Dell EMC Data Domain Encryption - 자주 묻는 질문

암호화 구성

질문: DD에서 암호화(DARE)는 어떻게 구성됩니까?
대답: DARE 암호화는 다음 단계를 통해 DD에서 구성할 수 있습니다.

1. 암호화 라이선스 추가

2. 보안 책임자 추가 및 보안 책임자 권한 부여 활성화

3. 암호화 활성화 

1) 암호화 라이선스 추가:
유효한 암호화 라이선스가 추가된 라이선스 파일을 보유합니다.
아래 명령을 사용하여 사용 가능한 라이선스 파일을 사용하여 DD에서 e라이선스를 업데이트합니다.

e-라이선스 업데이트

2) 보안 책임자 추가 및 SO 권한 부여 활성화:
a) 다음 명령을 사용하여 "보안" 역할을 가진 사용자 추가: 

사용자 추가 secuser 역할 보안

b) 다음 명령을 사용하여 설정에서 보안 책임자 인증을 활성화합니다. 

권한 부여 정책 세트 보안 책임자 활성화

3. DARE 암호화 활성화:
다음 명령을 사용하여 DARE 암호화를 활성화합니다.

Filesys 암호화 활성화

질문: 어떤 플랫폼에서 저장 상태 데이터 암호화 기능이 지원됩니까?
대답: 저장 상태 데이터 암호화 기능은 EDP(Encryption Disablement Project) 시스템을 제외한 모든 Data Domain 시스템에서 지원됩니다.

질문: 사용자가 DD에서 데이터를 일반 텍스트로 저장하려면 어떻게 해야 합니까?
대답: 사용자는 설정에서 암호화가 꺼져 있는지 확인하여 데이터가 일반 텍스트로 저장되고 DD에서 암호화되지 않도록 할 수 있습니다.
사용자는 다음 명령을 사용하여 DD에서 암호화를 비활성화할 수 있습니다. 

Filesys 암호화 비활성화

질문: 저장 상태 데이터 암호화 기능으로 지원되는 백업 애플리케이션/프로토콜은 무엇입니까?
대답: DD DARE 기능은 기본 백업 애플리케이션 또는 DD에서 사용하는 프로토콜과 독립적입니다.

질문: Data Domain 시스템에서 선택할 수 있는 암호화 알고리듬은 무엇입니까?
대답: DD Encryption 소프트웨어는 CBC(Cipher Block Chaining) 또는 GCM(Galois Counter Mode)을 사용하여 AES 128 또는 256비트 알고리듬을 지원합니다. 

GCM은 대칭 키 암호화 블록 암호에 대한 작업 모드입니다. 인증과 개인 정보 보호(기밀성)를 모두 제공하도록 설계된 인증된 암호화 알고리즘입니다. 이름에서 알 수 있듯이 GCM은 잘 알려진 암호화 카운터 모드와 새로운 Galois 인증 모드를 결합합니다. GCM의 인증 측면은 암호화된 데이터가 Data Domain 시스템에 의해 수행되었으며 다른 어떤 방법으로 "주입"되지 않았음을 보장합니다. 이는 데이터가 암호화되는 CBC와 다르지만(개인 정보 보호 측면) 암호화된 데이터의 진위 여부는 확인할 수 없습니다.

CBC 모드에서 일반 텍스트의 각 블록은 암호화되기 전에 이전 암호 텍스트 블록과 배타적으로 ORed됩니다. 이러한 방식으로 각 암호 텍스트 블록은 해당 시점까지 처리된 모든 일반 텍스트 블록에 따라 달라집니다. 또한 각 메시지를 고유하게 만들려면 첫 번째 블록에서 초기화 벡터를 사용해야 합니다. CBC는 암호화를 통해 데이터의 프라이버시(기밀성)만 보장합니다. 암호화 알고리즘 또는 프로세스의 인증이 수행되지 않았습니다.

질문: DD에서 암호화 알고리듬을 변경하려면 어떻게 해야 합니까?

답변: 설정에서 특정 암호화 알고리즘을 설정하려면 아래 명령을 사용합니다.

파일시스템 암호화 알고리즘 세트

예:

# filesys 암호화 알고리즘 set {aes_128_cbc | aes_256_cbc | aes_128_gcm | aes_256_gcm}

질문: 암호화가 활성화된 후 기존 데이터에 암호화가 수행되도록 하려면 어떻게 해야 합니까?
대답: 아래 명령을 사용하여 DDFS가 기존 데이터를 암호화하도록 강제할 수 있습니다.

# filesys encryption apply-changes

이로 인해 다음 정리 주기가 평소보다 훨씬 더 길어지고 리소스 소모가 커집니다.

질문: DD에서 암호화를 비활성화하려면 어떻게 해야 합니까?
대답: 암호화 비활성화 명령을 사용하여 DD에서 암호화 기능을 비활성화합니다. 

Filesys 암호화 비활성화

이렇게 하면 들어오는 I/O에 대한 암호화만 비활성화됩니다. 기존의 암호화된 데이터는 apply-changes를 사용하여 수동으로 암호를 해독할 때까지 암호화된 상태로 유지됩니다.

질문: 어떤 암호화 명령을 적용하려면 DD 파일 시스템을 재시작해야 합니까?
대답: 다음 암호화 명령을 적용하려면 DD 파일 시스템을 재시작해야 합니다.

Filesys 암호화 활성화/비활성화 - Data Domain 시스템에서 암호화를 활성화/비활성화합니다.

FileSys 암호화 알고리즘 집합 - 사용자가 암호화 알고리즘을 선택할 수 있도록 허용합니다.

Filesys 암호화 알고리듬 재설정 - CBC 모드(기본값)에서 암호화 알고리듬을 AES 256으로 재설정합니다.

질문: 설정/사용하려면 Data Domain 파일 시스템을 비활성화해야 하는 암호화 명령은 무엇입니까?
대답: 다음 암호화 명령을 설정하거나 사용하려면 Data Domain 파일 시스템을 비활성화해야 합니다.

암호화 비밀번호 문구 변경

암호화 잠금/잠금 해제

일반 암호화 질문

질문: DD Encryption은 모든 DD 시스템에서 지원됩니까?
대답: DD Encryption 소프트웨어 옵션은 주로 러시아 지역 시스템에서 판매되고 암호화를 활성화할 수 없는 시스템인 EDP(Encryption Disablement Project)가 아닌 경우 DD 시스템에서 지원됩니다.

질문: DD 시스템에서 암호화는 어떻게 수행됩니까?
대답: 암호화는 DDOS의 OpenSSL 및 RSA BSAFE(RSA BSafe는 DD 시스템에서 저장 상태 데이터를 암호화하는 데 사용하는 FIPS 140-2 검증 암호화 라이브러리) 라이브러리를 사용하여 수행됩니다. 

질문: 시스템과 함께 사용되는 BSAFE 버전은 무엇입니까?
대답: DDOS 7.10을 기준으로 사용되는 BSAFE 버전은 "BSAFE Micro Edition Suite 4.4.0.0" 및 "BSAFE Crypto-C Micro Edition: 4.1.4.0"

질문: DDOS에서 암호화를 구성하는 데 사용할 수 있는 사용자 인터페이스는 무엇입니까?
대답: 암호화는 CLI 또는 UI 또는 REST API를 사용하여 구성할 수 있습니다. DDOS 릴리스 8.0 이상

에서 REST API 지원 추가질문: 데이터의 선택적 암호화가 가능합니까? MTree 또는 파일이
하나뿐인 경우대답: 선택적 암호화는 불가능합니다. 암호화는 시스템 전체에서만 활성화 또는 비활성화할 수 있으며 선택적으로는 불가능합니다. 클라우드를 지원하는 시스템의 경우 클라우드 계층 및 클라우드 유닛 세분화 수준에서 암호화를 활성화하거나 비활성화할 수 있습니다.  

