我想确保静态encryption在一个地方和正确的地方完成。 如果共享存储，这似乎是正确的地方，而不是DAS。
主要我想介绍一下无钥匙恢复硬盘的情况，SAN启动时需要密钥（应该是一件非常罕见的事情，不是一个痛苦，但也包括盗窃整个工具包和存储区的人的情况）。
要连接到SAN，您需要iSCSI（凭据）或位于FC交换机上。
这似乎将涵盖数据库和NAS案例。
这是对还是错？
存储子系统的某些型号支持全盘encryption，允许在磁盘上rest时对数据进行encryption。 encryption密钥存储在子系统控制器或外部中央存储上。
我熟悉的是IBM的DS5000 / DS8000系列。 DS5000控制器为每个驱动器存储单独的安全密钥 – 需要移除整个控制器和驱动器才能访问数据。 可能不是大多数公司在风险分析中应该担心的事情。
除此之外，DS8000体系结构使用外部密钥服务器来存储所有的驱动器encryption密钥。 这个模型给出了你所要求的 – 你可以设置它来需要一个密码来解锁中央主密钥库，但是使用它的存储子系统/磁带库可以进行身份validation并且无需干预就可以访问他们的encryption密钥。
您可以在这里阅读有关IBM技术的更多信息。
我们已经使用LUKS / dm-crypt -encrypted磁盘完成了一些基于Linux的iSCSI目标的实验实现，并且具有您所描述的function – 启动时，需要提供解锁encryption插槽的密钥。
与MikeyB指出的几个存储厂商（包括LSI和IBM）采用的自encryption驱动方法相比，它具有在将数据发送给控制器之前对数据进行encryption的优点，因此也覆盖了可能的电磁发射窃听场景。 它有自制和不受支持的明显缺点。 基于Sun / Oracle Solaris的存储在理论上允许使用Zfsencryptionfunction进行类似的设置 – 值得询问是否支持这种情况。
物理安全性要比encryption整个SAN 容易得多，更不用说恒定encryption的性能问题了（或者SAN吞吐量的硬件成本接近透明性）。