Verschlüsselung verwalten

Standardmäßig werden Kundendaten in Event Notifications mithilfe eines zufällig generierten Schlüssels verschlüsselt. Dieses Standardverschlüsselungsmodell bietet zwar Sicherheit für ruhende Daten, aber unter Umständen benötigen Sie weiter reichende Steuerungsmöglichkeiten. Für diese Fälle unterstützt Event Notifications eine kundenverwaltete Verschlüsselung mit den folgenden IBM Cloud® Key Management Services:

  • IBM® Key Protect for IBM Cloud® (Bring Your Own Key - BYOK) hilft Ihnen bei der Bereitstellung verschlüsselter Schlüssel für Anwendungen über IBM Cloud. Während des Managements des Lebenszyklus Ihrer Schlüssel können Sie davon profitieren, dass Ihre Schlüssel mithilfe von cloudbasierten Hardwaresicherheitsmodulen (HSMs) mit Zertifizierung nach FIPS 140-2 Level 3 geschützt werden, die einen Schutz gegen Informationsdiebstahl bieten. Weitere Informationen zur Verwendung von Key Protect finden Sie im Lernprogramm 'Einführung'.
  • Hyper Protect Crypto Services (Keep Your Own Key - KYOK) ist ein dediziertes Single-Tenant-HSM, das von Ihnen gesteuert wird. Der Service basiert auf FIPS 140-2 Stufe 4-zertifizierter Hardware, der höchsten Sicherheitsstufe, die von Cloud-Providern der Branche angeboten wird. Weitere Informationen zur Verwendung von Hyper Protect Crypto Services finden Sie im Lernprogramm zur Einführung.

Diese Services ermöglichen die Verwendung eines durch den Kunden bereitgestellten Schlüssels zur Steuerung der Verschlüsselung. Durch Inaktivieren oder Löschen dieses Schlüssels können Sie jeden weiteren Zugriff auf die vom Service gespeicherten Daten verhindern, da es nicht mehr möglich ist, ihn zu entschlüsseln.

Die Verwendung von kundenverwalteten Schlüsseln kommt in Betracht, wenn die folgenden Funktionen benötigt werden:

  • Verschlüsselung von Daten im Ruhezustand mit Ihrem eigenen Schlüssel.
  • Explizite Steuerung des Lebenszyklus von ruhenden Daten.

Vom Kunden verwaltete Schlüssel sind nur für den Standard-Tarif verfügbar.

Das Löschen eines kundenverwalteten Schlüssels kann nicht rückgängig gemacht werden und führt zum Verlust aller Daten, die in Ihrer Event Notifications-Instanz gespeichert sind.

Was nicht durch vom Kunden verwaltete Verschlüsselung abgedeckt ist

Wenn die vom Kunden verwaltete Verschlüsselungsfunktion ausgewählt wird, sollte sich der Benutzer darüber im Klaren sein, dass nur Kundendaten von dieser Verschlüsselung abgedeckt werden. Event Notifications verschlüsselt im Ruhezustand andere Daten, die mit der Nutzung des Dienstes zusammenhängen.

Es wird nicht empfohlen, vertrauliche Informationen in Kunden-Metadaten zu verwenden.

Funktionsweise der kundenverwalteten Verschlüsselung

Für die Implementierung der kundenverwalteten Verschlüsselung nutzt Event Notifications ein als "Umschlagverschlüsselung" bezeichnetes Konzept.

Die Umschlagverschlüsselung ist ein Verfahren, bei dem ein Verschlüsselungsschlüssel mit einem anderen Verschlüsselungsschlüssel verschlüsselt wird. Der Schlüssel, der zur Verschlüsselung der tatsächlichen Daten verwendet wird, wird als "Datenverschlüsselungsschlüssel" (Data Encryption Key, DEK) bezeichnet. Der DEK selbst wird in keinem Fall gespeichert, sondern stattdessen durch einen zweiten Schlüssel eingeschlossen, der "Schlüsselverschlüsselungsschlüssel" (Key Encryption Key, KEK) genannt wird; hierdurch wird ein eingeschlossener DEK erstellt.

Zum Entschlüsseln der Daten muss zunächst das Wrapping des eingeschlossenen DEK aufgehoben werden, damit der DEK vorliegt. Dieser Vorgang ist nur durch den Zugriff auf den KEK möglich, der in diesem Fall Ihr Stammschlüssel ist, der entweder in Key Protect oder gespeichert ist Hyper Protect Crypto Services.

Eigner des KEK, den Sie als Rootschlüssel in den Hyper Protect Crypto Services oder im Key Protect-Service erstellen, sind Sie. Der Rootschlüssel (KEK) ist für den Event Notifications-Service zu keiner Zeit sichtbar. Seine Speicherung, Verwaltung und Verwendung zum DEK-Wrapping und -Wrapping aufheben erfolgt vollständig innerhalb des Schlüsselmanagementservice. Wenn Sie den Schlüssel inaktivieren oder löschen, können die Daten nicht mehr entschlüsselt werden.