질문: 암호화 키 또는 계정 암호가 일반 텍스트 또는 약한 암호로 전송되거나 저장됩니까(예: 엔터티가 인증할 때, 데이터 파일, 프로그램 또는 인증 디렉터리
)?대답: 절대로 안 돼.

질문: 시스템에 어떤 버전의 OpenSSL이 사용됩니까?
대답: DDOS 7.10 릴리스 기준으로 openssl 버전은 "OpenSSL 1.0.2zd-fips"입니다.

저장 상태 데이터 암호화는 사용자 및 애플리케이션의 데이터 액세스로부터 어떻게 보호합니까?
대답: 

• 저장 상태 데이터 암호화는 디스크 하위 시스템에 있는 데이터를 암호화하는 것입니다. 암호화 또는 복호화는 압축 계층에서 발생합니다. 사용자 또는 애플리케이션은 Data Domain 시스템에 일반 텍스트 데이터를 보내고 받지만 Data Domain 시스템에 물리적으로 상주하는 모든 데이터는 암호화됩니다.
• 모든 암호화는 파일 시스템 및 네임스페이스 아래에서 발생하며 사용자 또는 애플리케이션에는 표시되지 않습니다. 사용자 또는 애플리케이션이 이미 파일 또는 디렉토리에 대한 액세스 권한이 있는 경우 암호화에 관계없이 데이터를 기본 형식으로 읽을 수 있습니다.
• DD Encryption은 침입자가 다른 네트워크 보안 제어를 우회하고 적절한 암호화 키 없이 암호화된 데이터에 액세스할 경우 해당 사용자가 데이터를 읽을 수 없고 사용할 수 없도록 설계되었습니다. 

질문: 중복 제거 후에 암호화가 발생합니까?
대답: 예. 암호화는 중복 제거된 데이터에서 발생합니다. 데이터는 디스크에 저장되기 전에 암호화됩니다. 

질문: Data Domain은 데이터의 보안을 어떻게 보장합니까?
대답: 데이터는 저장된 데이터의 암호화 기능을 사용하여 보호됩니다. 또한 디바이스가 제거되면(헤드 스왑, 파일 시스템 잠금) 암호문구가 시스템에서 제거됩니다. 이 비밀번호 문구는 암호화 키를 암호화하는 데 사용되므로 데이터가 더욱 안전하게 보호됩니다.

질문: 암호화를 통해 생성되는 알림은 무엇입니까?
대답: 알림은 다음과 같은 경우에 생성됩니다.

• 손상된 암호화 키가 있는 경우
• 암호화 키 테이블이 가득 차서 시스템에 더 이상 키를 추가할 수 없는 경우
• 자동 키 내보내기에 실패한 경우
• 자동 키 순환이 실패하는 경우
• 암호화가 비활성화된 경우
• 시스템 암호문구가 변경된 경우

질문: DDOS에 대한 보안 인증이 있습니까? 
답변: Data Domain 시스템은 FIPS 140-2 규정을 준수합니다. 

질문: 암호화 키는 어디에 저장됩니까?
대답: 암호화 키는 DDOS 시스템의 컬렉션 파티션에 영구적으로 저장됩니다.

질문: 누군가 Data Domain 시스템에서 하드 드라이브를 꺼내는 경우 데이터를 해독할 수 있습니까?
대답: 암호화 키는 시스템 헤드에 저장된 시스템 암호를 사용하여 암호화됩니다. 암호화 키가 디스크에 저장되더라도 시스템 암호문구가 없으면 암호화 키를 해독할 수 없습니다. 따라서 데이터를 암호화하는 데 사용 된 키를 모르면 하드 드라이브에서 암호 해독이 불가능합니다.  

질문: 복구, 특히 재해 복구에 필요한 암호화 키와 암호는 무엇입니까?
대답: 키를 보안 파일로 내보내고 시스템 외부에 보관할 수 있습니다. 이 파일의 복구는 엔지니어링의 도움으로 수행됩니다. 또한 복구 시 고객은 키 내보내기 명령 시 사용한 비밀번호 문구를 알고 있어야 합니다.

질문: 시스템을 원격 위치로 전송하기 전에 파일 시스템을 잠그는 방법
대답: 이에 대한 절차는 다음과 같습니다. 

• 파일 시스템을 해제합니다.

  sysadmin@itrdc-DD630-42# filesys 비활성화

• 파일 시스템을 잠그고 새 비밀번호 문구를 입력합니다(위 보안 사용자의 인증 필요).

  sysadmin@itrdc-DD630-42# filesys 암호화 잠금
  이 명령을 실행하려면 보안 역할이 있는 사용자의 인증이 필요합니다.
  Please present credentials for such a user below.
          사용자 이름: secuser
  비밀번호:
  현재 비밀번호 문구를 입력합니다.
  새 비밀번호 문구 입력:
  새 비밀번호 문구를 다시 입력합니다.
  비밀번호 문구가 일치합니다.
  이제 파일 시스템이 잠겨 있습니다.

• 새 비밀번호 문구를 잃 어버리거나 잊어서는 안 됩니다. 이 암호문구가 없으면 파일 시스템을 잠금 해제할 수 없으며 즉, DDR의 데이터에 액세스할 수 없습니다. 원격 위치에 도달했을 때 시스템의 잠금을 해제하려면 아래 명령을 사용합니다.

sysadmin@itrdc-DD630-42# filesys 암호화 잠금 해제
이 명령을 실행하려면 보안 역할이 있는 사용자의 인증이 필요합니다.
아래에 해당 사용자의 자격 증명을 제시하십시오.
        사용자 이름: secuser
암호:
암호 입력:
암호가 확인되었습니다. 'filesys enable'을 사용하여 파일 시스템을 시작합니다.

• 이제 파일 시스템을 활성화하고 정상적으로 사용할 수 있습니다

질문: storage sanitize 명령이 파일 시스템 암호화와 관련이 있습니까?
대답: 아니요. 파일 시스템 암호화와 스토리지 삭제는 별개의 기능입니다. 

질문: EDP(encryption disablement project) 시스템에서 유선 암호화가 지원됩니까?
대답: EDP 시스템에서 DARE(Data at Rest Encryption) 또는 회선 암호화(복제 또는 ddboost 사용)를 활성화할 수 없습니다.

시스템 비밀번호 문구 

질문: 시스템 암호는 무엇입니까?
대답: DDOS에는 시스템 수준 암호문구를 설정하여 시스템 내에서 자격 증명을 보호하는 기능이 있습니다. 비밀번호 문구는 사람이 읽을 수 있는(이해할 수 있는) 키로, 시스템에서 사용할 수 있는 AES 256 암호화 키를 생성하는 데 사용되는 스마트 카드와 유사합니다. 

다음과 같은 두 가지 이점이 있습니다.

• 이를 통해 관리자는 암호화 키를 조작할 필요 없이 암호문구를 변경할 수 있습니다. 암호문구를 간접적으로 변경하면 키 암호화가 변경되지만 사용자 데이터에는 영향을 주지 않습니다. 암호문구를 변경해도 기본 Data Domain 시스템 암호화 키는 변경되지 않습니다. Data Domain 시스템 키의 암호화를 변경하지만 시스템 키는 동일하게 유지됩니다.
• 물리적 Data Domain 시스템을 암호문구를 저장하지 않고 시스템에 암호화 키와 함께 배송될 수 있습니다. 이렇게 하면 운송 중에 상자를 도난당한 경우 시스템에 암호화된 키와 암호화된 데이터만 있기 때문에 공격자는 데이터를 쉽게 복구할 수 없습니다.

