¿Cómo utilizar el cliente KMIP para administrar las claves de forma segura?
Última fecha de modificación:
2025-06-09
Productos aplicables
- Cliente KMIP
- QuTS hero h5.3.0 o versiones posteriores
Acerca de cliente KMIP
Cliente KMIP permite a su NAS almacenar y recuperar de forma segura claves de cifrado para las funciones de almacenamiento conectando con un servidor KMIP (Key Management Interoperability Protocol, Protocolo de interoperabilidad de gestión de claves). Al actuar como agente, Cliente KMIP gestiona la comunicación entre servidor KMIP conectado y las funciones de almacenamiento del NAS, como carpetas compartidas cifradas y LUN cifradas.
Cliente KMIP admite una conexión uno a uno, que permite que cada NAS se conecte a único servidor KMIP cada vez. Una vez configurada, proporciona una gestión de claves de cifrado centralizada, segura y conforme a la normativa para las funciones de almacenamiento, lo que garantiza la integridad y accesibilidad de los datos cifrados.
Características de Cliente KMIP
- Almacene y gestione las claves de cifrado de forma remota en un servidor KMIP, lo que minimiza el riesgo de acceso no autorizado o pérdida de claves en el nivel del NAS.
- Automatice la recuperación y aplicación de claves de cifrado para carpetas compartidas y LUN, mejorando así la seguridad y la experiencia de usuario.
- Se puede integrar con un Sistema de gestión de claves (KMS) para cumplir los estándares de seguridad y cumplimiento de nivel empresarial para el cifrado del almacenamiento.
- Mantenga el acceso a las carpetas compartidas y LUN cifradas incluso después de que se reinicie el sistema, siempre y cuando Cliente KMIP y el servidor se mantengan operativos.
Instalar y configurar Cliente KMIP
Instale el Cliente KMIP para habilitar los servicios de gestión de claves de cifrado y configúrelo para establecer una comunicación segura con un servidor KMIP remoto.
Requisitos previos
- Inicie sesión en el NAS como administrador.
- Compruebe que su NAS tiene instalado QuTS hero h5.3.0 o una versión posterior.
- Confirme que se ha configurado un Sistema de gestión de claves (KMS) compatible con KMIP y que está listo para conectar con el NAS.
- Configure el KMS de acuerdo con las instrucciones del fabricante y asegúrese de que está habilitada la comunicación con KMIP a través del puerto adecuado, normalmente el puerto 5696, salvo que el fabricante de KMS especifique otra cosa. Este puerto se utiliza para la comunicación TLS mutua (mTLS) entre Cliente KMIP y el servidor KMIP.
- Cree o importe los certificados necesarios en el servidor KMIP.
Instalar Cliente KMIP
- Inicie sesión en el NAS como administrador.
- Abra el App Center.
- Localice la aplicación buscando
KMIP Clienten el campo de búsqueda. - Haga clic en Cliente KMIP.
- Seleccione la frecuencia de actualización de la aplicación.
- Haga clic en Instalar.
El App Center instalará Cliente KMIP en el dispositivo.
Acceso a Cliente KMIP
Puede acceder a la configuración de Cliente KMIP a través de las siguientes opciones:
- Panel de control > Sistema > Seguridad > KMIP.
- Abra la aplicación Cliente KMIP, que le redirige a la página de configuración de KMIP en el Panel de control.
Gestión de certificados de Cliente KMIP
Puede gestionar el certificado de Cliente KMIP para garantizar una comunicación segura y autenticada entre su NAS y un servidor KMIP remoto. Los certificados son necesarios para verificar la identidad de ambos dispositivos y cifrar los datos que se intercambien a través de la red. Puede generar un nuevo certificado en su NAS para este fin o bien importar un certificado existente desde su dispositivo local. Además, puede ver detalles del certificado como el estado, la fecha de caducidad y la autoridad emisora, y realizar acciones como la sustitución, descarga o eliminación de certificados para garantizar una conexión segura e ininterrumpida de cliente KMIP.
Generar un nuevo certificado de Cliente KMIP
- Abra Cliente KMIP.
La aplicación le redirigirá a la página de KMIP en el Panel de control. - Haga clic en Añadir, bajo Certificado de cliente de KMIP.
Aparecerá la ventana Añadir certificado de cliente de KMIP.
- Seleccione Generar nuevo certificado.
- Haga clic en Añadir.
El sistema generará un nuevo certificado de KMIP.
Importar un certificado personalizado
- Abra Cliente KMIP.
La aplicación le redirigirá a la página de KMIP en el Panel de control. - Haga clic en Añadir, bajo Certificado de cliente de KMIP.
Aparecerá la ventana Añadir certificado de cliente de KMIP. - Seleccione Importar certificado.
