O sistema fornece criptografia opcional de dados inativos que protege contra a exposição potencial de dados e metadados do usuário sensíveis que estão armazenados em módulos flash descartados, perdidos ou roubados. A criptografia de dados e metadados do sistema não é necessária, portanto, os dados e metadados do sistema não são criptografados.
Se você deseja usar a criptografia, assegure-se de que tenha comprado o Feature
Code AF14: Encryption Enablement Pack (Plant).
Cenário 1: Inicializando um novo sistema com criptografia
Neste
cenário, você está inicializando e ativando a criptografia em um
novo sistema que não possui dados armazenados em módulos flash.
Você comprou o código de recurso de criptografia AF14 quando comprou
o sistema. Neste caso, a IBM® envia
um total de três unidades flash USB, uma unidade flash USB para o sistema
e mais duas unidades flash USB para o código de recurso de criptografia.
Você pode usar a ferramenta de inicialização para ativar a criptografia. Se a criptografia estiver ativada, uma chave de criptografia será gerada pelo sistema para ser usada para acessar os dados criptografados que estão armazenados no sistema. A ferramenta de inicialização ativa um assistente que o orienta pelo processo de cópia da chave de criptografia para várias unidades flash USB. As ações a seguir são consideradas as melhores práticas para copiar e armazenar chaves de criptografia:
- Faça cópias da chave de criptografia em pelo menos três unidades flash USB para acessar o sistema.
- Além disso, copie as chaves de criptografia para outras formas de armazenamento para fornecer resiliência e para atenuar riscos, se, por exemplo, as três unidades flash USB forem de um lote de unidades com defeito.
- Teste cada cópia da chave de criptografia antes de gravar quaisquer dados do usuário no sistema inicializado.
- Armazene com segurança todas as cópias da chave de criptografia. Como um exemplo, quaisquer unidades flash USB que não sejam deixadas inseridas no sistema podem ser trancadas em um cofre. Precauções comparáveis devem ser tomadas para proteger quaisquer outras cópias da chave de criptografia armazenada para outras formas de armazenamento.
Nota: Durante a inicialização, o assistente solicita que você insira duas das unidades flash USB que contêm as chaves de criptografia, uma em cada caixa. Isto supõe que o ambiente físico onde o sistema está localizado é muito seguro.
Cenário 2: Ativando a criptografia após a inicialização do sistema
As
situações a seguir podem ocorrer onde a criptografia estiver ativada após
um sistema ser inicializado:
- Incluindo uma licença de criptografia para um sistema inicializado anteriormente
- Alterando a chave de criptografia em um sistema inicializado anteriormente
Ambas as operações podem ser executadas somente trabalhando junto com o
suporte IBM. Ambas as operações requerem que você compre o Feature
Code AF14: Encryption Enablement Pack (Plant) e requerem que todos os
dados existentes sejam copiados dos módulos flash e armazenados no armazenamento
externo.
Para comprar a licença, deve-se
enviar uma solicitação de cotação de preço (RPQ) ao suporte IBM para solicitar que o código de recurso
de criptografia seja aplicado a seu sistema. Quando o código de recurso é comprado, a IBM envia duas unidades flash USB adicionais.
Para
ativar a criptografia em um sistema inicializado anteriormente, o suporte IBM
trabalha com você para concluir as etapas a seguir:
- Copie todos os dados que estão armazenados em todos os volumes virtuais para o armazenamento
externo. Antes de ativar a criptografia em um sistema inicializado anteriormente, você deve remover todos os dados do usuário do sistema. Mova quaisquer dados
que devem ser retidos para uma outra forma de armazenamento resiliente. Todos os dados existentes em módulos flash são efetivamente apagados
criptograficamente quando a criptografia está ativada no sistema.
- Exclua todos os volumes virtuais e matrizes RAID que foram definidas sem criptografia.
- Inicie a ferramenta de inicialização e selecione Sim para
configurar um novo sistema.
- No painel Criptografia, selecione Sim para
indicar que você comprou a licença e deseja ativar a criptografia.
- Conclua a ferramenta de inicialização. Assegure-se de que as cópias das chaves
de criptografia sejam copiadas para pelo menos três unidades flash USB e quaisquer cópias
adicionais para outro armazenamento que o seu ambiente requeira.
- Após a ferramenta de inicialização, inicie a GUI de gerenciamento e execute
o assistente de configuração de sistema. Este assistente de configuração cria automaticamente uma matriz RAID criptografada.
- Copie todos os dados que foram copiados para armazenamento externo na etapa 1 de volta para o sistema.
Aviso: Na inicialização do sistema
(ligar) ou para acessar um sistema criptografado, a chave de criptografia deve ser fornecida
por uma fonte externa para que o sistema possa ser acessado. A chave de criptografia é lida das unidades flash USB que armazenam cópias das chaves que foram criadas durante a inicialização do sistema. Para que o sistema seja reinicializado automaticamente,
uma unidade flash USB com as chaves de criptografia deve ser deixada inserida em
cada uma das caixas para que ambas as caixas tenham acesso à chave de
criptografia quando forem ligadas. Este método requer que o ambiente físico onde o sistema está localizado seja muito seguro, portanto, nenhuma pessoa não autorizada poderá fazer cópias de chaves de criptografia nas unidades flash USB e obter acesso a dados armazenados no sistema. Para
uma operação mais segura, não mantenha as unidades flash USB inseridas
nas caixas no sistema. No entanto, este método requer que você insira manualmente as unidades flash USB que contêm cópias da chave de criptografia em ambas as caixas antes de reinicializar o sistema. A chave de criptografia é requerida para acessar dados criptografados e reside apenas nas cópias da unidade flash USB e em quaisquer cópias adicionais feitas em outras formas de armazenamento. A chave de criptografia não pode ser recuperada ou regenerada pela IBM se todas as cópias mantidas pelo usuário forem perdidas ou estiverem irrecuperáveis.
O Código de Recurso AF14: Encryption Enablement Pack (Plant) é necessário para suporte
Se você ativar a criptografia selecionando Sim,
para obter suporte IBM adicional, você deve fornecer prova da compra do código de recurso de criptografia (FC AF14: Encryption Enablement Pack (Plant)).
O suporte IBM por RPQ é necessário para contornar as
restrições a seguir:
- A criptografia não pode ser ativada ou desativada após o sistema
ser inicializado.
- A chave de criptografia não pode ser alterada.