IBM Cloud Présentation de Cyber Vault

IBM Cloud Cyber Vault est en version bêta. Cette nouvelle solution est proposée sous forme d'offre bêta et est disponible exclusivement à des fins d'évaluation et de test pendant une durée limitée. Aucune garantie, aucun accord de niveau de service (SLA) ni aucune assistance ne sont fournis, et les produits en version bêta ne sont pas destinés à une utilisation en production. Veuillez consulter les conditions d'utilisation d' IBM avant d'utiliser cette solution. N’utilisez pas IBM Cloud Cyber Vault pour les charges de travail en production pendant la période bêta.

IBM Cloud Cyber Vault est une solution de stockage gérée, isolée physiquement (air-gapped) et de type S3-compatible, qui offre un stockage d'objets immuable et isolé pour la protection des données d'entreprise. Cyber Vault est conçu pour protéger les données critiques contre les ransomwares, les suppressions accidentelles et les menaces internes en combinant la conservation en mode conformité d’Object Lock, le chiffrement, les restrictions d’accès basées sur l’identité, l’isolation réseau, l’accès en écriture limité dans le temps et des paires d’identifiants HMAC provisionnées automatiquement au sein d’une seule ressource de coffre-fort provisionnée.

Qu'est-ce qu' IBM Cloud Cyber Vault?

IBM Cloud Cyber Vault est une solution de stockage gérée compatible avec l’ S3, qui s’appuie sur les primitives COS ( IBM ) et OCS ( IBM Cloud ) et offre une isolation physique virtuelle, l’immuabilité grâce à Object Lock, un chiffrement avec des clés gérées conformes à la norme FIPS 140-2 niveau 3, ainsi qu’une géo-redondance intégrée.

Lorsque vous créez un Cyber Vault, le service configure automatiquement un compartiment COS sécurisé auquel s'appliquent les protections suivantes :

  • La conservation en mode Compliance d’Object Lock garantit que chaque objet écrit dans le coffre-fort est verrouillé et ne peut être ni supprimé ni écrasé avant l’expiration de sa période de conservation. Cette protection ne peut être contournée par aucun utilisateur ni administrateur, y compris les utilisateurs root.
  • Le chiffrement protège toutes les données au repos. IBM gère et renouvelle les clés utilisées pour chiffrer les données du coffre-fort.
  • Restrictions IAM: Cyber Vault est provisionné avec des identifiants HMAC dédiés, dont le champ d'application est défini séparément pour les workflows de lecture et d'écriture. Chaque jeu d'identifiants accorde l'ensemble minimal d'autorisations requis pour son workflow, conformément à un modèle d'accès basé sur le principe du privilège minimal.
  • L'accès en écriture avec plage horaire limite, en option, les écritures dans le coffre-fort à une plage horaire quotidienne définie, garantissant ainsi que les données ne peuvent être écrites que pendant les heures autorisées.
  • Les restrictions basées sur le contexte (CBR) limitent l'accès au coffre-fort à des zones réseau spécifiques, à des CRN VPC ou à des plages CIDR d'adresses IP privées, garantissant ainsi une isolation au niveau du réseau.
  • Les contrôles d'accès en lecture limitent les opérations de lecture aux identités explicitement autorisées, ce qui renforce le principe du moindre privilège tout au long du cycle de vie des données.

Ensemble, ces contrôles mettent en œuvre un modèle d'air gap vérifié et défini par logiciel qui protège les données de sauvegarde et d'archivage contre les ransomwares, l'exfiltration et toute modification non autorisée.

Principales fonctionnalités et capacités

Conservation des objets verrouillés en mode conformité
Chaque objet stocké dans un Cyber Vault se voit automatiquement attribuer un verrou de conservation WORM (Write Once, Read Many) en mode conformité. Les objets ne peuvent être ni supprimés ni modifiés avant l'expiration de la période de conservation configurée. Cela s'applique à tous les nouveaux objets, quel que soit le rôle IAM du demandeur. La durée de conservation par défaut est configurable lors de la création, de 0 à 3 650 jours. La configuration de cette option n'applique 0 aucun verrouillage de conservation automatique, ce qui permet au logiciel de sauvegarde de gérer la conservation par objet directement via l'API Object Lock d' S3.
Chiffrement
Toutes les données stockées dans le coffre-fort sont chiffrées au repos à l'aide d' AES-256. IBM crée et renouvelle automatiquement les clés de chiffrement protégées par des modules HSM certifiés FIPS 140-2 niveau 3.
Paires d'identifiants HMAC à portée limitée
Lorsqu'un coffre-fort est créé, deux paires d'identifiants HMAC à portée limitée sont automatiquement fournies : une clé d'écriture destinée aux agents de sauvegarde, et une clé de lecture destinée aux opérations de restauration et à la vérification d'audit. Les identifiants s'affichent de manière sécurisée pendant une durée limitée lorsqu'ils sont consultés.
Accès en écriture avec fenêtre temporelle
Lorsque enableTimeWindows est défini sur true, l’accès en écriture au coffre-fort est limité à une plage horaire quotidienne définie par accessStartTime et ( accessEndTime au format HH:MM, horloge de 24 heures). Les écritures en dehors de cette fenêtre sont rejetées, ce qui permet aux organisations de mettre en œuvre des calendriers d’ingestion stricts.
Restrictions basées sur le contexte (CBR)
La configuration cbrRestrictions limite l'accès au coffre-fort à des zones réseau spécifiées. Vous pouvez autoriser l'accès à partir de VPC de comptes spécifiques (par CRN de VPC) ou à partir de plages d'adresses IP privées CIDR (RFC 1918). Les points de terminaison publics peuvent être désactivés en imposant un accès réservé aux points de terminaison privés.
Configuration immuable
La configuration du coffre-fort est définitive et ne peut pas être modifiée après sa création. Vérifiez attentivement tous les paramètres avant le provisionnement. Aucune API de mise à jour n'est disponible dans la version bêta.
Provisionnement asynchrone
La création d'un coffre-fort est une opération asynchrone. L'API renvoie HTTP 202 Accepted avec un statut initial de provisioning. Vous pouvez interroger le point de terminaison d'état du coffre-fort pour déterminer quand celui-ci passe à l'état active.