- En la sección de gestión de certificados, haga clic en Examinar junto a cada campo:
- Certificado: seleccione el archivo de certificado
.pem. - Clave privada: seleccione el archivo de clave privada
.keycorrespondiente. - Certificado intermedio (opcional): en caso aplicable, seleccione el archivo de certificado
.pemintermedio.
- Certificado: seleccione el archivo de certificado
- En cada caso, localice el archivo adecuado en el cuadro de diálogo de selección de archivo y haga clic en Abrir o en la opción equivalente para confirmar la selección.
- Haga clic en Añadir.
El sistema importará y añadirá el certificado KMIP.
Gestionar certificados
- Abra Cliente KMIP.
La aplicación le redirigirá a la página de KMIP en el Panel de control. - Puede realizar cualquiera de las siguientes tareas.
Tarea Descripción Acción Ver el estado del certificado Compruebe el estado actual y la fecha de caducidad del certificado instalado. Bajo Certificado de cliente de KMIP, vea el estado y la fecha de caducidad. Sustituir el certificado Cargue un nuevo certificado para actualizar el existente. - Bajo Certificado de cliente de KMIP, haga clic en Sustituir.
Aparecerá la ventana Sustituir certificado de cliente de KMIP. - Seleccione Generar certificado o Importar certificado.
Para obtener información detallada sobre cómo importar un certificado de Cliente KMIP, consulte "Importar un certificado personalizado". - Haga clic en Sustituir.
Descargar el certificado Guarde una copia del certificado actual en su dispositivo. - Bajo Certificado de cliente de KMIP, haga clic en Descargar.
- Seleccione uno o varios archivos para descargar.
- Haga clic en Descargar.
Eliminar el certificado Elimine el certificado instalado del sistema. - Bajo Certificado de cliente de KMIP, haga clic en Eliminar.
Aparecerá la ventana de confirmación de eliminación. - Haga clic en Sí.
Cliente KMIP realizará la acción especificada. - Bajo Certificado de cliente de KMIP, haga clic en Sustituir.
Configurar y administrar las conexiones del servidor KMIP
Para garantizar una comunicación segura entre su NAS y un servidor KMIP remoto, puede configurar y administrar la configuración de la conexión de Cliente KMIP. Esto permite al sistema gestionar de forma segura las claves de cifrado a través del protocolo KMIP. El proceso de configuración incluye la activación o desactivación de Cliente KMIP, así como la configuración, edición y comprobación de la conexión entre el NAS y el servidor KMIP. Además, puede borrar la configuración de la conexión del servidor KMIP cuando sea necesario para garantizar que su configuración de seguridad se mantiene actualizada.
Importante
- La conexión no se puede guardar si el servidor está sin conexión, se encuentra inaccesible o no se está ejecutando en un servicio KMIP. Compruebe la dirección del servidor, el puerto (predeterminado: 5696) y asegúrese de que los servicios KMIP están habilitados.
- Tanto el NAS como el servidor KMIP deben tener instalados certificados válidos y no caducados. La conexión fallará si el certificado del servidor o del cliente falta, no es válido o está caducado.
- La autenticación fallará si el certificado del cliente o la configuración del servidor están mal configurados. Compruebe las credenciales del cliente, las asignaciones de certificado y la configuración de autenticación en ambos dispositivos antes de intentar la conexión.
Ajustar la configuración de la conexión del servidor KMIP
- Abra Cliente KMIP.
La aplicación le redirigirá a la página de KMIP en el Panel de control. - Haga clic en Asistente de configuración.
Se abrirá la ventana Configuración de la conexión del servidor KMIP.
- Introduzca el nombre de host o la dirección IP del servidor KMIP.
- Defina el número de puerto para las conexiones del servidor KMIP utilizando la comunicación TLS mutua. El puerto predeterminado es 5696.
- Introduzca una etiqueta identificable para el servidor KMIP que contenga entre 0-50 caracteres.
- Seleccione un certificado CA de confianza para autenticar la identidad del servidor KMIP durante la conexión.NotaEsto es necesario si el servidor utiliza un certificado autofirmado que no haya sido emitido por una autoridad de certificación de confianza.
- Haga clic en Conectar.
Aparecerá la ventana Confiar en el certificado del servidor de KMIP. - NotaPara volver a configurar la conexión del servidor KMIP, haga clic en Editar en la sección del servidor KMIP.
- Revise los detalles del certificado y luego haga clic en Confiar.
Habilitar o deshabilitar el servicio de Cliente KMIP
Probar la conectividad del servidor KMIP
- Abra Cliente KMIP.
La aplicación le redirigirá a la página de KMIP en el Panel de control. - Haga clic en Probar conexión en la sección del servidor KMIP.