암호문구는 Data Domain 스토리지 시스템의 숨겨진 부분에 내부적으로 저장됩니다. 이렇게 하면 관리자의 개입 없이 Data Domain 시스템을 부팅하고 데이터 액세스를 계속 서비스할 수 있습니다.

비밀번호 문구 생성 또는 변경:

• 관리자가 Data Domain 시스템을 사용하여 인증한 후 CLI를 사용하여 시스템 비밀번호 문구를 생성할 수 있습니다.
• 관리자와 보안 역할 사용자(예: 보안 책임자)가 Data Domain 시스템을 인증한 후 CLI를 사용하여 시스템 암호를 변경할 수 있습니다(단일 관리자가 독립적으로 변경할 수 없음).

질문: 암호문구는 언제 사용됩니까?
대답: 시스템 비밀번호 문구는 파일 시스템 암호화, 클라우드 액세스, 인증서 관리, Boost 토큰, 스케일 아웃 환경의 시스템 구성 모듈, 라이선스 정보 등 다양한 DDOS 구성 요소에서 기본 키로 사용됩니다. DDOS 소프트웨어는 이 시스템 암호문구를 설정하고 수정하는 메커니즘을 제공합니다. 또한 시스템 암호문구를 디스크에 저장할지 여부를 제어하는 옵션도 제공합니다. 이는 특히 DD 시스템을 전송할 때 보안 강화에 사용됩니다. 

질문: 비밀번호 문구는 DD 시스템의 보안 전송에 어떻게 사용됩니까?
대답: 이 프로세스는 사용자가 암호문구를 변경하여 파일 시스템을 잠글 수 있는 "filesys encryption lock" 명령을 사용합니다. 사용자가 암호화 키를 다시 암호화하는 새 비밀번호 문구를 입력하지만 새 비밀번호 문구는 저장되지 않습니다. 암호화 키는 "filesys encryption unlock" 명령을 사용하여 파일 시스템의 잠금을 해제할 때까지 복구할 수 없습니다.

이 프로세스는 Confluence Lab 보안 구성 가이드에 설명되어 있습니다.

질문: 암호문구가 변경되면 어떻게 됩니까? 데이터에 계속 액세스할 수 있습니까?
대답: 예. 암호문구를 변경해도 기본 Data Domain 시스템 암호화 키는 변경되지 않으며 암호화 키의 암호화만 변경됩니다. 따라서 데이터 액세스는 영향을 받지 않습니다.

질문: 시스템에 암호문구가 설정되어 있는지 쿼리하려면 어떻게 해야 합니까?
대답: 시스템에 비밀번호 문구가 설정된 경우 "system passphrase set" 명령을 실행하면 비밀번호 문구가 이미 설정되었음을 나타내는 오류가 발생합니다.

질문: 비밀번호 문구를 잃어버리거나 잊어버리면 어떻게 됩니까?
대답: 상자가 잠겨 있는 동안 고객이 비밀번호 문구를 분실하면 데이터를 잃게 됩니다. 백도어나 다른 방법으로 액세스할 수 있는 방법은 없습니다. 해당 암호를 관리하기 위한 적절한 프로세스가 없으면 이러한 문제가 우발적으로 발생할 수 있으며 키나 데이터를 복구할 수 없습니다. 그러나 암호화된 키는 시스템의 통합 보호 메커니즘으로 인해 손실되거나 손상될 수 없습니다.

질문: 잊은 시스템 암호를 재설정하는 메커니즘이 있습니까?
대답: 시스템 암호문구는 고객 지원의 도움을 받아 특정 시나리오에서만 강제로 재설정할 수 있습니다. DDOS 7.2에 도입된 강제 업데이트 메커니즘은 특정 조건이 충족되는 경우에만 이를 위해 사용할 수 있습니다. 자세한 내용은 KB 문서 20983, Data Domain: DDOS v7.2 이상에서 분실 시스템 암호문구를 재설정하는 방법(문서를 보려면 Dell 지원에 로그인 필요)

질문: DD 시스템에 시스템 비밀번호 문구를 저장하지 않는 옵션이 있습니까?
대답: 기본적으로 시스템 암호는 Data Domain 시스템의 숨겨진 위치에 저장됩니다. 시스템 옵션 "system passphrase option store-on-disk"를 사용하여 이 값을 변경하고 디스크에 암호가 저장되지 않도록 할 수 있습니다.

EKM(Embedded Key Manager)

최상위 명령:

system# filesys encryption embedded-key-manager <옵션>

질문: Embedded Key Manager에서 키 순환이 지원됩니까?
대답:  예. Data Domain 시스템별 키 순환은 Embedded Key Manager에서 지원됩니다. UI 또는 CLI를 통해 관리자는 키 순환 기간(매주 또는 매월)을 설정할 수 있습니다.

질문: 내장형 키 관리 기능에 대한 요금이 부과됩니까?
대답: 이 기능은 무료입니다. 이 기능은 표준 DD Encryption 소프트웨어 라이선스 옵션의 일부로 포함되어 있습니다.

질문: 고객이 로컬 키 관리에서 EKM(External Key Management)으로 이동할 수 있습니까?
대답

• 예. 언제든지 외부 키 매니저를 활성화할 수 있습니다. 그러나 사용되는 로컬 키는 Data Domain 시스템에 유지됩니다. 외부 키 매니저는 EKM 키를 관리할 수 없습니다. 기존 데이터는 다시 암호화할 필요가 없습니다. 고객의 경우 EKM 키로 규정 준수 데이터를 다시 암호화해야 하는 경우 새 RW 키와 함께 변경 사항 적용을 사용하여 수동으로 암호화해야 합니다. 전환 후 EKM 키 제거는 필수가 아닙니다.
  • Key-Manager 스위치는 자동으로 활성 키를 KMIP의 키로 전환합니다. 
  • 전환이 발생할 때 KMIP 키 MUID가 어떻게 보이는지에 대한 예

    Key-ID     Key MUID                                                                    State                     Key Manger Type
    1               be1                                                                    Deactivated               DataDomain
    
    2               49664EE855DF71CB7DC08309414C2B4C76ECB112C8D10368C37966E4E2E38A68       Activated-RW              KeySecure

질문: 키 순환이 비활성화되거나 활성화되면 어떻게 됩니까?
대답: 

• UI 또는 CLI에서 키 순환을 활성화하지 않은 경우 키 순환 비활성화가 기본 암호화 기능입니다. 이 시나리오에서는 모든 데이터가 기존 활성 키로 암호화됩니다.
• 키 순환이 활성화된 경우 순환 빈도에 따라 키를 순환하고 데이터는 최신 활성 키로 암호화됩니다.

외부 Key Manager

질문: DD에서 지원되는 외부 키 매니저는 무엇입니까?
대답: 아래의 외부 키 매니저를 지원하고 있습니다.

• Gemalto KeySecure(DDOS 릴리스 7.2에서 지원 추가)
• Vormetric(DDOS 릴리스 7.3에서 지원 추가)
• CipherTrust(DDOS 릴리스 7.7에서 지원 추가)
• IBM GKLM(DDOS 릴리스 7.9에서 지원 추가)

질문: 외부 키 매니저와의 통합을 활성화하려면 별도의 라이선스가 필요합니까?
대답: 예. External Key Manager를 DD와 통합하려면 해당 공급업체의 별도 라이선스가 필요합니다.

