この章では、
SafeStore
機能によるドライブの暗号化について説明します。SafeStore
サービスとは、自己暗号化ド ライブ(Self-Encrpyting Drive: SED
、Full Disk Encryption:FDE
とも表記されます)
をサポートするストレージ製品の機 能群を示します。SafeStoreはセキュリティキーの内部管理(local key management： LKM)をサポートします。2.1. 概要
SafeStore
は、データ機密保護の為、ドライブ自身が持つセキュリティキーの管理機能を使用し、ドライブ上のデータを暗号化する機能を提供します。このソリューションは、ドライブが物理的に盗難された場合においてもデータを 保護します。ストレージシステムやサーバに搭載していた自己暗号化ドライブが抜き取られた場合、ドライブの上 の暗号化されたデータは適切なセキュリティ認証無しで読み取ることは不可能となります。
SafeStore
機能では、データの暗号化はドライブに対して行われます。各ロジカルドライブ毎に、暗号化するかどうかを指定することができます。
暗号化ソリューションには必ずセキュリティキーの管理が必要です。セキュリティサービスはセキュリティキーの 管理する方法を提供します。
HII Configuration Utility
およびServerView RAID Manager
によって、ドライブのセキュ リティ設定を管理することができます。2.2. 目的と利益
市場におけるセキュリティへの関心および要求が高まる中、MegaRAIDのユーザーはデータを保護するために包 括的なストレージの暗号化ソリューションを求めています。
SafeStore
機能はあなたのデータを保護する助けになる でしょう。さらに、
SafeStore local key management (LKM)
はセキュリティデータに関する日常業務からシステム管理者を解放し、結果ヒューマンエラーによるデータ損失のリスクを低減します。
また、
SafeStore local key management (LKM)
はドライブの安全な即時消去（Instant secure erase
）をサポートしま す。これはドライブを再利用、または廃棄する際、完全にデータを削除することができます。これらはデータの上書 きや磁気消去装置等、一般的な消去手段より更に高い安全レベルを提供します。2.3. 用語
以下の表に
SafeStore
機能に関する用語を記載します。表 16: SafeStore機能に関する用語
用語 意味
セキュリティキー
セキュリティキーはユーザーが設定した文字列を使用します。RAIDコントローラはセキュ リティキーを使って暗号化されたユーザーデータにアクセスし、ロック、およびアンロック を行います。もしセキュリティキーが失われた場合、ユーザーデータも完全に失われま す。設定したセキュリティキーは絶対に無くさないように管理してください。
セキュリティキーのバックア ップ
RAID コントローラを交換、または暗号化されたロジカルドライブの再構成(migrate)を実 施する場合は、セキュリティキーの入力が必要となります。設定したセキュリティキーは 必ずバックアップしてください。
要認証モード
本モードが有効な場合、RAID 構成情報はユーザーが設定したブートパスワードによりロ ックされます。システムの起動時、暗号化されたデータへのアクセスし、RAID構成情報を アンロックする為にパスワード認証が必要となります。
認証不要モード 本モードが有効な場合、システム起動時に RAIDコントローラはブートパスワードの認証 無しにRAID構成情報をアンロックし、アクセスすることができます。
ドライブの再利用
デバイスのセキュリティを無効化します。これはRAIDコントローラによってセキュリティキ ーを削除することを意味します。SafeStore 機能により暗号化されたドライブのセキュリテ ィキーが削除されると、ドライブの暗号化は解除され、ドライブに記録されたデータは全 て安全に削除されます。RAID コントローラによって暗号化されたドライブの場合は、ロジ カルドライブを消去するだけでも暗号化キーが消去され、安全にデータが消去されます。
安全な即時消去（Instant Secure Erase）についての詳細は、安全な即時消去(Instant Secure Erase)の項を参照してください。
2.4. ワークフロー
2.4.1. 概要
SafeStore
機能を使用する際の手順は下記となります；1. RAID
コントローラの設定より、SafeStore
機能の設定を行います。2. SED
（自己暗号化）に対応したドライブを搭載します。3.
セキュリティ機能を有効に設定し、SED
ドライブを使いロジカルドライブを作成します。4.
セキュリティキーはセキュリティ要件に合致するように作成してください。5.
必要に応じて、ブートパスワードを設定します。6.
システムの起動後には、ロジカルドライブへアクセスする際にパスワード入力は必要ありません。7.
