Daten in App ID schützen

Damit Sie sicherstellen können, dass Ihre Daten bei der Verwendung von IBM Cloud® App ID sicher verwaltet werden, ist es wichtig, genau darüber informiert zu sein, welche Daten gespeichert und verschlüsselt werden und wie gespeicherte personenbezogene Daten gelöscht werden können.

Speichern und Verschlüsseln von Daten in App ID

App ID speichert und verschlüsselt die Attribute von Benutzerprofilen. Als Multi-Tenant-Service verfügt jeder Tenant über einen festgelegten Verschlüsselungsschlüssel und Benutzerdaten in jedem Tenant werden nur mit dem Schlüssel dieses Tenants verschlüsselt. App ID stellt sicher, dass private Informationen verschlüsselt werden, bevor sie gespeichert werden.

Durch die Integration eines Schlüsselverwaltungsdienstes (KMS) können Sie die Verschlüsselung Ihrer Daten im Ruhezustand (wenn sie gespeichert sind) noch besser kontrollieren. Die Daten, die Sie in IBM Cloud speichern werden im Ruhezustand mithilfe der Umschlagverschlüsselung verschlüsselt. Wenn Sie die Verschlüsselungsschlüssel steuern müssen, können Sie Key Protect oder Hyper Protect Crypto Services integrieren. Dieser Prozess wird allgemein als "Bring Your Own Key" (BYOK) bezeichnet. Mit Key Protect und Hyper Protect Crypto Services können Sie Verschlüsselungsschlüssel erstellen, importieren und verwalten. Sie können den Schlüsseln Zugriffsrichtlinien zuordnen, den Schlüsseln Benutzer oder Service-IDs zuordnen oder den Schlüsselzugriff nur einem bestimmten Service erteilen.

Eigene Schlüssel verwalten

App ID verwendet Envelope-Verschlüsselung, um sowohl vom Provider verwaltete als auch vom Kunden verwaltete Schlüssel zu implementieren. Umschlagverschlüsselung bedeutet, dass Verschlüsselungsschlüssel mit einem anderen Verschlüsselungsschlüssel verschlüsselt wird. Der Schlüssel, der zur Verschlüsselung der tatsächlichen Daten verwendet wird, wird als "Datenverschlüsselungsschlüssel" (Data Encryption Key, DEK) bezeichnet. Der Schlüssel zur Datenverschlüsselung (DEK) selbst wird nie gespeichert, sondern er wird von einem zweiten Schlüssel, der als Schlüssel zur Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK) bezeichnet wird, eingeschlossen, um so einen eingeschlossenen DEK zu erzeugen. Um Daten zu entschlüsseln, wird der Umschlag des eingeschlossene DEK entfernt. Dieser Prozess ist nur durch den Zugriff auf den KEK möglich, der in diesem Fall Ihr Rootschlüssel ist, der in Ihrem KMS gespeichert ist. Key Protect -Schlüssel werden durch nach FIPS 140-2 Level 3 zertifizierte cloudbasierte Hardwaresicherheitsmodule (HSMs) und Hyper Protect Crypto Services -Schlüssel durch nach FIPS 140-2 Level 4 zertifizierte cloudbasierte HSMs geschützt.

Vom Kunden verwaltete Schlüssel für App ID durch Verwendung von Key Protect aktivieren

Wenn Sie wählen, mit einem Schlüssel zu arbeiten, den Sie verwalten, müssen Sie sicherstellen, dass dem App ID-Service eine gültige IAM-Autorisierung zugewiesen ist.