질문: 한 번에 몇 명의 키 매니저가 지원합니까?
대답: DD 시스템에서는 특정 시점에 하나의 Key-Manager만 활성화될 수 있습니다.

질문: KMIP 외부 키 매니저를 구성하는 방법에 대한 자세한 내용은 어디에서 확인할 수 있습니까?
대답: DDOS용 KMIP 통합 가이드에는 DD에서 지원하는 다양한 외부 키 매니저를 구성하는 방법에 대한 자세한 정보가 나와 있습니다.

질문: DD의 외부 키 매니저에 대한 인증서는 어떻게 관리됩니까?
대답: 외부 키 매니저를 구성하는 동안 CA 인증서(CA 인증서는 자체 서명 인증서이거나 타사에서 서명한 인증서일 수 있음) 및 호스트 인증서를 생성해야 합니다. 외부 키 매니저 서버에서 구성이 완료되면 사용자는 DD 시스템에서 CA 인증서 및 호스트 인증서를 가져와야 합니다. 그런 다음 외부 키 매니저를 구성하고 활성화합니다. 

질문: CA란 무엇입니까?
대답: CA(Certificate Authority)는 피어 간에 초기에 신뢰할 수 있는 공유 엔터티 역할을 하며 각 당사자가 서로를 신뢰할 수 있도록 서명된 인증서를 발급합니다. 인증서는 일반적으로 서버 또는 클라이언트의 ID 역할을 합니다. 

질문: 로컬 CA 서명 인증서란 무엇이며 CA 서명 인증서란 무엇입니까?
대답: CA 서명 인증서는 공개적으로 신뢰할 수 있는 CA(Certificate Authority)에서 발급하고 서명한 인증서입니다. CA 서명 인증서는 자동으로 신뢰됩니다. 개인 서명 키가 Key Manager 시스템 내에 저장되므로 로컬 CA에서 서명된 인증서를 발급할 수 있습니다. 외부 CA는 개인 키를 저장하지 않습니다. 대신 외부 CA가 시스템 내부의 다양한 인터페이스 및 서비스에 대해 신뢰할 수 있는 엔터티로 사용됩니다.

질문: DD
에서 인증서 서명 요청을 생성하는 방법대답: Data Domain 시스템에서 아래 CLI 명령을 사용하여 CSR을 생성합니다. 이를 통해 개인 키가 외부 Key Manager에 노출되지 않습니다.

admin인증서 인증서 서명 요청에 액세스

질문: 키 매니저 간에 전환할 수 있습니까?
대답: External Key Manager와 Embedded Key Manager 간의 전환이 가능하며 원활하게 작동합니다. 그러나 Embedded Key Manager에서 External Key Manager로 전환하려면 적절한 인증서를 설치하고 구성해야 합니다. 두 외부 키 매니저 간 전환(예: KMIP-CipherTrust, DSM-Ciphertrust, GKLM에 대한 CipherTrust도 허용됩니다. Key Manager 키 마이그레이션도 지원됩니다(자세한 내용은 KMIP 통합 가이드 참조).

질문: 외부 Key Manager 연결이 끊어지면 어떻게 됩니까? 그러면 내 데이터에 액세스할 수 있습니까?
대답: 예. DD 시스템에도 키 복사본을 저장하므로 키 매니저에 연결할 수 없는 경우에도 데이터에 액세스할 수 있습니다. 외부 키 매니저와의 연결이 없는 경우 새 키를 생성할 수 없거나 키 상태를 동기화할 수 없습니다.

질문: DD에 키를 저장하지 않고 외부 키 매니저에만 저장할 수 있는 방법이 있습니까?
대답: Dell Technologies는 항상 DIA 용도로 DD 시스템에 키 복사본을 저장합니다. 이 설정은 변경할 수 없습니다.

질문: KMIP와의 통합으로 인해 성능에 영향이 있습니까?
대답: 아니요. 외부 키 매니저 사용으로 인해 성능에 영향을 미치지 않습니다.

질문: 환경 내에서 선택한 Data Domain에 KMIP 솔루션을 활용할 수 있습니까?
대답: 예, 고객은 Data Domain 시스템에 적합한 암호화 방법을 매우 유연하게 선택할 수 있습니다. 일부 Data Domain 시스템에서 Data Domain의 내장 키 매니저를 계속 활용할 수 있으며, 환경 내의 다른 Data Domain 시스템에서 KMIP를 사용한 암호화 키 순환을 계속 활용할 수 있습니다.

질문: Data Domain과 KMIP 간 통신은 안전합니까?
대답: 예. Data Domain은 X509 인증서 상호 인증된 세션을 통해 TLS와 통신합니다. 사용자는 Data Domain CLI를 사용하여 해당 X509 인증서를 Data Domain 시스템으로 가져올 수 있습니다. 그런 다음 이 인증서를 사용하여 DD와 KMIP 간의 보안 채널을 설정합니다.

주요 수명주기 관리 

질문: DD Encryption 옵션에는 어떤 키 관리 기능이 있습니까?
대답: Key Manager는 여러 암호화 키의 생성, 배포 및 수명주기 관리를 제어합니다. 보호 시스템은 내장형 키 매니저 또는 KMIP 호환 외부 키 매니저를 사용할 수 있습니다. 한 번에 하나의 키 매니저만 유효할 수 있습니다. 보호 시스템에 암호화가 활성화되어 있는 경우 기본적으로 Embedded Key Manager가 적용됩니다. 외부 키 매니저가 구성되면 내장형 키 매니저를 대체하며, 수동으로 비활성화할 때까지 외부 키 매니저가 계속 적용됩니다. Embedded Key Manager에서 External Key Manager로 또는 그 반대로 전환하면 새 키가 시스템에 추가되며 릴리스 7.1에서 파일 시스템을 재시작할 필요가 없습니다.

질문: Data Domain 시스템의 다른 키 상태는 무엇입니까?
Data Domain 시스템의 다양한 키 상태는 다음과 같습니다.

• 활성화된-RW: 모든 DD 시스템에는 이 상태의 키가 하나만 있으며 이 키는 데이터 읽기 및 쓰기에 사용됩니다. 이 키는 GC 프로세스에서 컨테이너를 다시 암호화하는 데도 사용됩니다.
• 보류 중-활성화됨: 모든 DD 시스템에는 이 상태의 키가 하나만 있습니다. 이렇게 하면 다음에 파일 시스템을 재시작할 때 Activated-RW가 될 키가 식별되었습니다. 현재 이 상태는 암호화를 활성화할 때만 존재합니다. 보류 중인 활성화된 키가 만들어지는 다른 시간은 없습니다.  
• 활성화된-RO: 외부 키 매니저는 여러 개의 활성화된 키를 가질 수 있습니다. 가장 최근 키는 Activated-RW이고 나머지는 이 상태입니다. 키 매니저와 상태를 동기화할 수 없는 경우 DD 시스템에서 키가 이 상태로 전환될 수 있습니다.
• 비활성화: DD 시스템의 기존 데이터를 읽는 데 사용됩니다.
• 손상: 고객이 외부 키 매니저 키를 손상시킨 경우 다음 키 동기화 후 상태가 해당 키로 변경됩니다.  
• 파괴 표시: 고객이 키를 폐기 대상으로 표시하면 키 상태가 Marked-For-Destroyed가 됩니다. GC가 실행되면 Marked-For-Destroyed 키로 암호화된 모든 컨테이너는 Activated-RW 키를 사용하여 다시 암호화됩니다.
• 파괴: Marked-For-Destroyed 상태의 키는 연결된 데이터가 없을 때 이 상태가 됩니다.
• 파괴-손상: Compromised 상태의 키는 연결된 데이터가 없을 때 이 상태로 전환됩니다.