ロジカルドライブを他のRAID
コントローラに移設する場合、移設先のRAID
コントローラは下記の条件を満 たす必要があります。
SafeStore
機能をサポートするRAID
コントローラであること セキュリティ機能を有効に設定すること
セキュリティキーを入力すること
2.4.2. セキュリティ機能の有効化
RAIDコントローラのセキュリティ機能を有効化することにより、セキュリティキーを使用したセキュアなロジカルドラ
イブを作成することができるようになります。下記それぞれの項にて、セキュリティキーを使用したセキュアなロジカルドライブの作成に必要な作業について 説明します。
セキュリティキー識別子（
security key identifier
）の作成 セキュリティキーの作成
（必要な場合）ブートパスワードの作成
2.4.2.1. セキュリティキー識別子（ Security Key Identifier ）の設定
セキュリティキーを設定すると、セキュリティキー識別子（
Security Key Identifier
）が表示されます。セキュリティキ ー識別子は複数のセキュリティキーを管理している場合、使用すべきセキュリティキーを判断する助けとなりま す。RAIDコントローラが生成するデフォルトのセキュリティキー識別子を使用するか、オリジナルのセキュリティキ ー識別子を設定することができます。2.4.2.2. セキュリティキーの設定
セキュリティキーは
8
～32
文字の、数字、英小文字、英大文字、記号（< > @ +
等）をそれぞれ最低一文字使用す る必要があります。RAID
コントローラの機能によって複雑なセキュリティキーを自動生成することもできます。ATTENTION: セキュリティキーの再入力が必要となった場合は、セキュリティキーを入力しない限り、記録されたデータ
にアクセスすることはできません。
2.4.2.3. ブートパスワードの設定
必要に応じて、ブートパスワードを設定することができます。ブートパスワード
(StorCLI
ではpassphrase
と表記しま す)を設定した場合、システム起動時のPOSTにてパスワード入力が必要となります。ここで正しいブートパスワード が入力されなかった場合、ロジカルドライブのデータにアクセスすることはできません。ロジカルドライブがブート デバイスに設定されていた場合、ブートは不可能となります。ブートパスワードにはセキュリティキーと同じ文字列 を指定することができます。ブートパスワードは8
～32
文字の、数字、英小文字、英大文字、記号（< > @ +
等）をそ れぞれ最低一文字使用する必要があります。図 15ブートパスワードの入力
2.4.3. セキュリティ設定の変更
RAID
コントローラのセキュリティ設定は変更が可能です。また、セキュリティキー識別子・セキュリティキー・ブート パスワードを変更することができます。セキュリティ設定済のドライブを他のシステムに移設（import
）する際には、古いセキュリティキーの入力が必要となります。
下記それぞれの項にて、セキュリティ設定を変更する作業について説明します。
セキュリティキー識別子（security key identifier）の変更
セキュリティキーの変更
ブートパスワードの変更
NOTE: 操作方法は、ご使用のツールに合わせて、それぞれ以下を参照してください。
- ServerView RAID Manager
のマニュアル- HII Configuration Utility
を使用する場合は、この文書のセキュリティ設定の変更2.4.3.1. セキュリティキー識別子 (Security Key Identifier) の変更
セキュリティキー識別子は変更することができます。セキュリティキーを変更する際は、変更前後のセキュリティ キーの判別を確実にする為、セキュリティキー識別子も併せて変更することを強く推奨します。
現在のセキュリティキー識別子を維持するか、新規に入力するかを選択できます。セキュリティキー識別子を変 更するには、新しいセキュリティキー識別子を入力します。
2.4.3.2. セキュリティキーの変更
現在のセキュリティキーを維持するか、新規に設定することができます。セキュリティキーを変更するには、新規 にセキュリティキーを入力するか、
RAID
コントローラにより自動生成されたものを使用することができます。2.4.3.3. ブートパスワードの追加・変更
ブートパスワードを新規に設定するか、既存のブートパスワードを変更することができます。ブートパスワードを 変更するには、新しいブートパスワードを入力してください。既存のブートパスワードを維持するには、現在のブー トパスワードを入力してください。この場合、サーバーの起動時に毎回ブートパスワードを入力する必要がありま す。
この手順は、新しいセキュリティ設定を有効にするため、RAIDカード上の既存の構成をアップデートします。