安静時のSANによる暗号化？
保管時の暗号化が1か所で正しく行われていることを確認したいと思います。共有ストレージがある場合、それはDASではなく適切な場所のようです。
主に、キーなしでドライブがリカバリされた場合と、SANブート時にキーが必要になる場合（苦痛ではないが、まれなイベントであるはずですが、キット全体とcaboodleを盗む人）。
SANに接続するには、iSCSI（資格情報付き）が必要であるか、FCスイッチを使用している必要があります。
これは、データベースとNASケースをカバーするようです。
これの正しい点と悪い点は何ですか？
ストレージサブシステムの特定のモデルは、フルディスク暗号化をサポートしているため、ディスク上にあるときにデータを暗号化できます。暗号化キーは、サブシステムコントローラーまたは外部中央ストアのいずれかに保存されます。
私がよく知っているのはIBMのDS5000/DS8000シリーズです。 DS5000コントローラーは、ドライブごとに個別のセキュリティキーを格納します。データにアクセスするには、コントローラーとドライブ全体を削除する必要があります。おそらく、ほとんどの企業がリスク分析で心配すべきことではないでしょう。
さらに、DS8000アーキテクチャは、外部キーサーバーを使用してすべてのドライブ暗号化キーを格納します。このモデルはあなたが求めるものを提供します-中央のマスターキーストアのロックを解除するためにパスワードを要求するように設定できますが、それを使用するストレージサブシステム/テープライブラリは、介入なしで認証して暗号化キーにアクセスできます。
IBMテクノロジーの詳細を読むことができます ここ 。
物理的なセキュリティは非常に簡単 SAN全体を暗号化するよりも、一定の暗号化によるパフォーマンスの低下（またはSANスループット）で透過性に近づくためのハードウェアコスト）は言うまでもありません。 。
LinuxベースのiSCSIターゲットのラボ実装をいくつか行いました LUKS/dm-crypt -説明した機能を備えた暗号化されたディスク-起動時に、暗号化されたスロットのロックを解除するためにキーを提供する必要がありました。
自己暗号化ドライブアプローチ 複数のストレージベンダー（MikeyBが指摘するLSIやIBMを含む）によって活用されているのと比較して、データをコントローラーに送信する前に暗号化するという利点があります。電磁放射の盗聴シナリオ。そして、それは自作でサポートされていないという明らかな欠点を抱えています。 Sun/Oracle Solarisベースのストレージ 理論的には、Zfs暗号化機能を使用した同様のセットアップが可能になります-これがサポートされているシナリオであるかどうかを確認する価値があります。