질문: 재해 복구를 위해 암호화 키를 내보낼 수 있습니까?
대답: 아래 명령을 사용하여 키를 수동으로 내보낼 수 있습니다.

"filesys 암호화 키 내보내기"

또한 DD 시스템은 새 키가 추가되거나 시스템에서 키가 삭제될 때 기본적으로 키를 내보냅니다.

내보낸 파일은 /ddr/var/.security에 있으며 암호화된 형식입니다. 그런 다음 이 파일을 DDR에서 복사하여 나중에 재해 복구 조건에서 사용할 수 있는 안전한 위치에 저장해야 합니다.

참고: 재해 복구용 키를 가져오려면 복원 프로세스가 발생한 재해 유형에 따라 다르므로 고객 지원의 개입이 필요합니다. 다음 명령을 사용하여 내보낸 키 파일을 가져올 수 있습니다.

파일시스템 암호화 키 파일 이름 가져오기 <> 

질문: KMIP에 의해 생성된 키가 Data Domain 시스템에 저장됩니까?
대답: 예. KMIP에서 가져온 암호화 키는 Data Domain 시스템에 암호화된 방식으로 저장됩니다.

질문: KMIP 어플라이언스의 키 상태 변경은 Data Domain 시스템에 어떻게 적용됩니까?
대답: 키 동기화는 매일 이루어집니다. 사용 가능한 새 키가 있거나 키 상태가 변경되면 동기화가 로컬 키 테이블을 업데이트합니다. DD는 매일 자정에 KMIP로부터 키 업데이트를 받습니다.

질문: DD와 KMIP 간에 키 상태를 수동으로 동기화할 수 있습니까?
대답: 예. Data Domain CLI 또는 UI를 사용하여 DD와 KMIP 간의 키 상태를 수동으로 동기화할 수 있습니다. "filesys encryption keys sync"는 이에 사용되는 명령입니다.

질문: DD가 KMIP로부터 키 업데이트를 수신하는 시간을 변경할 수 있습니까?
대답: 아니요. DD가 KMIP로부터 키 업데이트를 수신하는 시간은 변경할 수 없습니다.

질문: Data Domain 시스템에서 지원하는 키 개수에 제한이 있습니까?
대답: DDOS 7.8부터는 언제든지 Data Domain 시스템에 최대 1,024개의 키가 있을 수 있습니다. Activated-RW에는 키가 하나만 있고 나머지 키는 다른 상태일 수 있습니다.

질문: Data Domain 시스템의 데이터 세트에 대해 서로 다른 키를 사용할 수 있습니까? 구성 가능한가요?
대답: 아니요. 시스템에서 한 번에 하나의 활성 키만 지원하며 들어오는 모든 데이터는 현재 활성 키를 사용하여 암호화됩니다. 키는 M-트리처럼 세밀하게 제어할 수 없습니다.

질문: 최대 키 제한에 도달하면 알림이 표시됩니까?
대답: 예. 최대 키 제한인 1024에 도달하면 경고가 발생합니다.

질문: 최대 키 제한에 대한 알림을 지우려면 어떻게 해야 합니까?
대답: 최대 키 제한 알림을 지우려면 키 중 하나를 삭제해야 합니다.

질문: Data Domain 시스템에서 특정 키와 연결된 데이터의 양을 볼 수 있습니까?
대답: 예. DD에서는 볼 수 있지만 KMIP 서버에서는 볼 수 없습니다. 사용자는 Data Domain CLI 및 UI를 사용하여 특정 키와 관련된 데이터의 양을 볼 수 있습니다.

질문:  DD 시스템에서 키의 사용 기간을 볼 수 있습니까?
대답: 예. UI를 사용하여 EKM 키로 볼 수 있습니다.

질문: 새 키를 유효하게 만드는 기간이 경과된 경우에도 이전 키가 작동합니까?
대답: 암호화 키에는 만료 날짜가 없습니다. 이전 키는 키 순환 후 읽기 전용 키가 되어 DDOS에 유지됩니다.

질문: Data Domain 시스템에 연결된 데이터가 없는 경우 암호화 키가 자동으로 삭제됩니까?
대답: 아니요, 키는 자동으로 삭제되지 않습니다. 사용자는 DD CLI 또는 UI를 사용하여 키를 명시적으로 삭제해야 합니다.

질문: Data Domain 시스템에 키와 관련된 데이터가 있는 경우에도 키를 삭제할 수 있습니까?
대답: 아니요. 키에 연결된 데이터가 있으면 삭제할 수 없습니다. 연결된 데이터가 있는 키를 삭제하려면 다른 키와 함께 데이터를 다시 암호화해야 합니다.

질문: KMIP에서 키가 삭제되면 Data Domain의 키 목록에서도 키가 삭제됩니까?
대답: 아니요. 사용자는 DD CLI 또는 UI를 사용하여 키를 독립적으로 삭제해야 합니다.

질문: 멀티 사이트 Data Domain 환경에서 모든 위치에 KMIP가 필요합니까?
대답: 아니요. Data Domain이 있는 모든 사이트에서 KMIP를 사용할 필요는 없습니다. 하나의 KMIP 서버를 가리킬 수 있습니다. 동일한 KMIP 서버를 사용하는 경우 각 DD 시스템에 대해 별도의 키 클래스를 사용하는 것이 좋습니다.

질문: 키가 손상된 경우 이전 키로 암호화된 데이터를 검색할 수 있는 프로세스가 있습니까?
대답: 이 경우 고객은 KMIP 서버에서 키를 손상된 것으로 표시해야 합니다. 그런 다음 DDOS 시스템에서 "filesys encryption keys sync"를 실행한 다음 "filesys encryption apply-changes"를 실행하고 GC(filesys clean)를 실행합니다. GC run은 새로운 키를 사용하여 손상된 키로 암호화된 모든 데이터를 다시 암호화합니다. GC가 완료되면 키 상태가 손상-제거로 변경됩니다. 나중에 해당 키를 삭제할 수 있습니다. 

암호화 및 복제

질문: DD Replication이 지원되고 DD Encryption 소프트웨어 옵션과 상호 운용이 가능합니까?
대답: 예. DD Replication을 DD Encryption 옵션과 함께 사용할 수 있으므로 모든 종류의 복제를 사용하여 암호화된 데이터를 복제할 수 있습니다. 각 복제 형식은 암호화와 고유하게 작동하며 동일한 수준의 보안을 제공합니다.

질문: 암호화를 사용하려면 소스 시스템과 대상 시스템 모두 동일한 버전의 DD OS를 실행해야 합니까?
대답: 복제 호환성 매트릭스(호환성 매트릭스는 관리자 가이드 참조)가 있는 경우 복제와 함께 DARE를 사용하려면 소스와 대상이 서로 다른 DDOS 버전일 수 있습니다. 

질문: 암호화와 함께 복제는 어떻게 작동합니까?
대답: 사용 중인 복제 형식에 따라 다릅니다.

구성된 복제가 MREPL 또는 MFR인 경우:
MREPL 또는 MFR을 사용하는 경우 고객이 달성하고자 하는 목표에 따라 소스 또는 대상에서 독립적으로 DD Encryption에 대한 라이선스를 부여하거나 활성화할 수 있습니다.

