Volumes physiques chiffrés
Le chiffrement de volume physique protège les données utilisateur en chiffrant les données écrites sur le volume physique. Le système d'exploitation de base effectue le chiffrement et le déchiffrement des données des volumes physiques lors des opérations d'E-S. Les données sont chiffrées avant d'être envoyées à une unité de réseau de stockage (SAN) externe pour protéger les données sur le réseau de stockage. Le chiffrement du volume physique protège également l'exposition des données en raison de la perte ou du vol d'unités de disque dur ou en raison d'ordinateurs ou de périphériques de stockage mis hors service de manière inappropriée. Les applications qui effectuent des opérations d'E-S peuvent utiliser les données protégées sans aucune modification. Les volumes physiques chiffrés peuvent être utilisés de la même manière que les volumes physiques non chiffrés. Toutefois, le groupe de volumes rootvg ne peut pas contenir de volumes physiques chiffrés.
Vous devez installer les ensembles de fichiers suivants pour chiffrer les données de volume physique. Ces ensembles de fichiers sont inclus dans le système d'exploitation de base.
- bos.hdcrypt
- bos.kmip_client
- security.acf
- openssl.base
Configuration du chiffrement de volume persistant
A partir d' IBM® AIX® 7.3 avec le niveau de technologie 1, vous pouvez gérer les opérations de chiffrement de volume physique à l'aide de la commande hdcryptmgr .
La taille du volume physique chiffré est inférieure à la taille du volume physique avant le chiffrement car la fonction de chiffrement réserve de l'espace sur le volume physique pour le processus de chiffrement. Lorsque le chiffrement est activé pour un volume physique, toutes les données stockées sur ce volume physique sont supprimées et les nouvelles données écrites sur ce volume physique sont chiffrées. Pour les opérations de lecture, les données du volume physique chiffré sont d'abord déchiffrées. Pour chiffrer des données existantes, vous pouvez allouer un nouveau volume physique, activer le chiffrement sur le nouveau volume physique, puis copier les données existantes sur le nouveau volume physique.
Le volume physique chiffré prend en charge les mêmes méthodes de stockage et d'extraction de clés que le volume logique chiffré. La clé peut être une phrase passe saisie, peut être obtenue à partir du magasin de clés de la plateforme (PKS) ou peut être obtenue à partir d'un gestionnaire de clés réseau. Lorsque la clé est stockée dans un PKS ou dans un gestionnaire de clés réseau, le volume physique est déverrouillé automatiquement lors du processus d'amorçage. Le paramètre d'action authunlock de la commande hdcryptmgr peut être utilisé pour déverrouiller manuellement un volume physique chiffré. Toute tentative d'exécution d'une opération d'E-S sur un volume physique chiffré verrouillé échoue avec une erreur permission denied jusqu'à ce que ce volume physique soit déverrouillé.
Limitations du volume persistant chiffré
- Le groupe de volumes rootvg ne doit pas contenir de volume physique chiffré. Si rootvg contient un ou plusieurs volumes physiques chiffrés, le processus d'amorçage AIX échoue. Les commandes mkvg et extendvg empêchent l'utilisation de volumes physiques chiffrés avec rootvg.
- Les volumes physiques existants ne peuvent pas être convertis de volumes physiques non chiffrés en volumes physiques chiffrés, ou inversement. L'activation du chiffrement sur un volume physique supprime toutes les données existantes sur ce disque.
- Le chiffrement de volume physique requiert des attributs de disque supplémentaires fournis par le système d'exploitation AIX . Si un disque est défini à l'aide de définitions de gestionnaire de données d'objet (ODM) d'un autre fournisseur de stockage, de nouvelles définitions ODM de ce fournisseur doivent être acquises pour prendre en charge le chiffrement de volume physique.
- Les volumes physiques chiffrés peuvent être partagés avec d'autres partitions logiques AIX qui exécutent AIX 7.3 niveau de technologie 1 ou ultérieur. Le partage d'un volume physique chiffré avec un niveau plus ancien d' AIX endommage les données car l'ancien niveau d' AIX ne reconnaît pas que le volume physique est chiffré.
- Les volumes physiques qui sont chiffrés avec l'authentification PKS peuvent être utilisés comme unité de vidage classique s'ils n'appartiennent pas au groupe de volumes rootvg.
- Les volumes physiques chiffrés ne peuvent pas être utilisés comme disque de destination lorsque vous utilisez les commandes alt_disk_copy et alt_disk_mksysb car le groupe de volumes rootvg ne prend pas en charge les volumes physiques chiffrés.
- Seuls les volumes physiques SCSI peuvent être chiffrés. Vous ne pouvez pas crypter les disques NVMe, vPMEM ni même les disques SCSI virtuels ( vSCSI ).
- La même image de système d'exploitation AIX ne peut pas utiliser le gestionnaire de volumes logiques géographiques (GLVM) ou la mise en cache de données de stockage AIX (commandecache_mgt ) avec d'autres disques SCSI lors de l'utilisation de volumes physiques chiffrés. GLVM ou la mise en cache des données de stockage peut être utilisée avec des disques NVMe ou avec des disques vPMEM .
Considérations relatives à la sauvegarde sur disque pour le volume persistant chiffré
Les différentes méthodes de sauvegarde des données sur le disque physique présentent des caractéristiques différentes lorsque des volumes physiques chiffrés sont utilisés.
Si l'opération de sauvegarde de données est en cours d'exécution dans l'instance de système d'exploitation, le système d'exploitation lit les données et les déchiffre avant de les envoyer au logiciel de sauvegarde. Le support de sauvegarde contient les données utilisateur déchiffrées. Les métadonnées liées au chiffrement ne sont pas stockées dans le support de sauvegarde. Si ces données de sauvegarde sont restaurées sur un autre volume physique, les données sont chiffrées uniquement si le chiffrement est activé pour ce volume physique. Si le chiffrement n'est pas activé pour le volume physique cible, les données restaurées ne sont pas chiffrées et peuvent être utilisées directement même par des niveaux plus anciens d' AIX.
Si les données sont sauvegardées à l'aide d'une unité de stockage telle qu'une image instantanée ou FlashCopy®, les données sauvegardées sont chiffrées. Les données de sauvegarde de l'unité de stockage incluent à la fois les métadonnées de chiffrement et les données utilisateur chiffrées. La sauvegarde basée sur le stockage est une copie par bloc des données chiffrées et le stockage ne peut pas déterminer que les données sont chiffrées par le système d'exploitation.