Herstellen einer Verbindung zu externen Schlüsselspeichern über die Benutzeroberfläche

Führen Sie die folgenden Schritte aus, um über die Benutzeroberfläche eine Verbindung zu einem externen Schlüsselspeicher herzustellen:

1. Melden Sie sich bei der Hyper Protect Crypto Services-Instanz an.

2. Klicken Schlüsselspeicher aus der Navigation, um alle verfügbaren Keystores anzuzeigen.

3. Um eine Verbindung zu einem externen Keystore herzustellen, klicken Sie auf Keystore hinzufügen.

4. Wählen Sie unter Vault einen Vault für den Keystore zur Zugriffssteuerung aus und klicken Sie auf Weiter.

   Wenn Sie den Keystore einem neuen Vault zuordnen möchten, klicken Sie auf Vault erstellen. Weitere Anweisungen finden Sie unter Vaults erstellen.

5. Wählen Sie unter Keystore-Typ einen der folgenden Typen aus und klicken Sie auf Weiter:

   • AWS-Keystore: Erstellen Sie einen Keystore, in dem AWS-KMS-Schlüssel gespeichert werden können.
   • Azure Key Vault: Erstellen Sie einen Schlüsselspeicher, in dem Azure Key Vault-Schlüssel gespeichert werden können. Sowohl Azure Key Vault (Premium) als auch Azure Key Vault (Standard) werden unterstützt.
   • Google Cloud KMS-Keystore: Erstellen Sie einen Keystore, in dem Google Cloud-KMS-Schlüssel gespeichert werden können.
   • Key Protect: Erstellen Sie einen Keystore, in dem Key Protect-Schlüssel gespeichert werden können.
   • IBM Cloud KMS-Keystore in einer anderen Instanz: Erstellen Sie einen Keystore, in dem KMS-Schlüssel in einer anderen Hyper Protect Crypto Services-Instanz gespeichert werden können.

   Sie können die angezeigte Währung ändern, indem Sie Ihr Land oder Ihren Standort auswählen. Nachdem Sie eine Verbindung zum ersten externen Schlüsselspeicher hergestellt haben, gilt zusätzlich der Grundpreis für Unified Key Orchestrator. Weitere Informationen zur Preisgestaltung finden Sie unter Preisgestaltungsbeispiel.

6. Geben Sie unter Keystore-Eigenschaften die Details für den Schlüsselspeichertyp an, zu dem Sie eine Verbindung herstellen möchten.

   Tabelle 1. AWS Key Management Service

   Eigenschaft	Beschreibung
   Keystorename	Ein eindeutiger, für Menschen lesbarer Name mit einer Länge von 1–100 Zeichen zur einfachen Identifizierung Ihres Schlüsselspeichers. Das erste Zeichen muss ein Buchstabe (Groß-/Kleinschreibung beachten) oder eine Ziffer (0–9) sein. Der Rest kann auch aus Symbolen (.-_) oder Leerzeichen bestehen.
   Beschreibung	(Optional) Eine erweiterte Beschreibung für Ihren Keystore mit einer Länge von bis zu 200 Zeichen.
   Region in AWS	Der geografische Standort, an dem sich der AWS-Keystore befindet.
   Zugriffsschlüssel-ID in AWS	Alle Anforderungen an AWS KMS müssen mit einer Zugriffsschlüssel-ID und einem geheimen Zugriffsschlüssel signiert werden. Weitere Informationen finden Sie unter AWS-Berechtigungsnachweise verstehen und abrufen.
   Geheimer Zugriffsschlüssel in AWS	Alle Anforderungen an AWS KMS müssen mit einer Zugriffsschlüssel-ID und einem geheimen Zugriffsschlüssel signiert werden. Der geheime Zugriffsschlüssel kann nur heruntergeladen werden, wenn Sie ihn erstellen.

   Tabelle 2. Azure Key Vault-Eigenschaften

   Eigenschaft	Beschreibung
   Keystorename	Ein eindeutiger, für Menschen lesbarer Name mit einer Länge von 1–100 Zeichen zur einfachen Identifizierung Ihres Schlüsselspeichers. Das erste Zeichen muss ein Buchstabe (Groß-/Kleinschreibung beachten) oder eine Ziffer (0–9) sein. Der Rest kann auch aus Symbolen (.-_) oder Leerzeichen bestehen.
   Beschreibung	(Optional) Eine erweiterte Beschreibung für Ihren Keystore mit einer Länge von bis zu 200 Zeichen.
   Servicename in Azure	Der Name muss mit dem Namen des Schlüsselvaults in Azure übereinstimmen.
   Ressourcengruppe in Azure	Ein logisches Konstrukt, das mehrere Ressourcen gruppiert. Rufen Sie es über das Azure-Portal ab.
   Client-ID des Service-Principals in Azure	Anwendungs-ID, welche die Anwendung des Serviceprinzipals angibt
   Kennwort des Service-Principals in Azure	Für Serviceprinzipals wird nur die kennwortbasierte Authentifizierung unterstützt.
   Tenant-ID in Azure	Ein Tenant ist die Organisation, die Eigentümer einer bestimmten Instanz von Microsoft Cloud Services ist und diese verwaltet. Verwenden Sie die Microsoft-Entra-ID für die Authentifizierung von Anforderungen an den Schlüsselvault.
   Abonnement-ID in Azure	Eine GUID, die Ihr Abonnement bezüglich der Verwendung von Azure-Services eindeutig identifiziert.

