Gestione della crittografia con chiavi gestite dal cliente
Per impostazione predefinita, i dati dei clienti in Event Notifications vengono crittografati in fase di archiviazione utilizzando una chiave generata in modo casuale. Se la tua soluzione richiede un livello di controllo più elevato, puoi gestire autonomamente la crittografia integrando IBM® Key Protect for IBM Cloud® o Hyper Protect Crypto Services. Per poter utilizzare la propria chiave, è necessario aver sottoscritto il piano tariffario standard.
Se la tua soluzione richiede la gestione autonoma delle chiavi per i dati inattivi, oppure il controllo esplicito dell'intero ciclo di vita dei dati, compresi quelli inattivi, potresti prendere in considerazione l'utilizzo di chiavi gestite dal cliente. Sia Key Protect che Hyper Protect Crypto Services sono progettati per consentire l'utilizzo di una chiave fornita dal cliente per gestire la crittografia. Per confrontare i servizi e stabilire quale sia il più adatto alle tue esigenze, consulta la sezione “Qual è il servizio di sicurezza dei dati più adatto a me?”.
Se elimini una chiave gestita in modo personalizzato senza seguire la procedura corretta, potresti perdere l'accesso ai dati archiviati nella tua istanza di Event Notifications.
Cosa non è coperto dalla crittografia gestita dal cliente
Se si abilita la crittografia gestita dal cliente, si tenga presente che tale crittografia riguarda esclusivamente i dati dei clienti. Event Notifications crittografa gli altri dati relativi all’utilizzo del servizio quando sono inattivi.
Non utilizzare informazioni riservate nei metadati dei clienti.
Come funziona la crittografia gestita dal cliente
Event Notifications utilizza un concetto chiamato crittografia envelope per implementare le chiavi gestite dal cliente.
La crittografia envelope è la procedura di crittografare una chiave di crittografia con un'altra chiave di crittografia. La chiave utilizzata per crittografare i dati effettivi è nota come DEK (data encryption key). La DEK stessa non viene mai archiviata, ma invece viene impacchettata da una seconda chiave nota come KEK (Key Encryption Key) che crea una DEK impacchettata.
Per decrittografare i dati, la DEK impacchettata deve prima essere spacchettata per ottenere la DEK. Questo processo è possibile solo accedendo alla KEK, che in questo caso è la tua chiave root memorizzata in Key Protect o Hyper Protect Crypto Services.
La KEK è di tua proprietà e la crei come chiave radice nel servizio Hyper Protect Crypto Services o Key Protect. Il servizio Event Notifications non visualizza mai la chiave (KEK) root. La sua archiviazione, gestione e utilizzo per l'avvolgimento e lo srotolamento del DEK avvengono interamente all'interno del servizio di gestione delle chiavi. Se si disabilita o si elimina la chiave, i dati non possono più essere decodificati.
Abilitazione di una chiave gestita dal cliente per Event Notifications
Segui i passaggi riportati di seguito per configurare la tua istanza di Event Notifications in modo che utilizzi una chiave gestita dal cliente:
-
Provisioning di un'istanza di Key Protect o Hyper Protect Crypto Services.
-
Crea una politica di autorizzazione per consentire al servizio Event Notifications di accedere all'istanza del servizio di gestione delle chiavi come un lettore. Per ulteriori informazioni, vedere Uso delle autorizzazioni per garantire l'accesso tra i servizi.
-
Crea o importa una chiave root nella tua istanza del servizio di gestione delle chiavi.
-
Recuperare il nome della risorsa cloud (CRN) della chiave utilizzando l'opzione "Visualizza CRN " nell'interfaccia grafica dell'istanza del servizio di gestione delle chiavi.
-
Esegui il provisioning di un'istanza di Event Notifications. Questa funzionalità è disponibile solo nel piano Standard.
Utilizzo della chiave gestita dal cliente
Dopo aver abilitato una chiave gestita dal cliente, il cluster funziona normalmente, ma con le seguenti funzionalità aggiuntive:
Prevenzione dell'accesso ai dati
Per impedire temporaneamente l'accesso, è possibile disattivare la chiave root. Di conseguenza, Event Notifications non può più accedere ai dati perché non può più accedere alla chiave.
Per revocare definitivamente l'accesso, è possibile eliminare la chiave. Tuttavia, devi prestare molta attenzione perché questa operazione non è ripristinabile. Perderai l'accesso a tutti i dati archiviati nella tua istanza di Event Notifications. Non c'è modo di ripristinare questi dati.
In entrambi i casi, l'istanza di Event Notifications si arresta e non accetta né elabora più alcuna connessione. Viene generato un evento cloud logs per segnalare l'azione. Per ulteriori informazioni, vedi Eventi di Event Notifications.
L'autorizzazione deve rimanere sempre attiva tra il sito Event Notifications e l'istanza del servizio di gestione delle chiavi. Sebbene la rimozione di questa autorizzazione impedisca a Event Notifications di accedere in futuro ai vostri dati, i dati già in uso continueranno a essere disponibili per un certo periodo di tempo.
L'istanza di Event Notifications verrà addebitata fino a quando non ne verrà interrotto il servizio tramite la console IBM Cloud o la CLI. Questi addebiti sono ancora applicati anche se hai scelto di impedire l'accesso ai tuoi dati.
Ripristino dell'accesso ai dati
L'accesso può essere ripristinato solo se la chiave non è stata eliminata. Per ripristinare l'accesso, riabilita la tua chiave root. Dopo un breve periodo di inizializzazione, l'istanza di Event Notifications viene riavviata e riprende ad accettare connessioni. Tutti i dati vengono conservati, in base ai limiti di conservazione normali configurati nella tua istanza.
Viene generato un evento cloud logs per segnalare l'azione. Per ulteriori informazioni, vedi Eventi di Activity Tracker.
Rotazione della chiave
Key Protect Inoltre, Hyper Protect Crypto Services supporta la rotazione delle chiavi radice, sia su richiesta che secondo una pianificazione prestabilita. Quando ciò accade, Event Notifications adotta la nuova chiave ricreando il DEK, come descritto nella sezione dedicata al funzionamento della crittografia gestita dal cliente.
Viene generato un evento cloud logs per segnalare l'azione. Per ulteriori informazioni, vedi Eventi di Activity Tracker.
Disabilitazione della crittografia gestita dal cliente
Dopo aver abilitato la crittografia gestita dal cliente, non è possibile disabilitarla. Devi invece eliminare l'istanza del servizio e crearne una nuova.
In alternativa, è possibile utilizzare i moduli Terraform IBM (TIM) precostituiti, open-source e pronti per l'impresa, per effettuare il provisioning dell'infrastruttura attraverso il modulo Event Notifications vedere l'esempio completo che dimostra la creazione di un'istanza Key Protect con una chiave di root, il provisioning di un'istanza Event Notifications con crittografia bring-your-own-key (BYOK) e la configurazione dei criteri di autorizzazione tra i servizi.