我希望确保静态加密在一个地方正确完成。如果有共享存储，那似乎比 DAS 更合适。
我主要想介绍一下没有密钥的驱动器恢复情况以及 SAN 启动时需要密钥的情况（应该是罕见的事件，不会造成麻烦，但也包括有人偷走整个套件和小玩意的情况）。
要连接到 SAN，您需要 iSCSI（带有凭据）或在 FC 交换机上。
这似乎涵盖了数据库和 NAS 情况。
這件事對或錯誤嗎？
答案1
某些型号的存储子系统支持全盘加密，允许您的数据在磁盘上静止时进行加密。加密密钥存储在子系统控制器或外部中央存储器中。
我熟悉的是 IBM 的 DS5000 / DS8000 系列。DS5000 控制器为每个驱动器存储单独的安全密钥 - 需要移除整个控制器和驱动器才能访问数据。在风险分析中，大多数公司可能不必担心这一点。
除此之外，DS8000 架构使用外部密钥服务器来存储所有驱动器加密密钥。此模型可满足您的要求 - 您可以将其设置为需要密码才能解锁中央主密钥库，但使用它的存储子系统/磁带库可以在无需干预的情况下进行身份验证并获得对其加密密钥的访问权限。
您可以阅读有关 IBM 技术的更多信息这里。
答案2
物理安全更加容易而不是加密整个 SAN，更不用说持续加密对性能造成的影响（或者接近 SAN 吞吐量透明度的硬件成本）。
答案3
我们已经在实验室中实现了基于 Linux 的 iSCSI 目标，LUKS/dm-crypt- 具有您描述功能的加密磁盘 - 启动时，需要提供密钥来解锁加密插槽。
相比自加密驱动器方法多家存储供应商（包括 MikeyB 指出的 LSI 和 IBM）都采用了该技术，其优势在于在数据发送到控制器之前对其进行加密，从而也涵盖了可能的电磁辐射窃听场景。但它的明显缺点是自制且不受支持。基于 Sun/Oracle Solaris 的存储理论上允许使用 Zfs 加密功能进行类似的设置 - 值得询问这是否是一种受支持的场景。