Gestione della crittografia
Per impostazione predefinita, i dati cliente in Event Notifications vengono crittografati come inattivi utilizzando una chiave generata casualmente. Anche se questo modello di crittografia predefinito fornisce la sicurezza sui dati inattivi, potresti aver bisogno di un livello di controllo superiore. Per questi casi di utilizzo, Event Notifications supporta la crittografia gestita dal cliente con i seguenti IBM Cloud® Key Management Services:
- IBM® Key Protect for IBM Cloud® (Bring Your Own Key - BYOK) ti aiuta a eseguire il provisioning delle chiavi crittografate per le applicazioni nei servizi IBM Cloud. Mentre gestisci il ciclo di vita delle tue chiavi, puoi ottenere dei benefici sapendo che le tue chiavi sono protette dagli HSM (Hardware Security Module) basati sul cloud certificati FIPS 140-2 Livello 3 che proteggono dal furto di informazioni. Ulteriori informazioni sull'utilizzo di Key Protect sono disponibili nell' Esercitazione introduttiva.
- Hyper Protect Crypto Services (Keep Your Own Key - KYOK) è un HSM dedicato a singolo tenant controllato da te. Il servizio è sviluppato su hardware con certificazione FIPS 140-2 Livello 4, il più elevato offerto da qualsiasi provider cloud del settore. Puoi trovare ulteriori informazioni sull'utilizzo di Hyper Protect Crypto Services nell'Esercitazione introduttiva.
Questi servizi consentono l'utilizzo di una chiave fornita dal cliente per controllare la crittografia. Disabilitando o cancellando questa chiave, è possibile impedire l'accesso ai dati memorizzati dal servizio, in quanto non è più possibile decifrarli.
Prendi in considerazione l'utilizzo delle chiavi gestite dal cliente se hai bisogno delle seguenti funzioni:
- Crittografia dei dati a riposo controllata dalla propria chiave.
- Controllo esplicito del ciclo di vita dei dati memorizzati a riposo.
Le chiavi gestite dal cliente sono disponibili solo sul piano Standard.
La cancellazione della chiave gestita dal cliente non è recuperabile e comporta la perdita di tutti i dati memorizzati nell'istanza Event Notifications.
Cosa non è coperto dalla crittografia gestita dal cliente
Se è selezionata la funzione di crittografia gestita dal cliente, l'utente deve essere consapevole del fatto che solo i dati del cliente sono coperti da questa crittografia. Event Notifications crittografa altri dati inattivi correlati all'uso del servizio.
Si consiglia di non utilizzare le informazioni riservate nei metadati client.
Come funziona la crittografia gestita dal cliente
Event Notifications utilizza un concetto chiamato crittografia envelope per implementare le chiavi gestite dal cliente.
La crittografia envelope è la procedura di crittografare una chiave di crittografia con un'altra chiave di crittografia. La chiave utilizzata per crittografare i dati effettivi è nota come DEK (data encryption key). La DEK stessa non viene mai archiviata, ma invece viene impacchettata da una seconda chiave nota come KEK (Key Encryption Key) che crea una DEK impacchettata.
Per decrittografare i dati, la DEK impacchettata deve prima essere spacchettata per ottenere la DEK. Questo processo è possibile solo accedendo alla KEK, che in questo caso è la tua chiave root memorizzata in Key Protect o Hyper Protect Crypto Services.
L'utente è il proprietario della KEK, che viene creata come chiave principale nel servizio Hyper Protect Crypto Services o Key Protect. Il servizio Event Notifications non visualizza mai la chiave (KEK) root. L'archiviazione, la gestione e l'utilizzo per avvolgere e scartare il DEK avvengono interamente all'interno del servizio di gestione delle chiavi. Se si disabilita o si elimina la chiave, i dati non possono più essere decodificati.
