Integrated Dell Remote Access Controller 9ユーザーズ ガイド

iDRACでは、次のようなSEKM機能を使用できます。

1. SEKMキーのパージ ポリシー：iDRACには、キーの更新操作の実行時に、キー管理サーバー(KMS)で古い未使用のキーをパージするようにiDRACを設定できるポリシー設定機能があります。iDRACの読み取り/書き込み属性KMSKeyPurgePolicyを、次のいずれかの値に設定します。
   • ［すべてのキーを保存する］：既存のデフォルト設定です。キーの更新操作の実行時に、iDRACはすべてのキーをそのままKMSに残しておきます。
   • ［NおよびN-1キーを保持する］：キーの更新操作の実行時に、iDRACは現在(N)および前回(N-1)のキーを除くすべてのキーをKMSから削除します。
2. SEKMが無効な場合のKMSキーのパージ：Secure Enterprise Key Manager (SEKM)ソリューションでは、iDRACからiDRACのSEKMを無効にすることができます。SEKMを無効にすると、iDRACによってKMSで生成されたキーは未使用になり、KMSに残ります。この機能は、SEKMが無効になっている場合に、iDRACでこれらのキーを削除できるようにするための機能です。iDRACの既存のレガシー コマンド「racadm sekm disable」に新たに「-purgeKMSKeys」オプションができ、iDRACでSEKMが無効になっている場合にKMSキーをパージできます。
   注:SEKMがすでに無効になっている場合に古いキーをパージするには、SEKMをいったん有効にしてから、「-purgeKMSKeys」オプションを指定して再度無効にする必要があります。
3. キー作成ポリシー：このリリースでは、キー作成ポリシーがiDRACにあらかじめ設定されています。KeyCreationPolicy属性は読み取り専用で、「Key per iDRAC」という値が設定されています。
   • iDRAC読み取り専用属性iDRAC.SEKM.KeyIdentifierNは、KMSが作成したキー識別子をレポートします。

     racadm get iDRAC.SEKM.KeyIdentifierN

   • iDRAC読み取り専用属性iDRAC.SEKM.KeyIdentifierNMinusOneは、キーの更新操作実行後に、前回のキー識別子をレポートします。

     racadm get iDRAC.SEKM.KeyIdentifierNMinusOne

4. SEKMのキー更新：iDRACのSEKMソリューションには、「iDRACのキー更新」と「PERCのキー更新」の2つのオプションがあります。SEKM Secureに対応し有効になっているすべてのデバイスのキーが更新されるため、「iDRACのキーの更新」を使用することをお勧めします。
   • SEKM iDRAC Rekey [ Rekey on iDRAC.Embedded.1 FQDD ]：racadm sekm rekey iDRAC.Embedded.1を実行すると、SEKM Secureに対応し有効になっているすべてのデバイスのキーがKMSの新しいキーで更新されます。新しいキーはSEKMが有効になっているすべてのデバイスに共通です。iDRACのキーの更新操作は、iDRAC GUIからiDRAC設定 > サービス > SEKM設定 > キーの更新の順に選択して行うこともできます。この操作の実行後に、KeyIdentifierN属性とKeyIdentifierNMinusOne属性を読み取ればキーの変更を検証することができます。
   • SEKM PERC Rekey ( Rekey On Controller [ Example RAID.Slot.1-1 ] FQDD )：racadm sekm rekey <controller FQDD>を実行すると、対応するSEKM対応コントローラーのキーが、KMSで作成された現在有効なiDRAC共通キーに更新されます。ストレージ コントローラーのキーの更新操作は、iDRAC GUIでストレージ > コントローラー > <コントローラーFQDD> > アクション > 編集 > セキュリティ > セキュリティ（暗号化） > キーの更新の順に選択して行うこともできます。
     注:コントローラーとiDRACキーの同期中にPERCでRekeyを実行すると、ジョブの実行時に設定ジョブが失敗する場合や、設定ジョブは成功してもキーが変更されない場合があります。iDRAC Rekeyオプションを使用して、この問題を解決できます。

サポート対象のすべてのSEKM機能と導入ワークフローの詳細については、ホワイト ペーパー「Dell PowerEdgeサーバーでOpenManage Secure Enterprise Key Manager (SEKM)を有効にする」を参照してください。