   Tabelle 3. Google Cloud KMS-Keystore-Eigenschaften

   Eigenschaft	Beschreibung
   Keystorename	Ein eindeutiger, für Menschen lesbarer Name mit einer Länge von 1–100 Zeichen zur einfachen Identifizierung Ihres Schlüsselspeichers. Das erste Zeichen muss ein Buchstabe (Groß-/Kleinschreibung beachten) oder eine Ziffer (0–9) sein. Der Rest kann auch aus Symbolen (.-_) oder Leerzeichen bestehen.
   Beschreibung des Keystores	(Optional) Eine erweiterte Beschreibung für Ihren Keystore mit einer Länge von bis zu 200 Zeichen.
   JSON-Schlüsseldatei hochladen	Die private Schlüsseldatei, die aus Ihrem Servicekonto in Google Cloud in Schritt 2 unter Erforderlichen Benutzerzugriff in Google Cloud KMS heruntergeladen wurde. Der Dateityp muss .json sein und die maximale Dateigröße beträgt 4 KB.
   Projekt in Google Cloud	Schreibgeschützt. Der Name Ihres Google Cloud-Projekts. Sie wird automatisch aus der JSON-Schlüsseldatei extrahiert, die Sie hochladen.
   Position in Google Cloud	Die geografische Region, in der Sie Ihre Google Cloud-KMS-Ressourcen speichern wollen Weitere Informationen zur Position finden Sie unter Google Cloud KMS-Positionen.
   Schlüsselring in Google Cloud	Ein lesbarer Name des Schlüsselrings, der Ihre Schlüssel organisiert. Der Name muss innerhalb eines Standortes eindeutig sein. Weitere Informationen zu Schlüsselringen finden Sie unter Schlüsselringe.
   ID des privaten Schlüssels in Google Cloud	Schreibgeschützt. Die ID des öffentlichen/privaten RSA-Schlüsselpaars in Google. Sie wird zum Herstellen einer sicheren Verbindung zu Google Cloud Platform verwendet. Sie wird automatisch aus der JSON-Schlüsseldatei extrahiert, die Sie hochladen.

   Tabelle 4. Key Protect-Keystore-Eigenschaften

   Eigenschaft	Beschreibung
   Keystorename	Ein eindeutiger, für Menschen lesbarer Name mit einer Länge von 1–100 Zeichen zur einfachen Identifizierung Ihres Schlüsselspeichers. Das erste Zeichen muss ein Buchstabe (Groß-/Kleinschreibung beachten) oder eine Ziffer (0–9) sein. Der Rest kann auch aus Symbolen (.-_) oder Leerzeichen bestehen.
   Beschreibung	(Optional) Eine erweiterte Beschreibung für Ihren Keystore mit einer Länge von bis zu 200 Zeichen.
   Serviceinstanz-ID bei IBM Cloud	Die eindeutige ID, die Ihrer Key Protect-Serviceinstanz zugewiesen ist. Weitere Informationen finden Sie unter Instanz-ID und Cloudressourcennamen abrufen.
   Schlüsselring-ID auf IBM Cloud	Die eindeutige ID des Schlüsselrings in der Key Protect-Instanz, zu der Sie eine Verbindung herstellen möchten. Weitere Informationen finden Sie unter Schlüssel mithilfe von Schlüsselringen gruppieren. Wenn Sie nicht sicher sind, zu welchem Schlüsselring eine Verbindung hergestellt werden soll, geben Sie default an, um eine Verbindung zum Standardschlüsselring herzustellen.
   Key Protect-API-Endpunkt	Der Serviceendpunkt Ihrer Key Protect-Instanz im Format https://<region>.kms.cloud.ibm.com. Weitere Informationen finden Sie unter Regionen und Endpunkte.
   IBM Cloud Identity and Access Management – Endpunkt	Der Endpunkt von IAMs, also https://iam.cloud.ibm.com.
   API-Schlüssel für Service ID	Ein eindeutiger Code, der an eine API übergeben wird, um die aufrufende Anwendung zu identifizieren Weitere Informationen finden Sie in API-Schlüssel für Service-ID verwalten.

