Direct Link 専用 MACsec 機能の前提条件

IBM Cloud Direct Link Dedicated で MACsec を有効にして設定する前に、完了しなければならないタスクがいくつかある。これらの前提条件は、ネットワークが専用イーサネット接続によるセキュアな通信のために適切に準備されていることを保証します。

MACsecデバイスの準備状況を確認する

MACsec対応デバイスが適切に設定され、ネットワーク設定に必要な暗号化標準（AESなど）をサポートしていることを確認してください。デバイスが MACsec に必要なハードウェアとソフトウェアをサポートしていることを確認し、そのポートまたはインターフェイスが暗号化を有効にするように構成されていることを確認する。

ネットワーク・プロバイダーと協力して、適切なデータ・センターまたはPoP（ PoP ）を選択し、MACsecをサポートするために必要なインフラとネットワーク接続が整っていることを確認する。また、安全な鍵交換のために鍵管理システムが導入されていることを確認し、デバイスがネットワーク速度に影響を与えることなく暗号化を処理できるよう、パフォーマンスへの影響を評価する。

との鍵交換の準備 Secrets Manager

IBM Cloud、 Secrets Manager インスタンスを構成して暗号鍵を管理し、デバイスが安全な鍵交換を行えるようにする。これを行うには、以下の手順を実行します。

以下の前提条件を満たしていることを確認してください：

MACsec が有効な Direct Link Dedicated 接続がアクティブです。
IBM Cloud Secrets Manager インスタンスにアクセスできる。手順については、 Secrets Manager サービス・インスタンスの作成を参照。
Secrets Manager でシークレットを管理し、 Direct Link を設定するために必要な IAM パーミッションがあります。
CAK 資料は、 MACsec の前提条件および制限事項で規定されているように、長さおよび形式に関する MACsec の要件を満たしていなければならない。

Secrets Manager との鍵交換を準備するには、以下の手順に従う：

Secrets Manager に新しいシークレットを作成する：
1. IBM Cloud コンソールで Secrets Manager インスタンスを開き、 Add secret をクリックする。
2. シークレットタイプとしてArbitrary secretを選択する。
3. MACsecキーの説明的な名前を入力する(例えば、 directlink-macsec-cak)。
4. シークレットの値フィールドにCAK資料を貼り付けるかアップロードし、 Addをクリックしてシークレットを保存します。
Direct Link の IAM アクセスを設定する：
1. Direct Link サービスが Secrets Manager から秘密を読み取るのに必要な IAM ロールを持っていることを確認する。
2. CAK を含む Secrets Manager インスタンスにスコープされた Direct Link サービス ID に、リーダーまたはカスタムのロールを割り当てる。
MACsec鍵交換のために Direct Link ：
1. IBM Cloud コンソールで Direct Link 専用接続に移動し、 MACsec 設定を選択します。
2. Connectivity Association Key（CAK）セクションで、 Retrieve from Secrets Manager を選択する。
3. CAKを含む以前に作成したシークレットを選択します。
  
  MACsec の前提条件と制限事項で指定されているように、秘密値が MACsec の形式要件を満たしていることを確認する。
4. Save または Apply configuration をクリックして、鍵交換の準備を完了する。
  
  Direct Link は Secrets Manager からCAKマテリアルを取得し、それを使って接続にMACsecを設定する。
CAK シークレットを保存した後、MACsec 設定を検証する：
1. Direct Link ダッシュボードで MACsec のステータスが Active と表示されていることを確認する。
2. 接続ステータスと暗号化統計が鍵交換の成功を示していることを確認する。

Secrets Manager インスタンス内のすべての鍵へのアクセスを許可すべきである。さもなければ、MACsec で Direct Link 専用に異なる鍵を使用するたびに、新しいサービス間認証を許可しなければならない。キーがゲートウェイで使用されている限り、キーは削除されるべきではなく、サービス間の認可は失効してはならない。

