの使用を中止するLUNがアグリゲートに含まれている場合は、この手順を開始す
る前に、アグリゲートをオフラインにして削除しておく必要があります。アグリゲートをオフラインにし て削除すると、データLUNはスペアLUNに変わります。
手順
1. 次のコマンドを入力します。
storage disk removeowner -disk LUN_name LUN_nameは、アレイLUNの名前です。
Data ONTAP システムをサービスから削除する前のアレイ LUN の準 備
Data ONTAPシステムをサービスから削除するときは、そのシステムに割り当てられているすべて
のアレイLUNの永続的予約を解除しておく必要があります。
タスク概要
アレイLUNにData ONTAPの所有権を割り当てると、そのアレイLUNには永続的予約（所有権ロッ
ク）が設定され、アレイLUNを所有するData ONTAPシステムが識別されます。他の種類のホスト でアレイLUNを使用できるようにする場合は、Data ONTAPによってアレイLUNに設定された永続 的予約を削除する必要があります。一部のアレイでは、Data ONTAPによってそのLUNに書き込ま れた所有権と永続的予約を削除しないかぎり、リザーブされたLUNを削除できません。
たとえば、Hitachi Universal Storage Platform（USP）ストレージ アレイには、LUNから永続的予約を 削除するユーザコマンドが用意されていません。Data ONTAPシステムをサービスから削除する前
にData ONTAPで永続的予約を削除しない場合、予約を削除するために日立のテクニカルサポー
トにお問い合わせいただく必要があります。
Data ONTAPシステムをサービスから削除する前に永続的予約をLUNから削除する方法について は、テクニカルサポートにお問い合わせください。
ストレージ暗号化による保管データの保護
ストレージ暗号化を使用して、保管データへの不正アクセスを防止できます。この機能を使用する には、ストレージ暗号化とその機能、セットアップと管理の方法、およびストレージ暗号化を使用し てディスク内のデータを削除する方法について理解しておく必要があります。
ストレージ暗号化の概要
ストレージ暗号化の概念、機能、利点、および制限事項の概要について説明します。
ストレージ暗号化とは
ストレージ暗号化は、データ保護を強化するためのオプション機能です。この機能は、暗号化機能 を備えたディスクを格納する、サポート対象の特定のストレージコントローラとディスクシェルフで 使用できます。
標準的なストレージ環境では、データはクリアテキスト形式でディスクに書き込まれます。これによ り、ストレージシステムから取り外したディスクを紛失したり、ディスクが盗難にあったりした場合 に、許可されていないユーザがデータにアクセスする可能性があります。
ストレージ暗号化を有効にすると、ストレージ システムの保管データは自己暗号化ディスクに格納 されて保護されます。
自己暗号化ディスクで使用する認証キーは、外部キー管理サーバにセキュアに格納されます。
外部キー管理サーバの目的
外部キー管理サーバは、ストレージ環境におけるサードパーティのシステムであり、ストレージシ ステム内の自己暗号化ディスクで使用する認証キーをセキュアに管理します。認証キーまたは暗 号化キーを使用する他のシステム（ストレージシステムなど）に外部キー管理サーバをリンクしま す。
ストレージ システムでは、外部キー管理サーバへのセキュアなSSL接続を使用して認証キーを格 納および取得します。ストレージシステムとキー管理サーバ間の通信にはKey Management Interoperability Protocol（KMIP）を使用します。
外部キー管理サーバは、管理対象の認証キーまたは暗号化キーをセキュアに格納し、要求に応 じて、許可済みのリンクされているシステムにそれらのキーを提供します。これにより、認証キーが ストレージシステムとは別に格納されるので、セキュリティが強化されます。さらに、認証キーは常 にセキュアに処理および格納されます。キーがクリアテキストで表示されることはありません。
ストレージ暗号化のセットアップおよび設定のプロセスの際は、少なくとも1台のキー管理サーバを ストレージシステムにリンクする必要があります。冗長性を確保するには、複数のキー管理サー バをリンクしてください。環境内に1台しかないキー管理サーバが使用できなくなると、そのキー管 理サーバが復旧するまで保護データにアクセスできない可能性があります。たとえば、ストレージ
システムで自己暗号化ディスクのロックを解除する必要があるときに、キー管理サーバが使用でき ない状態であるため、そのサーバから認証キーを取得できない場合などです。
冗長性を確保するために、セットアップ時またはセットアップ後に最大4台のキー管理サーバを指 定できます。
サポートされているキー管理サーバの一覧については、Interoperability Matrixを参照してくださ い。
ストレージ暗号化の仕組み
ストレージ暗号化は、セキュリティを強化するために、特殊なファームウェアとハードウェアで構成 されたディスク（SEDとも呼ばれます）のファームウェアレベルで実行されます。SEDは、通常のデ ィスクと同様に非保護モードで使用できます。また、電源投入プロセス後に認証が必要な保護モー ドで使用することもできます。
SEDは格納するデータを常に暗号化します。非保護モードでは、データの復号化やデータへのアク セスに必要な暗号化キーを自由に入手できます。保護モードでは、暗号化キーが保護されるの で、認証を使用する必要があります。
SEDを使用してストレージシステムでストレージ暗号化を最初に有効にして設定する場合は、スト レージシステムがSEDに対して自身を認証するために使用する認証キーを作成します。IPアドレ スが指定されたストレージシステムを、認証キーをセキュアに格納する1台以上の外部キー管理 サーバに対して設定します。
ストレージ システムは、ブート時にキー管理サーバと通信して認証キーを取得します。Data
ONTAPは、SEDの電源を再投入したあとで、認証キーを使用してSEDに対して自身を認証する必
要があります。
認証が成功すると、SEDのロックが解除されます。SEDでは、認証キーを使用して、ディスクに格納 されているデータ暗号化キーを復号化します。読み取り要求があると、SEDは、格納されているデ ータをストレージシステムに渡す前に、そのデータを自動的に復号化します。ストレージシステム からの書き込み要求があると、SEDは、ディスクのストレージプラッタにデータを書き込む前に自 動的にデータを暗号化します。SEDがロックされている場合は、Data ONTAPがそのディスクに対し て自身を認証しなければ、SEDはデータの読み取りや書き込みを許可しません。SEDがロックされ ている場合は、ディスクの電源が投入されるたびに認証が必要です。
暗号化と復号化の際に、ユーザが認識できるほどのディスクパフォーマンスの低下が発生したり、
ブート時間が長くなったりすることはありません。ストレージ暗号化は別途ライセンスキーを入手し なくても使用できます。追加しなければならない唯一の必須コンポーネントは、外部キー管理サー バです。
ストレージ システム（SEDが搭載されたディスク シェルフを含む）が停止した場合や電源を切った 場合は、ディスクが再びロックされ、データにアクセスできなくなります。