  1. Erstellen Sie eine Key Protect-Instanz.
  2. Generieren oder importieren Sie Ihren eigenen Rootschlüssel für Ihre Instanz von Key Protect. Wenn Sie Key Protect zum Erstellen eines Rootschlüssels verwenden, generiert der Service kryptographisches Schlüsselmaterial mit Root in cloudbasierten HSMs. Stellen Sie sicher, dass der Name des Schlüssels keine personenbezogenen Daten, wie z. B. Ihren Namen oder Standort, enthält.
  3. Erteilen Sie Key Protect die Berechtigung für den Servicezugriff. Sie müssen der Kontoeigner oder ein Administrator für die Instanz von Key Protectsein, mit der Sie arbeiten. Außerdem müssen Sie mindestens über Anzeigeberechtigten-Zugriff für den App ID-Service verfügen.
    1. Rufen Sie Verwalten > Zugriff (IAM) > Autorisierungen auf.
    2. Erstellen Sie eine Autorisierung, um den Zugriff auf Key Protectzuzulassen.
    3. Wählen Sie das Quellenkonto aus.
    4. Wählen Sie App ID als Ihren Quelldienst.
    5. Wählen Sie Key Protectals Zielservice aus.
    6. Geben Sie den Geltungsbereich des Zugriffs an.
    7. Weisen Sie die Rolle eines Leseberechtigten zu.
    8. Klicken Sie auf Autorisieren.
  4. Erstellen Sie eine Instanz des App ID-Service.
    1. Wählen Sie Ihre Key Protect-Instanz aus.
    2. Wählen Sie den Rootschlüssel aus, den Sie zuvor autorisiert haben.
    3. Klicken Sie auf Erstellen.

Die Integration mit Key Protect wird nur für Instanzen unterstützt, die mit public-and-private Service-Endpunkten konfiguriert sind. Instanzen, die mit ausschließlich privaten Dienstendpunkten konfiguriert sind, werden nicht unterstützt.

App ID unterstützt Statusänderungen an Ihrem Schlüssel.

Schlüssel rotieren

Wenn Sie Ihren KEK rotieren, schließt App ID die dem rotierten Schlüssel zugehörigen Schlüssel erneut ein und stellt damit sicher, dass Ihre Benutzerdaten immer mit Ihrem aktuellen Verschlüsselungsschlüssel geschützt sind.

Schlüssel löschen

Wenn Sie Ihren KEK löschen, werden die Benutzerdaten innerhalb von 4 Stunden nach Löschung nicht mehr zugänglich. Auch wenn die Benutzerdaten durch die Löschung eines Schlüssels nicht selbst gelöscht werden, kann App ID die Benutzerdaten nicht mehr verschlüsseln, wodurch kein Zugriff auf sie mehr möglich ist.

Vom Kunden verwaltete Schlüssel für App ID durch Verwendung von Hyper Protect Crypto Services aktivieren

Wenn Sie wählen, mit einem Schlüssel zu arbeiten, den Sie verwalten, müssen Sie sicherstellen, dass dem App ID-Service eine gültige IAM-Autorisierung zugewiesen ist.

  1. Erstellen Sie eine Instanz von Hyper Protect Crypto Services.
  2. Initialisieren Sie die Instanz, indem Sie einen Hauptschlüssel von Smartcards oder von Ihrer Workstation laden.
  3. Generieren oder importieren Sie Ihren eigenen Rootschlüssel in Ihre Hyper Protect Crypto Services-Instanz. Wenn Sie Hyper Protect Crypto Services zum Erstellen eines Rootschlüssels verwenden, generiert der Service kryptographisches Schlüsselmaterial mit Root in cloudbasierten HSMs. Stellen Sie sicher, dass der Name des Schlüssels keine personenbezogenen Daten, wie z. B. Ihren Namen oder Standort, enthält.
  4. Erteilen Sie dem Service Zugriff auf Hyper Protect Crypto Services. Sie müssen der Kontoeigner oder ein Administrator für die Instanz von Hyper Protect Crypto Servicessein, mit der Sie arbeiten. Außerdem müssen Sie mindestens über Anzeigeberechtigten-Zugriff für den App ID-Service verfügen.
    1. Rufen Sie Verwalten > Zugriff (IAM) > Autorisierungen auf.
    2. Erstellen Sie eine Autorisierung, um den Zugriff auf Key Protectzuzulassen.
    3. Wählen Sie das Quellenkonto aus.
    4. Wählen Sie App ID als Ihren Quelldienst.
    5. Wählen Sie Hyper Protect Crypto Servicesals Zielservice aus.
    6. Geben Sie den Geltungsbereich des Zugriffs an.
    7. Weisen Sie die Rolle eines Leseberechtigten zu.
    8. Klicken Sie auf Autorisieren.
  5. Erstellen Sie eine Instanz des App ID-Service.
    1. Wählen Sie Ihre Hyper Protect Crypto Services-Instanz aus.
    2. Wählen Sie den Rootschlüssel aus, den Sie zuvor autorisiert haben.
    3. Klicken Sie auf Erstellen.