Kundenverwalteten Schlüssel für Event Notifications aktivieren

Führen Sie die folgenden Schritte aus, um Ihre Event Notifications-Instanz für die Verwendung eines kundenverwalteten Schlüssels bereitzustellen:

  1. Stellen Sie eine Instanz von Key Protect oder Hyper Protect Crypto Servicesbereit.

  2. Erstellen Sie eine Autorisierungsrichtlinie, um dem Event Notifications-Service den Zugriff auf die Schlüsselmanagementserviceinstanz als Leseberechtigter zu ermöglichen. Weitere Informationen finden Sie unter Verwendung von Berechtigungen zur Gewährung des Zugriffs zwischen Diensten.

  3. Erstellen Sie einen Rootschlüssel oder importieren Sie einen Rootschlüssel in Ihre Schlüsselmanagementserviceinstanz.

  4. Rufen Sie den Cloudressourcennamen (CRN) des Schlüssels mit der Option CRN anzeigen in der GUI der Schlüsselmanagementserviceinstanz ab.

  5. Stellen Sie eine Instanz von Event Notifications bereit. Diese Funktion wird nur im Standardtarif unterstützt.

Kundenverwalteten Schlüssel verwenden

Nachdem ein kundenverwalteter Schlüssel aktiviert wurde, arbeitet der Cluster wie üblich, jedoch mit den folgenden zusätzlichen Funktionen:

Zugriff auf Daten verhindern

Um den Zugriff vorübergehend zu verhindern, können Sie Ihren Rootschlüssel inaktivieren. Event Notifications kann dann nicht mehr auf die Daten zugreifen, weil kein Zugriff auf den Schlüssel mehr möglich ist.

Wenn der Zugriff permanent entfernt werden soll, können Sie den Schlüssel löschen. Sie müssen jedoch äußerste Vorsicht walten lassen, weil diese Operation nicht rückgängig gemacht werden kann. Sie verlieren den Zugriff auf alle Daten, die in Ihrer Event Notifications-Instanz gespeichert sind. Es gibt keine Möglichkeit, diese Daten wiederherzustellen.

In beiden Fällen wird die Event Notifications-Instanz heruntergefahren und akzeptiert oder verarbeitet keine Verbindungen mehr. Ein Cloud Logs-Ereignis wird erzeugt, um die Aktion zu melden. Weitere Informationen hierzu finden Sie im Abschnitt zu den Event Notifications-Ereignissen.

Die Autorisierung sollte jederzeit zwischen Ihrer Event Notifications und der Instanz des Schlüsselverwaltungsdienstes bestehen bleiben. Die Aufhebung dieser Berechtigung verhindert zwar, dass Event Notifications in Zukunft auf Ihre Daten zugreifen kann, aber bereits genutzte Daten sind weiterhin für eine gewisse Zeit verfügbar.

Ihre Instanz von Event Notifications ist so lange kostenpflichtig, bis Sie sie über die Konsole IBM Cloud oder die Befehlszeilenschnittstelle deprovisionieren. Diese Gebühren gelten auch dann, wenn Sie den Zugriff auf Ihre Daten verhindern möchten.

Zugriff auf Daten wiederherstellen

Der Zugriff kann nur wiederhergestellt werden, wenn der Schlüssel nicht gelöscht wurde. Aktivieren Sie Ihren Rootschlüssel erneut, um den Zugriff wiederherzustellen. Nach einer nur kurz dauernden Initialisierung wird Ihre Event Notifications-Instanz erneut gestartet und akzeptiert wieder Verbindungen. Alle Daten bleiben gemäß den in Ihrer Instanz konfigurierten normalen Aufbewahrungsfristen erhalten.

Ein Cloud Logs-Ereignis wird erzeugt, um die Aktion zu melden. Weitere Informationen hierzu finden Sie im Abschnitt zu den Activity Tracker-Ereignissen.

Schlüssel rotieren

Key Protect und Hyper Protect Crypto Services unterstützen entweder eine bedarfsgesteuerte oder eine terminierte Rotation von Rootschlüsseln. Wenn dies der Fall ist, übernimmt Event Notifications den neuen Schlüssel, indem es den DEK neu verpackt, wie in der Funktionsweise der kundengesteuerten Verschlüsselung beschrieben.

Ein Cloud Logs-Ereignis wird erzeugt, um die Aktion zu melden. Weitere Informationen hierzu finden Sie im Abschnitt zu den Activity Tracker-Ereignissen.

Kundenverwaltete Verschlüsselung inaktivieren

Nachdem die kundenverwaltete Verschlüsselung aktiviert wurde, gibt es keine Möglichkeit, sie zu inaktivieren. Stattdessen müssen Sie die Serviceinstanz löschen und eine neue Instanz erstellen.

Alternativ können Sie vorgefertigte, quelloffene und unternehmenstaugliche Terraform IBM Module (TIM) verwenden, um Ihre Infrastruktur über Event Notifications modul, sehen Sie ein umfassendes Beispiel, das die Erstellung einer Key Protect Instanz mit einem Root-Schlüssel, die Bereitstellung einer Event Notifications Instanz mit Bring-your-own-key (BYOK) Verschlüsselung und die Konfiguration der Autorisierungsrichtlinie zwischen den Diensten demonstriert.