数据加密

对数据进行加密可确保在介质实物丢失的情况下，介质中的数据不可读取，并且仍然是保密的。根本无法获得介质中的数据，或者需要解密之后才能获得。IBM® Integrated Analytics System 对静态数据（磁盘上的数据）提供多级加密。

Db2® 软件加密仅用来保护由 Db2 管理的存储在存储设备中的数据库数据。具有集成机架的系统还启用存储设备的底层硬件加密功能，以保护所存储的所有数据。

IIAS 使用“加密盐 SHA1”(SSHA) 方案将其内部用户密码存储在 LDAP 数据库中。

加密方案

在加密方案中，通过应用密码算法和加密密钥将需要保护的数据变换为不可读取格式。密码算法是在加密和解密过程中使用的一种数学函数。加密密钥是一个序列，用于控制密码算法的运算，并启用可靠的数据加密和解密。本地密钥管理器或者外部密钥管理器通常用来管理密钥。

使用本机数据库加密时，数据库系统本身将先对数据进行加密，然后调用底层文件系统将该数据写入磁盘。这意味着，不仅当前数据受保护，而且您将来可能添加的新表空间容器或表空间中的数据也受保护。数据库加密密钥 (DEK) 是用于对实际用户数据进行加密的加密密钥。主密钥是“密钥加密密钥”：它用来保护 DEK。虽然 DEK 由数据库进行存储和管理，但主密钥在数据库外进行存储和管理。有关轮换主密钥的信息，请参阅 Db2 Warehouse 本机加密。

通过硬件加密，诸如闪存子系统的存储设备可以根据加密密钥对写入介质的数据进行加密。加密密钥可以位于存储控制器上，也可以保留在外部的加密密钥服务器（例如，IBM Security Key Lifecycle Manager）中。

有关如何对集成机架型号进行存储器加密的信息，请参阅在具有集成机架的系统上的存储硬件加密。

有关如何对 M4002-001 型号进行存储器加密的信息，请参阅M4002-001 型号的存储硬件加密。

目前，缺省情况下，已启用 Db2 软件加密，无法禁用。密钥始终由 Db2 软件进行管理。集成机架型号支持通过 IBM Security Key Lifecycle Manager (IBM SKLM) 进行外部加密密钥管理。

集成机架型号持久介质类型

在 IIAS 中，有三种基本类型的持久介质：
  1. 驻留在服务器中的硬盘驱动器（操作系统磁盘）
    • 这些磁盘用于存放操作系统、其他软件包、日志文件和操作系统交换区域。
    • 它们未进行硬件加密。
    • 当前 Power® P8 服务器不支持磁盘的硬件加密。
  2. 第一层存储器（热表数据）
    • 数据由 FlashSystem 900 存储阵列提供。
    • 数据始终以加密方式写入闪存模块，缺省情况下，密钥驻留在闪存阵列控制器中。可以通过将 IIAS 与外部 IBM Security Key Lifecycle Manager (IBM SKLM) 集成来管理密钥。
    • 如果移除了闪存模块，那么数据不可读。如果移除了整个闪存阵列，那么数据可访问（如果密钥不是由 IBM SKLM 外部管理），但是同时会由 Db2 软件加密。
  3. 第二层存储器（冷却数据）
    • 数据由 V5020 HDD 存储阵列提供。
    • 数据未进行写入加密，但是受 Db2 软件加密保护。

有关 IIAS 硬件构建块的更多信息，请参阅机架提供的型号硬件。

M4002-001 型号持久介质类型

在 IIAS M4002-001 中，有两种基本类型的持久介质：
  1. 两个 M.2 驱动器 - 用于操作系统和平台
    • 它们不可热插拔。
    • 它们不支持加密。
  2. 四个 4 TB NVMe SSD 驱动器 - 用于存储用户数据
    • 它们是用于用户数据存储器的热插拔驱动器。
    • 始终已启用静态数据加密。
    • 数据保护和冗余由 GPFS 来管理。