   Tabelle 5. IBM Cloud Hyper Protect Crypto Services KMS-Keystore-Eigenschaften

   Eigenschaft	Beschreibung
   Keystorename	Ein eindeutiger, für Menschen lesbarer Name mit einer Länge von 1–100 Zeichen zur einfachen Identifizierung Ihres Schlüsselspeichers. Das erste Zeichen muss ein Buchstabe (Groß-/Kleinschreibung beachten) oder eine Ziffer (0–9) sein. Der Rest kann auch aus Symbolen (.-_) oder Leerzeichen bestehen.
   Beschreibung	(Optional) Eine erweiterte Beschreibung für Ihren Keystore mit einer Länge von bis zu 200 Zeichen.
   Serviceinstanz-ID bei IBM Cloud	Die eindeutige Kennung, die Ihrer Serviceinstanz zugeordnet ist. Weitere Informationen finden Sie unter Instanz-ID abrufen.
   Schlüsselring-ID auf IBM Cloud	Die eindeutige Kennung des Schlüsselrings im Standardplan der Hyper Protect Crypto Services-Instanz, zu der eine Verbindung hergestellt werden soll Weitere Informationen finden Sie unter Schlüsselringe verwalten. Wenn Sie nicht sicher sind, zu welchem Schlüsselring eine Verbindung hergestellt werden soll, geben Sie default an, um eine Verbindung zum Standardschlüsselring herzustellen.
   Endpunkt für das Schlüsselmanagement	Der Serviceendpunkt Ihrer Hyper Protect Crypto Services-Instanz im Format https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud. Sie erhalten die <region> Und <instance_ID> in Ihrem bereitgestellten Service-Instanz-UI-Dashboard überÜberblick >Verbinden > URL des Schlüsselverwaltungsendpunkts**.
   IBM Cloud Identity and Access Management – Endpunkt	Der Endpunkt von IAMs, also https://iam.cloud.ibm.com.
   API-Schlüssel für Service ID	Ein eindeutiger Code, der an eine API übergeben wird, um die aufrufende Anwendung zu identifizieren Weitere Informationen finden Sie in API-Schlüssel für Service-ID verwalten.

   Sie können keine weiteren Änderungen an identifizierenden Eigenschaften vornehmen, die mit einem Sperrsymbol markiert sind, wenn der Keystore verbunden ist.

7. Klicken Sie optional auf Verbindung testen, um die Verbindung zu dem externen Schlüsselspeicher zu testen, den Sie konfigurieren. Klicken Sie nach Abschluss auf Weiter, um fortzufahren.

   Sie können die nachfolgenden Schritte ausführen, auch wenn der Test fehlschlägt. Um die Verbindungseinstellungen im Falle eines Verbindungsfehlers anzupassen, überprüfen und passen Sie die Verbindungseigenschaften an. Wenn Sie eine Verbindung zu einem externen Keystore des Typs Microsoft Azure Key Vault herstellen, werden Sie nach dem Klicken auf Verbindung testen darüber benachrichtigt, ob der Keystore Azure Key Vault (Premium) oder Azure Key Vault (Standard) ist.

8. Unter Zusammenfassung, sehen Sie sich die Zusammenfassung IhrerAzure Key Vault und die geschätzten zusätzlichen Kosten.

9. Klicken Sie nach der Bestätigung der Keystore-Details auf Verbindung zum Keystore herstellen.

Wenn Sie eine Verbindung zu einem externen Keystore des Typs Azure Key Vault herstellen, wird automatisch ein Schlüssel mit dem Namen EKMF-BYOK-KEK-FOR-IMPORT in der Azure Key Vault-Instanz erstellt, zu der Sie eine Verbindung herstellen. Sie können den Schlüssel in der Benutzerschnittstelle der Azure Key Vault-Instanz anzeigen. Löschen Sie diesen Schlüssel nicht. Andernfalls können Sie keine verwalteten Schlüssel erstellen und an die Azure Key Vault-Instanz verteilen. Weitere Informationen hierzu finden Sie unter Why can't I distribute keys in Azure Key Vault.

Sie haben erfolgreich eine Verbindung zu dem ausgewählten externen Keystore hergestellt.

Verbindung zu externen Keystores mit der API herstellen

Gehen Sie wie folgt vor, um über die API eine Verbindung zu einem externen Keystore herzustellen:

1. Rufen Sie Ihre Service- und Authentifizierungsdaten ab, um mit Keystores im Service zu arbeiten.

2. Stellen Sie eine Verbindung zu einem externen Keystore her, indem Sie einen POST-Aufruf an den folgenden Endpunkt absetzen.

   https://<instance_ID>.uko.<region>.hs-crypto.appdomain.cloud/api/v4/keystores
   
   

   Detaillierte Anweisungen und Codebeispiele zur Verwendung der API-Methode finden Sie im Hyper Protect Crypto ServicesUnified Key Orchestrator API-Referenzdokument.

Wenn Sie eine Verbindung zu einem externen Keystore des Typs Azure Key Vault herstellen, wird automatisch ein Schlüssel mit dem Namen EKMF-BYOK-KEK-FOR-IMPORT in der Azure Key Vault-Instanz erstellt, zu der Sie eine Verbindung herstellen. Sie können den Schlüssel in der Benutzerschnittstelle der Azure Key Vault-Instanz anzeigen. Löschen Sie diesen Schlüssel nicht. Andernfalls können Sie keine verwalteten Schlüssel erstellen und an die Azure Key Vault-Instanz verteilen. Weitere Informationen hierzu finden Sie unter Why can't I distribute keys in Azure Key Vault.