Die Integration mit Hyper Protect Crypto Services wird nur für Instanzen unterstützt, die mit public-and-private Service-Endpunkten konfiguriert sind. Instanzen, die mit ausschließlich privaten Dienstendpunkten konfiguriert sind, werden nicht unterstützt.

App ID unterstützt Statusänderungen an Ihrem Schlüssel.

Schlüssel rotieren

Wenn Sie Ihre KEK rotieren, führt App ID ein erneutes Wrapping der DEKs durch, die dem rotierten Schlüssel zugeordnet sind, und stellt sicher, dass Ihre Benutzerdaten immer mit Ihrem aktuellen Verschlüsselungsschlüssel geschützt werden.

Schlüssel löschen

Wenn Sie Ihren KEK löschen, werden die Benutzerdaten innerhalb von 4 Stunden nach Löschung nicht mehr zugänglich. Auch wenn die Benutzerdaten durch die Löschung eines Schlüssels nicht selbst gelöscht werden, kann App ID die Benutzerdaten nicht mehr verschlüsseln, wodurch kein Zugriff auf sie mehr möglich ist.

Daten in App ID löschen

Wenn Sie eine Instanz von App IDlöschen, werden auch alle benutzerzugeordneten Daten gelöscht. Wenn die Serviceinstanz gelöscht wird, beginnt ein Wiederherstellungszeitraum von 7 Tagen. Während dieser Zeit können Sie die Instanz und alle benutzerzugeordneten Daten wiederherstellen. Wenn die Instanz und die Daten permanent gelöscht werden, können sie nicht wiederhergestellt werden. App ID speichert keine Daten aus permanent gelöschten Instanzen.

In der Datenaufbewahrungsrichtlinie von App ID wird beschrieben, wie lange Ihre Daten nach dem Löschen des Service gespeichert werden. Die Datenaufbewahrungsrichtlinie ist in der App ID-Servicebeschreibung unter IBM Cloud - Bedingungen und Bemerkungen enthalten.

Instanz löschen

Wenn Sie eine Instanz von App ID nicht mehr benötigen, können Sie die Serviceinstanz und alle zugehörigen gespeicherten Daten löschen. Sie können auch auswählen, dass Ihre Serviceinstanz über die Konsole gelöscht wird.

  1. Löschen Sie den Service und versetzen Sie ihn in den Wiederherstellungszeitraum von 7 Tagen.

    ibmcloud resource service-instance-delete <serviceName>

  2. Optional: Um Ihre Instanz permanent zu löschen, rufen Sie die Wiederherstellung-ID ab.

    ibmcloud resource reclamations --resource-instance-id <tenantID>

    Auch wenn Sie die Instanz nicht permanent löschen, werden die Instanz und die zugehörigen Daten am Ende des Wiederherstellungszeitraums von 7 Tagen gelöscht.

  3. Optional: Löschen Sie die Wiederherstellungsinstanz dauerhaft.

    ibmcloud resource reclamation-delete <reclamationId>

    Wenn die Instanz permanent gelöscht wird, können Sie Ihre Daten nicht wiederherstellen.

Gelöschte Instanz wiederherstellen

Wenn Sie Ihre Instanz nicht dauerhaft gelöscht haben, können Sie sie während des Wiederherstellungszeitraums zurückschreiben.

  1. Rufen Sie die Wiederherstellungs-ID ab.

    ibmcloud resource reclamations --resource-instance-id <tenantID>

  2. Stellen Sie die Serviceinstanz wieder her.

    ibmcloud resource reclamation-restore <reclamationID>