HPCSとの鍵交換の準備

IBM Cloud、HPCSインスタンスを構成して暗号鍵を管理し、デバイスが安全な鍵交換を行えるようにする。これを行うには、以下の手順を実行します。

標準プランで、Keep Your Own Key機能を使って Hyper Protect Crypto Services (HPCS)インスタンスを作成します。詳細については、サービスインスタンスのプロビジョニングを参照してください。
HPCSインスタンスを初期化し、マスターキーを暗号ユニットを保護するために使用される暗号鍵。マスター鍵は、ハードウェア・セキュリティー・モジュールの完全な制御と、ルート・キーや標準鍵などのチェーン鍵を暗号化する Root of Trust (信頼の基点) の所有権を提供する。ロードする。

例えば、 IBM Cloud Trusted Key Entry (TKE) CLI を使用する場合、基本的な手順は以下のとおりです：
- CLIを使用してHPCSインスタンスをプロビジョニングします。
- キープロテクトCLIを設定する。
- HPCSインスタンスを初期化し、マスターキーをロードする。
- HPCSインスタンスのセットアップが完了したら、以下のコマンドを実行します：
```
export CLOUDTKEFILES=~/tke-files
ibmcloud target -r us-south -g Default
```
- 次に、以下の一連のコマンドを使用してHPCSインスタンスを初期化します：
```
ibmcloud tke cryptounit-add
ibmcloud tke sigkey-add
ibmcloud tke sigkey-sel
ibmcloud tke cryptounit-admin-add
ibmcloud tke cryptounit-thrhld-set
ibmcloud tke mk-add --random
ibmcloud tke mk-add --random
ibmcloud tke cryptounit-mk-load
ibmcloud tke cryptounit-mk-load
ibmcloud tke cryptounit-mk-commit
ibmcloud tke cryptounit-mk-setimm
```
  詳細については、暗号化キーの作成とインポートを参照してください。
HPCSインスタンスを初期化した後、MACsecで使用する鍵の標準鍵を追加します（ 鍵のインポートオプションを使用）。オプションとして、フォールバックCAKでMACsecを設定するのもよい。そのためには、HPCSインスタンスにもフォールバック・キーを追加する必要があります。キーを追加するには、カタログページ Hyper Protect Crypto Services を参照してください。手順については、「IBM Cloud Hyper Protect Crypto Services の開始方法」を参照してください。

選択する鍵素材は、特定のMACsec規約に従う必要がある。キー材料は64文字の16進文字列でなければならない。 32文字の場合、末尾に 0000s を追加して64文字の長さに調整できることに注意してください。 HPCSインスタンスに鍵素材をインポートするには、 base64-encoded である必要があります。

このHPCSキーがCAK値として使用される。 MACsecを設定する際、この鍵とペアリングするCAK名を尋ねられる。同じキー・バリュー・ペアが、顧客デバイス上のMACsecキーストアに設定されなければならない。

同じ名前とキーのオクテット文字列（値）をスイッチに設定する必要があります。そうでなければ、MACsecキーネゴシエーションは失敗する。
Direct Link 用のキーを作成した後、 IBM Cloud Identity and Access Management （IAM）を使用して、 Secrets Manager または HPCS インスタンスと Direct Link サービスの間で権限を付与する必要があります。詳しくは、許可を使用した、サービス間のアクセス権限の付与を参照してください。 Direct Link サービスは、MACsec機能で使用される鍵以外の鍵にアクセスすることはない。

既知の制限により、HPCSインスタンス・レベルでアクセス権を付与する必要があります。これにより、 Direct Link サービスは、そのインスタンス内のすべてのキーにアクセスできるようになります。

HPCS インスタンス内のすべての鍵へのアクセスを許可する必要がある。さもなければ、MACsec で Direct Link 専用に異なる鍵を使用するたびに、新しいサービス間認証を許可しなければならない。キーがゲートウェイで使用されている限り、キーは削除されるべきではなく、サービス間の認可は失効してはならない。