Disponibilité régionale

IBM Cloud Cyber Vault est actuellement disponible dans la région suivante :

IBM Cloud Disponibilité régionale de Cyber Vault
Région Emplacement Noeud final d'API
us-south Dallas, Etats-Unis https://solutions.private.cloud-object-storage.cloud.ibm.com/v1

La prise en charge de régions supplémentaires d' IBM Cloud sera activée dans une prochaine version. Toutes les requêtes API Vault doivent cerner us-south à l’heure actuelle. Toute tentative de spécification d'une autre valeur pour le champ region dans une requête de création renvoie une erreur 400 Bad Request.

Toutes les données du coffre-fort ne sont accessibles que via des points de terminaison privés et directs S3. Aucun point de terminaison public n'est exposé pour les compartiments Cyber Vault.

Prérequis

Avant de créer un Cyber Vault dans l' IBM Cloud, assurez-vous de disposer des éléments suivants :

  • Un compte IBM Cloud actif permettant de créer des ressources IBM Cloud.
  • Un compte existant ( IBM Cloud Object Storage instance formule Standard) dans la région us-south, ou les autorisations IAM nécessaires pour que le service Cyber Vault en crée un en votre nom si aucun compte n'est cosInstanceId fourni.
  • Autorisations IAM:
    • Pour afficher la liste de tous les Cyber Vaults dans l'interface utilisateur, vous devez disposer du rôle Cyber Vault Reader au niveau du compte.
    • Pour créer un Cyber Vault avec provisionnement automatique des identifiants HMAC, vous devez disposer du rôle Cyber Vault Manager au niveau du compte et du rôle Éditeur ou Administrateur sur l'instance cible d' IBM Cloud Object Storage.
  • Informations relatives au VPC ou à la zone réseau : les CRN des VPC ou les plages CIDR d'adresses IP privées à partir desquelles l'accès au coffre-fort sera effectué. L'isolation réseau est requise pour toutes les demandes de création de coffre-fort.

États des coffres-forts

Le tableau suivant décrit les états possibles d’un coffre-fort pendant et après le provisionnement.

États de Cyber Vault
Statut Signification
provisioning Le coffre-fort est en cours de configuration. Les identifiants et les points de terminaison ne sont pas encore disponibles.
active Le coffre-fort est prêt. S3 Les points de terminaison, les identifiants HMAC et toutes les politiques de sécurité sont actifs.
failed Une erreur s'est produite lors de la mise en service. Un message d'erreur figure dans les détails du coffre-fort.
deleting La suppression du coffre-fort a été lancée.

Fonctionnement de Cyber Vault

Le processus de bout en bout suivant décrit comment Cyber Vault d' IBM Cloud protège vos données :

  1. Provisionnement: vous créez un Cyber Vault en spécifiant votre instance d' IBM Cloud Object Storage, votre région, votre configuration de conservation, vos paramètres de chiffrement et vos contrôles d'accès. Le service IBM Cloud Object Storage met à disposition un compartiment IBM Cloud Object Storage dédié, sur lequel toutes les mesures de protection sont appliquées automatiquement. Deux paires d'identifiants HMAC (écriture et lecture) sont générées à ce stade.

  2. Ingestion des données (fenêtre d'écriture): les identités d'écriture autorisées — agents de sauvegarde utilisant la clé HMAC d'écriture provisionnée — écrivent les données dans le coffre-fort pendant la fenêtre temporelle autorisée (si cette fonctionnalité est enableTimeWindows activée). Chaque objet se voit attribuer une balise de conservation Object Lock en mode conformité dès son écriture.

  3. Application de l'immuabilité: une fois créé, aucun utilisateur — y compris les administrateurs de compte ou le propriétaire du coffre-fort — ne peut supprimer ou modifier l'objet verrouillé avant l'expiration de sa période de conservation. Cette règle est imposée par le mode de conformité Object Lock d' IBM Cloud Object Storage et ne peut pas être contournée.

  4. Isolation du réseau: les règles CBR permettent de garantir que le trafic du coffre-fort transite uniquement par des VPC ou des réseaux privés autorisés. Seuls les points de terminaison privés et directs sont disponibles; aucun point de terminaison public n'est exposé.

  5. Récupération: les identités de lecture autorisées utilisent la clé HMAC de lecture provisionnée pour accéder aux données du coffre-fort via le point de terminaison privé ou direct de ce dernier. L'accès en lecture n'est pas limité dans le temps; il est contrôlé uniquement par la configuration readIdentities.

  6. Cycle de vie: les objets sont automatiquement déverrouillés à l'expiration de leur période de conservation, après quoi ils peuvent être supprimés dans le cadre de la gestion standard du cycle de vie. Vous ne pouvez pas supprimer un coffre-fort qui contient encore des objets verrouillés.

Etapes suivantes