Volumes logiques chiffrés

Editer en ligne

Le chiffrement du volume logique (LV) protège l'exposition aux données en raison de la perte ou du vol d'unités de disque dur ou à cause d'ordinateurs mal déclassés. Le système d'exploitation de base effectue le chiffrement et le déchiffrement des données LV lors des opérations d'E-S. Les applications qui effectuent les opérations d'E/S en utilisant les interfaces du système de fichiers ou les interfaces des périphériques de volumes logiques peuvent utiliser les données protégées sans aucune modification.

Les jeux de fichiers suivants doivent être installés pour crypter les données LV. Ces ensembles de fichiers sont inclus dans le système d'exploitation de base.

bos.hdcrypt
bos.kmip_client
bos.rte.lvm
security.acf
openssl.base

Configuration du chiffrement LV

À partir d'IBM® AIX® 7.2 avec le niveau technologique 5, vous pouvez gérer toutes les opérations de cryptage LV à l'aide de la commande 'hdcryptmgr

Limitations du volume logique chiffré

Si un LV est chiffré, les commandes ou fonctions LV suivantes ne sont pas prises en charge :

Commande cplv: Lorsque la commande " cplv crée un volume logique, le LV n'est pas chiffré. Comme solution de contournement, vous pouvez créer un volume logique dans lequel le chiffrement est activé en utilisant la commande 'mkvg -k y et l'initialiser. Vous pouvez ensuite utiliser la commande " cplv pour copier le contenu du LV source dans le LV dans lequel le cryptage est activé.
commande splitvg et commande joinvg: Lorsque vous utilisez la commande 'splitvg, le groupe de volumes en miroir (VG) est divisé en un VG primaire et un VG snapshot. Les méthodes d'authentification du magasin de clés de la plate-forme (PKS) et du fichier de clés ne peuvent pas être utilisées sur le VG instantané. Mais ces méthodes d'authentification peuvent être utilisées sur le VG primaire.
Vous ne pouvez pas supprimer une méthode d'authentification d'un volume logique dans un groupe de volumes primaires. Vous ne pouvez pas non plus ajouter ou supprimer une méthode d'authentification d'un volume logique dans un VG instantané.
commande splitlvcopy: La commande 'splitlvcopy n'est pas prise en charge sur un volume logique crypté.
commande chlvcopy: La commande 'chlvcopy n'est pas prise en charge sur un volume logique crypté.
Commande snapshot: Lorsque vous créez un instantané d'un système de fichiers qui utilise un LV crypté, et si le LV de destination n'existe pas, un LV est créé dans lequel le cryptage n'est pas activé. Le LV source doit être déverrouillé pour copier les données sur le LV de destination.
commande savevg et commande restvg: Lorsque vous utilisez la commande 'savevg ou la commande 'restvg, l'option de cryptage au niveau VG est conservée. Toutefois, l'option de cryptage au niveau LV n'est pas conservée lorsque vous exécutez la commande " savevg Par conséquent, la commande " restvg recrée les volumes logiques sans activer l'option de cryptage. Vous pouvez utiliser la commande " hdcryptmgr plain2crypt pour convertir les LV restaurés en LV cryptés.
Mode simultané: La fonction de cryptage LV n'est pas prise en charge lorsqu'un groupe de volumes est varié en mode simultané.
Partition de démarrage: Le chiffrement LV n'est pas pris en charge pour un VG qui contient la partition de démarrage.
AIX Mise à jour en direct: L'opération Live Update n'est pas prise en charge si le chiffrement LV est activé.
Sérialisation E/S: La sérialisation E/S n'est pas garantie tant que la conversion de chiffrement LV est en cours.

Examen du système de fichiers pour le volume logique chiffré

Tenez compte des éléments suivants lorsque vous créez ou modifiez des systèmes de fichiers associés à un VL crypté :

Lorsque vous créez ou montez un système de fichiers sur une LV chiffrée, assurez-vous que le LV chiffré est déverrouillé et activé.
Si un volume logique chiffré, qui héberge un système de fichiers à l'aide du fichier NFS (Network File System) /etc/exports , n'est pas déverrouillé lors de l'amorçage du système, l'opération de montage du système de fichiers échoue et la table des systèmes de fichiers physiques dans le fichier /etc/exports n'est pas mise à jour. Une fois le volume logique chiffré déverrouillé et le système de fichiers monté, vous pouvez exécuter la commande exportfs -a pour mettre à jour le fichier /etc/exports .
Dans le système Enhanced Journaled File System ( JFS2 ), vous pouvez utiliser un seul périphérique de journalisation pour plusieurs systèmes de fichiers. Si l'unité de journalisation est partagée entre plusieurs systèmes de fichiers et si le volume logique utilisé par les systèmes de fichiers est chiffré, le volume logique doit être déverrouillé pour que les systèmes de fichiers puissent être montés.

Note : Le jeu de fichiers security.acf est une dépendance pour certains jeux de fichiers. Les niveaux précédents du jeu de fichiers security.acf ont livré le script security.acf.pre_d et le script s'exécute lorsque vous exécutez un processus de désinstallation ou que vous prévisualisez le processus de désinstallation. Le script security.acf.pre_d arrête le démon ssh pendant l'aperçu de la désinstallation. Si le script /usr/lpp/security.acf/deinstl/security.acf.pre_d existe sur le système, il est recommandé de supprimer manuellement le script du système avant d'effectuer l'aperçu de désinstallation.