Creazione o aggiunta di una chiave in Hyper Protect Crypto Services

Vai alla tua istanza di Hyper Protect Crypto Services e genera o immetti una chiave.

Concessione dell'autorizzazione del servizio

Autorizza Hyper Protect Crypto Services per l'utilizzo con le distribuzioni Cloud Databases:

1. Apri il tuo dashboard IBM Cloud.
2. Dalla barra dei menu, fai clic su Gestisci > Accesso (IAM).
3. Nella navigazione laterale, fai clic su Autorizzazioni.
4. Fai clic su Crea.
5. Nel menu Servizio sorgente, selezionare il servizio dell'installazione client. Ad esempio, Databases for PostgreSQL o Messages for RabbitMQ
6. Nel menu Istanza di servizio sorgente, selezionare Tutte le istanze.
7. Nel menu del servizio Target, selezionare HPCS.
8. Selezionare o mantenere il valore predefinito Account come gruppo di risorse per il servizio di destinazione
9. Nel menu ID istanza servizio di destinazione, selezionare le istanze del servizio da autorizzare.
10. Abilita il ruolo Lettore.
11. Fai clic su Autorizza.

Se l'autorizzazione del servizio non è presente prima del provisioning dell'installazione client con una chiave, il provisioning non riesce.

Utilizzo del tasto HPCS

Una volta concessa alle tue distribuzioni Cloud Databases l'autorizzazione per utilizzare le tue chiavi, fornisci il nome chiave o il CRN quando esegui il provisioning di una distribuzione. La distribuzione utilizza la tua chiave di crittografia per crittografare i tuoi dati.

Se si esegue il provisioning dalla pagina del catalogo, selezionare l'istanza HPCS e la chiave dal menu a discesa.

Nella CLI, utilizzare il parametro disk_encryption_key_crn nell'oggetto JSON del parametro.

ibmcloud resource service-instance-create <INSTANCE_NAME> <SERVICE-NAME> standard us-south \
-p \ '{
  "disk_encryption_key_crn": "crn:v1:<...>:key:<id>"
}'

Nell'API, utilizzare il parametro disk-encryption-key nel corpo della richiesta.

curl -X POST \
  https://resource-controller.cloud.ibm.com/v2/resource_instances \
  -H 'Authorization: Bearer <>' \
  -H 'Content-Type: application/json' \
    -d '{
    "name": "my-instance",
    "target": "blue-us-south",
    "resource_group": "5g9f447903254bb58972a2f3f5a4c711",
    "resource_plan_id": "databases-for-x-standard",
    "disk_encryption_key_crn": "crn:v1:<...>:key:<id>"
  }'

Se si esegue il provisioning di un'installazione client tramite la CLI o l'API, la chiave HPCS deve essere identificata con il suo CRN completo, non solo con il suo ID. Un CRN HPCS ha il formato crn:v1:<...>:key:<id>.

Utilizzo della chiave HPCS per la crittografia del backup

Questa funzione è supportata solo nelle regioni eu-es e br-sao. La crittografia dei backup con HPCS in una singola regione rende i backup inaccessibili se la disponibilità di HPCS è interrotta in questa regione. L'esecuzione di un backup e il ripristino dai backup falliranno per il periodo in cui HPCS non è disponibile. Pertanto, la crittografia dei backup con HPCS non è consigliata. Utilizzare IBM® Key Protect per crittografare i backup.

Se il backup è stato crittografato con HPCS, crittografare anche il disco con HPCS.

Una volta concessa alle tue distribuzioni Cloud Databases l'autorizzazione per utilizzare le tue chiavi, fornisci il nome chiave o il CRN quando esegui il provisioning di una distribuzione. La distribuzione utilizza la tua chiave di crittografia per crittografare i tuoi dati.

Se si effettua il provisioning dal catalogo, selezionare l'istanza HPCS e la chiave dal menu a discesa.

Nella CLI, utilizzare il parametro backup_encryption_key_crn nell'oggetto JSON del parametro.

ibmcloud resource service-instance-create <INSTANCE_NAME> <SERVICE-NAME> standard eu-es \
-p \ '{
  "backup_encryption_key_crn": "crn:v1:<...>:key:<id>"
}'

Nell'API, utilizzare il parametro backup-encryption-key nel corpo della richiesta.

curl -X POST \
  https://resource-controller.cloud.ibm.com/v2/resource_instances \
  -H 'Authorization: Bearer <>' \
  -H 'Content-Type: application/json' \
    -d '{
    "name": "my-instance",
    "target": "blue-us-south",
    "resource_group": "5g9f447903254bb58972a2f3f5a4c711",
    "resource_plan_id": "databases-for-x-standard",
    "parameters": {
      "backup_encryption_key_crn": "crn:v1:<...>:key:<id>"
    }
  }'

Se si esegue il provisioning di un'installazione client tramite la CLI o l'API, la chiave HPCS deve essere identificata con il suo CRN completo, non solo con il suo ID. Un CRN HPCS ha il formato crn:v1:<...>:key:<id>.

Rotazione delle chiavi

HPCS offre la rotazione manuale e automatica rotazione dei tasti e la rotazione delle chiavi è supportata da Cloud Databases distribuzioni. Quando si ruota una chiave, il processo avvia un'attività di sincronizzazione dello stato KMS e l'installazione client viene crittografata nuovamente con la nuova chiave. L'attività viene visualizzata nel pannello Attività nella Panoramica dell'installazione e gli eventi HPCS e Cloud Databases associati vengono inviati ad Activity Tracker.

Eliminazione di una distribuzione

Se si elimina un'installazione client protetta da una chiave HPCS, l'installazione client rimane registrata rispetto alla chiave durante il periodo di cancellazione morbida (fino a 9 giorni). Se è necessario cancellare la chiave nel periodo di cancellazione morbida, è necessario forzare la cancellazione della chiave. Dopo il periodo di eliminazione temporanea, la chiave può essere eliminata senza forzatura. Puoi controllare l'associazione tra la chiave e la tua distribuzione per determinare quando puoi eliminare la chiave.

Eliminazione in modo crittografico

L'eliminazione in modo crittografico è un'azione distruttiva. Quando la chiave viene eliminata, i dati non sono più recuperabili.

Hyper Protect Crypto Services consente di forzare la cancellazione di una chiave utilizzata dai servizi IBM Cloud®, comprese le implementazioni Cloud Databases. Questa azione viene chiamata eliminazione in modo crittografico. L'eliminazione di una chiave in uso nell'installazione client blocca i dischi che contengono i dati e disabilita l'installazione client. È ancora possibile accedere all'interfaccia utente e ad alcuni metadati, come le impostazioni di sicurezza dell'interfaccia utente, della CLI e dell'API, ma non è possibile accedere ai database o ai dati in essi contenuti. La cancellazione della chiave viene inviata a Activity Tracker Event Routing come hs-crypto.secrets.delete.

Migrazione da Hyper Protect Crypto Services (HPCS) a Key Protect Dedicato (KP-ST)

Durante la migrazione da Hyper Protect Crypto Services (HPCS) a Key Protect Dedicated (KP-ST), si verifica quanto segue:

• Ogni istanza KMS mantiene le proprie chiavi radice uniche. La migrazione comporta la riassociazione del servizio con una nuova chiave root Key Protect Dedicated.
• Le chiavi di crittografia dei dati (DEK) esistenti vengono reimpacchettate in modo sicuro.
• Durante la transizione, le politiche di accesso Hyper Protect Crypto Services to Service e Key Protect to Service devono rimanere in vigore.
• I dati crittografati non vengono nuovamente crittografati o spostati.
• La disponibilità del servizio è mantenuta.