Abilitazione di una chiave gestita dal cliente per Event Notifications
Completate i seguenti passaggi per eseguire il provisioning dell'istanza Event Notifications in modo da utilizzare una chiave gestita dal cliente:
-
Provisioning di un'istanza di Key Protect o Hyper Protect Crypto Services.
-
Crea una politica di autorizzazione per consentire al servizio Event Notifications di accedere all'istanza del servizio di gestione delle chiavi come un lettore. Per ulteriori informazioni, vedere Uso delle autorizzazioni per garantire l'accesso tra i servizi.
-
Crea o importa una chiave root nella tua istanza del servizio di gestione delle chiavi.
-
Recuperare il Cloud Resource Name (CRN) della chiave utilizzando l'opzione View CRN nella GUI dell'istanza del servizio di gestione delle chiavi.
-
Esegui il provisioning di un'istanza di Event Notifications. Questa funzione è supportata solo dal piano Standard.
Utilizzo della chiave gestita dal cliente
Dopo aver abilitato una chiave gestita dal cliente, il cluster funziona normalmente, ma con le seguenti funzionalità aggiuntive:
Prevenzione dell'accesso ai dati
Per impedire temporaneamente l'accesso, è possibile disattivare la chiave root. Di conseguenza, Event Notifications non può più accedere ai dati perché non può più accedere alla chiave.
Per eliminare definitivamente l'accesso, è possibile cancellare la chiave. Tuttavia, devi prestare molta attenzione perché questa operazione non è ripristinabile. Perderai l'accesso a tutti i dati archiviati nella tua istanza di Event Notifications. Non c'è modo di ripristinare questi dati.
In entrambi i casi, l'istanza di Event Notifications si spegne e non accetta o elabora più connessioni. Viene generato un evento cloud logs per segnalare l'azione. Per ulteriori informazioni, vedi Eventi di Event Notifications.
L'autorizzazione deve rimanere sempre attiva tra il sito Event Notifications e l'istanza del servizio di gestione delle chiavi. Sebbene la rimozione di questa autorizzazione impedisca a Event Notifications di accedere in futuro ai vostri dati, i dati già in uso continueranno a essere disponibili per un certo periodo di tempo.
L'istanza di Event Notifications viene addebitata fino a quando non viene disattivata tramite la console IBM Cloud o la CLI. Questi addebiti sono ancora applicati anche se hai scelto di impedire l'accesso ai tuoi dati.
Ripristino dell'accesso ai dati
L'accesso può essere ripristinato solo se la chiave non è stata eliminata. Per ripristinare l'accesso, riabilita la tua chiave root. Dopo un breve periodo di inizializzazione, l'istanza di Event Notifications viene riavviata e ricomincia ad accettare le connessioni. Tutti i dati vengono conservati, in base ai limiti di conservazione normali configurati nella tua istanza.
Viene generato un evento cloud logs per segnalare l'azione. Per ulteriori informazioni, vedi Eventi di Activity Tracker.
Rotazione della chiave
Key Protect e Hyper Protect Crypto Services supportano la rotazione delle chiavi di root, sia su richiesta che in base a una pianificazione. In questo caso, Event Notifications adotta la nuova chiave riavvolgendo il DEK come descritto in Come funziona la crittografia gestita dal cliente.
Viene generato un evento cloud logs per segnalare l'azione. Per ulteriori informazioni, vedi Eventi di Activity Tracker.
Disabilitazione della crittografia gestita dal cliente
Dopo aver abilitato la crittografia gestita dal cliente, non è possibile disabilitarla. Devi invece eliminare l'istanza del servizio e crearne una nuova.
In alternativa, è possibile utilizzare i moduli Terraform IBM (TIM) precostituiti, open-source e pronti per l'impresa, per effettuare il provisioning dell'infrastruttura attraverso il modulo Event Notifications vedere l'esempio completo che dimostra la creazione di un'istanza Key Protect con una chiave di root, il provisioning di un'istanza Event Notifications con crittografia bring-your-own-key (BYOK) e la configurazione dei criteri di autorizzazione tra i servizi.