Étape 1 : Remplacer le secret HPCS par une configuration Key Protect

1. Créez un nouveau fichier de configuration KMS pour votre instance Key Protect. Enregistrez le fichier suivant sous target-kp-config.yaml. Veillez à remplacer les valeurs de remplacement par les détails de votre instance Key Protect.

   apiVersion: v1
   kind: Secret
   metadata:
     name: <kms-config-name>
     namespace: <namespace>
   stringData:
     config: |-
       {
         "api_key":"<your-api-key>",
         "iam_endpoint":"https://iam.cloud.ibm.com",
         "key_protect_endpoint":"https://<region>.api.<region>.kms.appdomain.cloud",
         "instance_id":"<kp-instance-id>",
         "root_key_id":"<kp-root-key-id>"
       }
   type: ibm.io/kms-config
   

   Valeurs

   • <kms-config-name>: Le nom de votre secret de configuration HPCS KMS existant.
   • <namespace>: L'espace de noms dans lequel se trouve le secret.
   • <your-api-key>: Une clé API permettant d'accéder à votre instance Key Protect.
   • <region>: La région où se trouve votre instance Key Protect.
   • <kp-instance-id>: L'identifiant de votre instance d' Key Protect.
   • <kp-root-key-id>: L'ID de la clé racine que vous avez créée à l'adresse Key Protect.

2. Supprimer le secret de configuration HPCS KMS existant.

   kubectl delete secret <kms-config-name> -n <namespace>
   

3. Créez le nouveau secret de configuration Key Protect.

   kubectl create -f target-kp-config.yaml
   

Étape 2 : Mise à jour des clés de cryptage PVC à utiliser Key Protect

Pour chaque PVC crypté qui doit être migré, suivez les étapes suivantes pour déballer la clé de cryptage des données (DEK) de HPCS et la remballer avec Key Protect.

1. Configurez le CLI Key Protect pour qu'il pointe vers votre instance HPCS.

   export KP_PRIVATE_ADDR=https://<hpcs-instance-id>.api.<region>.hs-crypto.appdomain.cloud
   export KP_INSTANCE_ID=<hpcs-instance-id>
   export ROOT_KEY_ID=<hpcs-root-key-id>
   

2. Récupérer la DEK enveloppée (WDEK) du PVC crypté.

   1. Trouvez le secret DEK pour votre PVC.

       kubectl get secrets -n ibm-block-secrets --field-selector type=ibm.io/dek-secret | grep <pv-name>
       ```
   2. Extraire la DEK enveloppée du secret.
   
   ```sh {: pre}
       kubectl get secrets -n ibm-block-secrets <pv-secret-name> -o yaml | grep wrappedDEK | awk '{print $2}' | base64 --decode
       ```
   

3. Déballer la DEK enveloppée à l'aide de la clé racine HPCS. Sauvegarder la DEK non enveloppée de la sortie.

   ibmcloud kp key unwrap $ROOT_KEY_ID <wrapped-dek>
   

4. Configurez le CLI Key Protect pour qu'il pointe vers votre instance Key Protect.

   Utilisez une fenêtre de terminal séparée pour éviter de basculer accidentellement entre les configurations HPCS et Key Protect.

   export KP_PRIVATE_ADDR=https://<kp-instance-id>.api.<region>.kms.appdomain.cloud
   export KP_INSTANCE_ID=<kp-instance-id>
   export ROOT_KEY_ID=<kp-root-key-id>
   

5. Remballez la DEK à l'aide de la clé racine Key Protect. Sauvegarder la DEK enveloppée de la sortie.

   ibmcloud kp key wrap $ROOT_KEY_ID -p UNWRAPPED-DEK-BASE64
   

6. Remplacer le DEK enveloppé de HPCS par le DEK enveloppé de Key Protect dans le secret du PVC.

   1. Encoder la nouvelle DEK enveloppée à l'adresse base64.

       echo <kp-wrapped-dek> | base64
       ```
   2. Modifiez le secret DEK et remplacez la valeur `wrappedDEK` par la nouvelle valeur base64-encoded Key Protect wrapped DEK.
   
   ```sh {: pre}
       kubectl edit secret -n ibm-block-secrets <pv-secret-name>
       ```
   

7. Facultatif : Vérifiez le volume en redémarrant le pod qui utilise le PVC crypté.

   kubectl delete pod <pod-name> -n <namespace>
   

8. Répétez ces étapes pour tous les PVC cryptés qui doivent être migrés de HPCS à Key Protect.

9. Vérifiez que tous les pods utilisant des PVC cryptés sont en cours d'exécution.

   kubectl get pods -A