• 소스와 대상 모두 암호화가 활성화된 경우: 소스 시스템에 수집된 데이터는 소스 시스템 암호화 키로 암호화됩니다. 소스는 로컬 데이터를 복호화하고 대상 시스템 암호화 키를 사용하여 다시 암호화한 다음 복제할 때 암호화된 데이터를 대상에 복제합니다.
• 소스에 암호화가 비활성화되어 있고 대상에 암호화가 활성화되어 있는 경우: 소스에 수집된 모든 데이터는 암호화되지 않습니다(명백한 이유). 하지만 복제할 때는 소스가 대상 시스템의 암호화 키를 사용하여 데이터를 암호화한 다음 암호화된 데이터를 대상 시스템에 복제합니다. 
• 소스에서 암호화가 활성화되어 있고 대상에서 암호화가 비활성화된 경우: 소스 시스템에 수집된 모든 데이터는 소스 시스템의 암호화 키를 사용하여 암호화됩니다. 소스는 데이터를 해독한 다음 복제할 때 암호화되지 않은 데이터를 대상 Data Domain 시스템에 복제합니다.
• 복제 컨텍스트가 설정된 후 복제본에 암호화가 활성화되면 현재 복제 중인 모든 새 세그먼트가 복제본의 소스에서 암호화됩니다. 암호화가 활성화되기 전에 복제본에 있는 모든 세그먼트는 암호화가 변경 사항을 적용하고 대상에서 GC를 실행하지 않는 한 암호화되지 않은 상태로 유지됩니다. 

구성된 복제가 CREPL인 경우:
컬렉션 복제를 사용하는 경우 소스 시스템과 대상 시스템 모두 동일한 DDOS 릴리스를 실행해야 합니다. 따라서 둘 다에서 암호화를 활성화하거나 비활성화해야 합니다. 암호화 구성에서도 불일치가 있을 수 없습니다. 암호화 키는 소스 및 대상과 동일합니다. 

• 소스와 대상 모두 암호화가 활성화된 경우: 소스 시스템에 수집된 모든 데이터는 소스 시스템 암호화 키를 사용하여 암호화됩니다. 복제 시 소스는 암호화된 데이터를 암호화된 상태의 대상 Data Domain 시스템으로 전송합니다. 컬렉션 복제는 소스 Data Domain 시스템의 정확한 복제본에 관한 것이기 때문에 대상 Data Domain 시스템은 소스와 동일한 키를 가집니다. 대상 Data Domain 시스템은 읽기 전용 시스템이므로 복제 이외의 경우에는 데이터를 쓸 수 없습니다.
• 소스와 대상 모두 암호화가 비활성화된 경우: 소스 시스템에 수집된 모든 데이터가 암호화되지 않습니다(명백한 이유). 복제 시 소스는 암호화되지 않은 상태로 데이터를 전송(복제)하며 대상 Data Domain 시스템에서 암호화되지 않은 상태로 유지됩니다. 대상 Data Domain 시스템은 읽기 전용 시스템이므로 복제 이외의 경우에는 데이터를 쓸 수 없습니다.

질문: 대상의 키가 소스 Data Domain 시스템에 무기한 저장됩니까?
대답: 대상의 암호화 키는 소스 Data Domain 시스템에 저장되지 않습니다. 복제 세션이 활성 상태인 동안에만 메모리에 유지(암호화됨)됩니다. 이는 컬렉션 복제를 제외한 모든 종류의 복제에 적용됩니다. 컬렉션 복제(CREPL)에서는 소스와 대상에 동일한 암호화 키 세트가 있습니다.  

질문: 복제 컨텍스트가 설정된 후 CREPL 시스템에서 암호화를 활성화할 수 있습니까?
대답: 예. 이 경우 소스와 대상 모두에서 암호화를 활성화해야 합니다. 복제 컨텍스트를 비활성화하여 소스 및 대상에서 암호화를 활성화할 수 있습니다. 복제된 모든 새 세그먼트는 복제본에서 암호화됩니다. 암호화가 활성화되기 전에 복제본에 상주한 세그먼트는 암호화되지 않은 상태로 남아 있습니다.

질문: DD Encryption 기능을 DD Replication 소프트웨어 옵션의 over-the-wire 암호화 기능과 동시에 활성화할 수 있습니까?
대답: 예. 회선 암호화와 D@RE를 동시에 활성화하여 서로 다른 보안 목표를 달성할 수 있습니다.

질문: DD Encryption 소프트웨어 옵션과 DD Replication 소프트웨어 옵션의 Over-the-Wire 암호화 기능이 동시에 활성화되면 어떻게 됩니까?
대답: 첫 번째 소스는 대상 암호화 키를 사용하여 데이터를 암호화합니다. 그런 다음 이미 암호화된 데이터는 이 데이터를 대상으로 보내는 동안 유선 암호화로 인해 두 번째로 암호화됩니다. 유선 암호 해독이 완료된 후 대상에서 데이터는 대상의 암호화 키를 사용하여 암호화된 암호화된 형식으로 저장됩니다.

질문: 소스와 대상에서 암호화가 활성화된 경우 비밀번호 문구가 둘 다에서 동일해야 합니까?
대답: 구성된 복제가 컬렉션 복제(CREPL)인 경우 암호문구가 동일해야 합니다. 다른 종류의 복제(예: MREPL, MFR)의 경우 비밀번호 문구는 소스와 대상이 다를 수 있습니다.

질문: 대상에서 암호화가 활성화된 경우(CREPL에 적용되지 않는 질문) 복제된 데이터와 다른 액세스 포인트(예: 로컬 백업을 통해)의 데이터가 모두 암호화됩니까? 복제 된 디렉토리 만 암호화되고 다른 액세스는 암호화되지 않는 복제본에서 두 가지를 분리하는 방법이 있습니까?
대답: 아니요. 진입점에 관계없이 모든 데이터는 복제본(대상)에서 암호화됩니다. 암호화는 MTree 또는 디렉토리 레벨 세분화에서만 활성화하거나 비활성화할 수 없습니다. 

질문: MREPL 또는 MFR 중에 소스와 대상 간에 키 교환은 어떻게 수행됩니까?
대답: 복제의 연결 단계에서 타겟 시스템은 현재 암호화 알고리즘과 키 정보를 소스로 안전하게 전송합니다. 복제 컨텍스트는 항상 공유 암호를 사용하여 인증됩니다. 이 공유 암호는 Diffie-Hellman 키 교환 프로토콜을 사용하여 "세션" 키를 설정하는 데 사용됩니다. 이 세션 키는 Data Domain 시스템 암호화 키를 암호화하고 해독하는 데 사용됩니다.

질문: 복제 트래픽 암호화와 관련하여 Data Domain의 "유선 암호화" 기능에는 어떤 유형의 암호화 알고리듬이 사용됩니까?
대답: 복제 인증 모드가 "one-way" 또는 "two-way"로 설정된 경우 세션 키 교환에 DHE(Ephemeral Diffie-Hellman)가 사용됩니다. 서버 인증은 RSA를 사용하여 수행됩니다. AES 256비트 GCM 암호는 유선으로 복제된 데이터를 캡슐화하는 데 사용됩니다. 암호화 캡슐화 계층은 대상 시스템에 도착하는 즉시 제거됩니다. 

One way는 대상 인증서만 인증되었음을 나타냅니다. 두 가지 방법은 소스 및 대상 인증서가 모두 확인되었음을 나타냅니다. 인증 모드를 사용하려면 먼저 상호 신뢰를 설정해야 하며, 암호화를 진행하려면 연결의 양쪽에서 이 기능을 활성화해야 합니다.

