NSE - Bootarg kmip.init.maxwait はデータ損失を引き起こす可能性があります
環境
NSEストレージシステム
回答
ARSリスク#3016を軽減する方法 - boot_loaderオプションkmip.init.maxwaitおよび/またはkmip.init.maxwait.pingがOFFに設定されています。
これらはONに設定するか、デフォルトである未設定のままにする必要があります。デフォルトでは、NSEストレージシステムはKMIP（外部キーマネージャ）サーバにpingを送信し、セキュアなSSL接続を開始する前に少なくとも1つのKMIPサーバからのping応答を待機するよう設定されています。
boot_loaderオプションのkmip.init.maxwaitおよび/またはkmip.init.maxwait.pingがOFFに設定されており、NSEディスクがロックされて使用中の場合、何らかの理由でシステムがブートループに陥ると、ディスク上のデータが失われる可能性があります。
デフォルトでは、 NSEディスクドライブには、正しい認証に対する不正な連続失敗の試みからデータを保護する組み込み機能があります。連続した認証の失敗が1024回を超えると、NSEディスクドライブは内部の暗号化キーを自己消去し、ドライブに保存されているデータは永久に失われます。このプロセスを元に戻すことはできません。この状況が発生した場合、NSEディスクドライブは、メンテナンスモードに移行して disk encrypt sanitize -allコマンドを実行し、NSEディスクドライブを工場出荷時のデフォルト設定に戻すことによってのみ再使用できます。この変更を有効にするには、再起動も必要です。
この問題を軽減するには、次の手順を実行してください：
- ブートローダーのプロンプトで、デフォルト設定である変数を解除してください。設定はオンになっていますが、変数は非表示になります。
unsetenv kmip.init.maxwait
unsetenv kmip.init.maxwait.ping
- ブートローダーのプロンプトで、変数をONに設定してください。
setenv kmip.init.maxwait on
setenv kmip.init.maxwait.ping on
追加情報
ここにテキストを追加してください。