El sistema iniciará una prueba de conexión entre el cliente y el servidor KMIP, y se actualizará el campo de Última conexión con el último resultado.
Restablecer la configuración de la conexión del servidor KMIP
Importante
Al restablecer la configuración de la conexión del servidor KMIP, el dispositivo no podrá acceder a ninguna clave de cifrado que se haya almacenado previamente en el servidor KMIP configurado. Antes de continuar, asegúrese de que se ha hecho una copia de seguridad o se han migrado todas las claves necesarias.
- Abra Cliente KMIP.
La aplicación le redirigirá a la página de KMIP en el Panel de control. - Haga clic en Restablecer en la sección del servidor KMIP.
Aparecerá un mensaje de confirmación. - Haga clic en Confirmar.
El sistema restablecerá la configuración de la conexión del servidor KMIP.
Casos de uso de Cliente KMIP con Administrador de almacenamiento
- Almacenar claves de cifrado para LUN y carpetas compartidas
- En la página Configuración global del Administrador de almacenamiento, habilite la opción Almacenar la clave de cifrado en el servidor KMIP para almacenar las claves de cifrado en el servidor KMIP. Esto requiere disponer de una conexión de Cliente KMIP activa. Cuando esta opción esté habilitada, las LUN y las carpetas compartidas cifradas podrán almacenar y recuperar las claves de cifrado a través de Cliente KMIP y desbloquearse automáticamente al iniciar el sistema mediante el servicio de KMIP. Para obtener más información, consulte "Configuración global de almacenamiento" en el capítulo "Administrador de almacenamiento" en la Guía del usuario de QuTS hero.
- En la página Configuración global del Administrador de almacenamiento, habilite la opción Almacenar la clave de cifrado en el servidor KMIP para almacenar las claves de cifrado en el servidor KMIP. Esto requiere disponer de una conexión de Cliente KMIP activa. Cuando esta opción esté habilitada, las LUN y las carpetas compartidas cifradas podrán almacenar y recuperar las claves de cifrado a través de Cliente KMIP y desbloquearse automáticamente al iniciar el sistema mediante el servicio de KMIP. Para obtener más información, consulte "Configuración global de almacenamiento" en el capítulo "Administrador de almacenamiento" en la Guía del usuario de QuTS hero.
- Eliminar automáticamente la clave de cifrado de KMIP almacenada al eliminar una carpeta compartida o LUN cifrada
- Si la opción Almacenar la clave de cifrado en el servidor KMIP está habilitada, cuando se elimine una carpeta compartida cifrada, se eliminará la clave de cifrado asociada del servidor KMIP.
- Desbloquear automáticamente una carpeta compartida o LUN cifrada al iniciar el sistema
- Cuando cree una nueva carpeta compartida o LUN cifrada, puede elegir si desbloquearla al iniciarla a través de KMIP. Si la conexión con el servidor KMIP está desactivada, se deshabilitará la opción Desbloquear con clave de cifrado almacenada en el servidor KMIP. Para obtener más información, consulte "Administrar el cifrado de LUN" o "Administrar el cifrado de carpetas compartidas" en el capítulo "Administrador de almacenamiento" en la Guía del usuario de QuTS hero.
- Cuando cree una nueva carpeta compartida o LUN cifrada, puede elegir si desbloquearla al iniciarla a través de KMIP. Si la conexión con el servidor KMIP está desactivada, se deshabilitará la opción Desbloquear con clave de cifrado almacenada en el servidor KMIP. Para obtener más información, consulte "Administrar el cifrado de LUN" o "Administrar el cifrado de carpetas compartidas" en el capítulo "Administrador de almacenamiento" en la Guía del usuario de QuTS hero.
Importante
- Para que estas funciones funcionen, debe estar habilitado Cliente KMIP en Panel de control > Seguridad y debe estar activada la configuración global en el Administrador de almacenamiento.
- Asegúrese de que la conexión entre Cliente KMIP y el servidor KMIP es estable para usar funciones como el almacenamiento de claves, el desbloqueo y la administración de cifrado.
- Cliente KMIP no se puede deshabilitar mientras cualquiera de las funciones de la aplicación estén utilizando servicios de KMIP.
- La configuración de la conexión del servidor KMIP solo se puede borrar después de deshabilitar Cliente KMIP. Una vez borrada, no podrán volver a utilizarse los registros de clave de cifrado asociados en el NAS.
- Al borrar la configuración de la conexión del servidor KMIP, las carpetas compartidas cifradas que antes almacenaban sus claves de cifrado en el servidor KMIP ya no podrán recuperar esas claves, incluso en el caso de que Cliente KMIP se vuelva a habilitar y conectar más tarde al mismo servidor KMIP.