복제 인증 모드가 "anonymous"로 설정된 경우 세션 키 교환에 ADH(Anonymous Diffie-Hellman)가 사용되지만, 이 경우 소스 및 대상은 키 교환 전에 서로를 인증하지 않습니다. 또한 authentication-mode가 지정되지 않은 경우 anonymous가 기본값으로 사용됩니다.

질문: 파일 시스템을 재시작하지 않고 키 순환을 수행하면 모든 종류의 복제에서 작동합니까?
대답: 파일 시스템을 재시작하지 않고 키 순환은 DREPL(DREPL 지원이 이미 종료됨) 및 델타 복제(LBO라고도 함)를 제외한 모든 종류의 복제에서 작동합니다.

질문: 인증서 또는 PKI 키 쌍이 없는 경우 키 교환 중에 대상의 암호화 키를 어떻게 보호합니까?
대답: 모든 Data Domain 복제 쌍 간에는 Diffie-Hellman 키 교환을 사용하여 공유 세션 키를 설정하는 데 사용되는 공유 암호가 있습니다. 이 공유 키는 대상의 암호화 키를 암호화하는 데 사용됩니다.

복제 인증에 사용되는 공유 암호와 Diffie-Hellman 키 교환 프로토콜을 사용하여 할당되는 공유 세션 키 간에는 차이가 있습니다. 복제 인증에 사용되는 공유 암호는 두 Data Domain 시스템에서 복제 컨텍스트를 처음 설정하려고 할 때 Data Domain 소프트웨어에 의해 설정됩니다. 또한 코드에 포함된 매개변수를 사용하여 교환되는 Diffie-Hellman을 통해 합의됩니다. 이 정보는 두 시스템 간의 모든 복제 세션을 인증하기 위해 시스템에 영구적으로 저장됩니다. 복제 세션 키(대상의 암호화 키를 암호화하는 데 사용되는 키)는 이전에 설정된 공유 암호와 다른 Diffie-Hellman 교환을 사용하여 설정되므로 보안 키 교환 프로토콜이 구동됩니다. 이 키는 영구적이지 않으며 복제 컨텍스트가 활성 상태인 동안에만 존재합니다.

질문: 한 복제 쌍의 두 Data Domain에서 동일한 외부 키 매니저(예: KMIP 키 매니저) 솔루션을 사용해야 합니까? 아니면 시스템 중 하나에서는 외부 키 매니저를 사용하고 다른 시스템에서는 내장형 키 매니저를 사용할 수 있습니까?
대답: 컬렉션 복제 페어 외에, 복제 페어 내의 두 시스템이 동일한 키 매니저를 사용할 필요는 없습니다.

컬렉션 복제를 사용하는 경우 두 Data Domain 시스템을 동일한 키 매니저로 구성해야 합니다. 그러나 이 경우에도 유일한 소스는 키 매니저와 키를 동기화하는 것이며 해당 키도 대상으로 전송됩니다. 다른 복제 유형에서는 소스 및 대상에 서로 다른 Key Manager를 사용할 수 있습니다.

암호화 및 마이그레이션

질문: 암호화가 활성화된 시스템에서 데이터 마이그레이션이 지원됩니까?
대답: 예. 암호화가 활성화된 시스템에서 데이터 마이그레이션이 지원됩니다. 데이터 마이그레이션이 시작되기 전에 소스 및 대상 시스템의 암호화 구성이 사전 요구 사항으로 일치해야 합니다. 또한 마이그레이션을 시작하기 전에 DIA 용도로 소스 시스템에서 암호화 키를 내보내고 백업하는 것이 좋습니다.

질문: 암호화가 활성화된 시스템에 대한 활성 계층 및 클라우드 계층 마이그레이션 모두에 대해 데이터 마이그레이션이 지원됩니까?
대답: 예. 데이터 마이그레이션은 암호화가 활성화된 시스템의 활성 계층 및 클라우드 계층 마이그레이션 모두에 대해 지원됩니다. 선택된 사전 요구 사항 속성 목록은 암호화가 활성화된 계층에 따라 적용됩니다.

질문: 마이그레이션의 일부로 유지되는 암호화 설정은 무엇입니까?
대답: 암호화된 데이터 및 암호화 키는 그대로 마이그레이션되지만 성공적인 데이터 마이그레이션을 위해 암호화 키 매니저, 시스템 암호문구 및 기타 암호화 구성과 같은 설정을 수동으로 확인하고 일치시켜야 합니다. 기존 키 매니저 인증서도 대상 시스템으로 전송됩니다. 마이그레이션 후 대상 시스템에서 암호화 키 매니저 구성을 다시 설정해야 합니다.

질문: 마이그레이션 중에 소스와 대상 간에 수행되는 암호화 호환성 검사는 무엇입니까?
대답: 시스템 암호문구, 암호화 상태 및 키 매니저 구성 세부 정보, 시스템 FIPS 모드 설정은 마이그레이션에 성공하기 위해 소스 및 대상 시스템에서 동일해야 하는 암호화 설정 중 일부입니다. 이 KB 문서 183040, Data Domain: 클라우드 지원 DD 시스템 마이그레이션 절차(문서를 보려면 Dell 지원 사이트에 로그인 필요)에서는 클라우드가 활성화된 시스템 간의 마이그레이션 단계를 자세히 설명합니다. 활성 계층 전용 마이그레이션에도 동일한 설정이 적용됩니다.

질문: Encryption Disablement Project 설정이 설정된 시스템 간에 마이그레이션이 지원됩니까?
대답: 둘 다 EDP이거나 비 EDP인 경우 두 시스템 간에 데이터 마이그레이션이 지원됩니다. 무선 암호화가 명시적으로 해제된 경우 EDP 시스템에서 비 EDP 시스템으로 데이터 마이그레이션이 허용됩니다. (MIGRATION_ENCRYPTION sysparam 사용)

Cloud Tier의 암호화 

질문: 클라우드 계층에 암호화가 지원됩니까?
대답: 예. 암호화는 클라우드 계층에서 지원됩니다. 기본적으로 암호화는 클라우드 계층에서 비활성화되어 있습니다. "cloud enable" 명령은 클라우드 계층에서 암호화를 활성화할지 여부를 선택하라는 메시지를 표시합니다.

질문: KMIP 및 외부 키 매니저가 클라우드 계층에서 지원됩니까?
대답: 예. KMIP 및 외부 키 매니저는 DDOS 7.8 이상의 클라우드 계층에서 지원됩니다.

질문: 클라우드에서 암호화를 얼마나 세분화하여 활성화할 수 있습니까?
대답: 암호화는 각 클라우드 유닛 및 각 계층에서 독립적으로 활성화 및 비활성화할 수 있습니다.

질문: 클라우드 유닛에 독립적인 키가 있습니까?
대답: 아니요. 키 관리는 DD의 활성 계층과 클라우드 계층 모두에 공통적으로 적용됩니다. 암호화가 활성화되면 키가 각 unit/tier/cp로 복제됩니다. 암호화가 클라우드가 아닌 활성 상태에서 활성화된 경우 활성 계층 키는 클라우드에 반영되지 않으며 그 반대의 경우도 마찬가지입니다. 이는 클라우드 유닛에도 적용됩니다. (예: CP1에는 암호화가 사용 가능하고 CP2에는 암호화가 사용 가능하지 않으면 CP1 키가 CP2에 반영되지 않습니다.)   

질문: 클라우드에서 키를 삭제할 수 있습니까?
대답: 아니요. 클라우드에서 키를 삭제하는 것은 지원되지 않습니다.

질문: 클라우드 유닛의 데이터 암호화 키는 어디에서 관리됩니까?
대답: 키는 cp와 연결되며 각 클라우드 유닛은 서로 다른 cp입니다. 모든 cps 의 키 복사본은 활성 cp 에 저장됩니다.

질문: 재해 복구 중에 클라우드 키를 복구하려면 어떻게 해야 합니까? 
답변: cpnameval은 CP 복구의 일부로 클라우드에 미러링되며 암호화 키는 cpnameval로 복구됩니다. 이제 ddr_key_util 도구를 실행하여 키를 복구해야 합니다.

참고: 재해 복구에는 고객 지원팀의 개입이 필요합니다.

질문: 클라우드 계층에서만 암호화가 활성화된 경우 데이터 이동을 수행할 수 있습니까?
대답: 아니요. 데이터 이동을 위해 클라우드 계층과 활성 계층 모두에서 암호화를 활성화해야 합니다.

질문: 클라우드 계층에서 외부 키 매니저를 활성화할 수 있습니까?
대답: 예. 클라우드 계층에서 외부 키 매니저를 활성화할 수 있습니다. 이 기능은 7.8 이상에서 지원됩니다. 활성 계층에 유효한 키 삭제 또는 삭제를 제외한 모든 작업은 외부 키 매니저 관점에서 클라우드 계층에도 유효합니다. 

암호화 및 가비지 컬렉션

질문: Global Cleaning 프로세스는 Encryption-At-Rest에서 어떤 역할을 하며, 암호화를 처음 활성화할 때 성능에 영향을 미칩니까?
대답: 저장 상태 데이터 암호화를 처음으로 활성화하면 전역 정리 성능에 영향을 미칩니다. 디스크의 기존 컨테이너에서 읽고 새 컨테이너에 써야 하는 데이터를 다시 압축하고 암호화하고 디스크에 다시 쓰기 전에 읽고 해독하고 압축을 풀어야 할 수 있기 때문입니다. 상당한 양의 기존 데이터가 있는 DD에서 암호화가 활성화되고 'filesys encryption apply-changes' 명령이 실행되면 후속 전역 정리 주기가 시스템의 모든 기존 데이터를 암호화하려고 시도합니다. 즉, 모든 데이터를 읽고, 압축 해제하고, 압축하고, 암호화하고, 디스크에 기록해야 합니다. 따라서 'filesys encryption apply-changes'를 실행한 후 첫 번째 전역 정리 주기가 평소보다 오래 걸릴 수 있습니다. 고객은 DD 시스템이 가득 차지 않고(그렇지 않으면 백업이 실패함) 정리를 완료할 수 있도록 DD 시스템에 충분한 여유 공간이 있는지 확인해야 합니다.

질문: 진행 중인 수집/복원 클린 주기에 성능에 영향이 있습니까?
대답: 예. 성능에 영향이 있으며, 그 영향은 대개 정리 주기 사이에 수집/복원되는 데이터의 양에 따라 달라집니다.

질문: 기존 데이터를 암호화하는 데 얼마나 걸립니까?
이 KB 문서를 사용하여 시간을 추정합니다. Data Domain: 저장 상태 암호화를 적용하는 데 걸리는 시간을 계산합니다.

암호화 및 헤드 스왑 

질문: 헤드에 장애가 발생한 경우 고객이 디스크를 다른 Data Domain 시스템으로 이동하고 암호화가 활성화된 경우 디스크에 액세스할 수 있습니까?
대답: 암호화 키는 Data Domain 시스템 헤드 자체에 연결되지 않으므로 디스크를 다른 Data Domain 시스템 헤드로 이동하여 키에 액세스할 수 있습니다. 새 Data Domain 시스템 헤드에서 파일 시스템이 잠겨 있으므로 "filesys encryption unlock" 명령을 사용하여 비밀번호 문구를 입력해야 합니다. 

질문: 고객이 헤드 스왑 작업 시 비밀번호 문구를 잊어버린 경우 어떻게 해야 합니까?
대답: 이 시간 동안 이전 헤드를 연결하고 지원 팀과 협력하여 암호를 재설정한 다음 새 헤드에 다시 연결하고 헤드 스왑 절차를 완료할 수 있습니다. 

암호화 성능

질문: 암호화를 사용할 때 스토리지 소비에 미치는 관찰된 영향은 무엇입니까?
대답: 사용자 데이터와 함께 일부 암호화 매개변수를 저장하는 데 관련된 약 1%의 오버헤드로 무시할 수 있습니다.

질문: 저장된 데이터 암호화를 사용할 때 처리량(쓰기 및 읽기)에 미치는 관찰된 영향은 무엇입니까?
대답: 암호화를 사용할 때 수집 처리량에 미치는 영향은 프로토콜 및 플랫폼에 따라 다를 수 있습니다. 일반적으로 다음 백분율은 보수적인 성능의 총 처리량 성능 저하입니다.

CBC Mode
First Full: WRITEs 증분 시
~10% 성능 저하: 쓰기
복원에서 ~5%의 성능 저하: 읽기

GCM 모드
첫 번째 전체 용량에서 5 - 20% 성능 저하: 10 - 20% 쓰기
성능 저하 증분: 5 쓰기 복원에서 -10%의 성능 저하가 발생합니다.
읽기에서 5 - 20% 성능 저하

이 수치는 저장된 데이터 암호화의 오버헤드와 관련이 있습니다(유선 암호화는 별도로 계산됨)
 

권장사항

질문: 키 순환 정책과 관련된 모범 사례는 무엇입니까?
대답: 자동 키 순환 정책은 기본적으로 활성화되지 않습니다. 고객이 활성화했습니다. 암호화 키를 자주 교체하는 것이 좋습니다. 외부 KMIP 키 매니저로 시스템을 구성하는 경우 키를 자주 교체하여 향후 키 손상 시나리오를 처리하는 것이 좋습니다. KMIP가 클라우드 계층으로 구성된 경우 제안된 키 순환 간격은 1주일이며, KMIP가 활성 계층에만 구성된 경우 제안된 키 순환 정책은 1개월입니다. 그러나 수집 속도에 따라 고객은 키 순환 빈도를 늘리거나 줄일 수도 있습니다. 내장형 키 매니저가 구성된 경우 1개월에서 3개월 사이의 키 순환 정책을 사용하는 것이 좋습니다. 

질문: 고객이 여러 DD 시스템에 동일한 KMIP 서버를 사용하는 경우 KMIP 키 클래스에 대한 모범 사례는 무엇입니까?
대답: 동일한 KMIP 서버를 사용하는 경우 각 DD 시스템에 대해 별도의 키 클래스를 사용하는 것이 좋습니다. 이렇게 하면 한 DDOS 시스템에서 수행된 키 순환이 다른 DDOS 시스템에 있는 키의 상태에 영향을 주지 않습니다.

자세한 내용은 다음 문서를 참조하십시오. DELL EMC PowerProtect DD Series 어플라이언스: 암호화 소프트웨어(delltechnologies.com)

암호화: 기술 백서 PowerProtect DD Series 어플라이언스: 암호화 소프트웨어

DD Encryption과 관련된 기타 문서(관리자 가이드, 명령 참조 가이드 및 보안 구성 가이드)는 문서 126375, PowerProtect 및 Data Domain 핵심 문서에서 찾을 수 있습니다.

KMIP 통합 가이드 및 호환성 매트릭스

이 비디오를 시청하십시오.