Connessione ai keystore esterni con la UI

Per connettersi a un keystore esterno utilizzando l'interfaccia utente, completare la seguente procedura:

1. Accedi all'istanza Hyper Protect Crypto Services.

2. Fare clic su Keystore dalla navigazione per visualizzare tutti i keystore disponibili.

3. Per connettersi a un keystore esterno, fare clic su Aggiungi keystore.

4. Sotto Vault, selezionare un vault per il keystore per il controllo accessi e fare clic su Avanti.

   Se si desidera assegnare il keystore a un nuovo vault, fare clic su Crea vault. Per ulteriori istruzioni, vedi Creazione di vault.

5. In Tipo keystore, selezionare uno dei seguenti tipi e fare clic su Avanti:

   • AWS keystore: crea un keystore che può memorizzare chiavi KMS AWS.
   • Azure Key Vault: crea un keystore in grado di memorizzare le chiavi Azure Key Vault, sono supportati sia Azure Key Vault (Premium) che Azure Key Vault (Standard).
   • Google Cloud KMS keystore: crea un keystore che può memorizzare le chiavi KMS Google Cloud.
   • Key Protect: crea un keystore che può memorizzare le chiavi Key Protect.
   • IBM Cloud Keystore KMS in un'altra istanza: crea un keystore che può memorizzare chiavi KMS in un'altra istanza Hyper Protect Crypto Services.

   È possibile modificare la valuta visualizzata selezionando il proprio paese o la propria ubicazione. Dopo che ti connetti al primo keystore esterno, si applica anche il prezzo di base Unified Key Orchestrator. Per ulteriori informazioni sui prezzi, vedi l'esempio di prezzi.

6. Sotto Proprietà del keystore, specificare i dettagli in base al tipo di keystore a cui si desidera connettersi.

   Tabella 1. AWS Key Management Service

   Proprietà	Descrizione
   Nome keystore	Un nome univoco e leggibile per una facile identificazione del keystore, con una lunghezza compresa tra 1 e 100 caratteri. Il primo carattere deve essere una lettera (con distinzione tra maiuscole e minuscole) o una cifra (0–9). Gli altri caratteri possono essere anche simboli (.-_) o spazi.
   Descrizione	(Facoltativo) Una descrizione estesa per il keystore, con un massimo di 200 caratteri.
   Regione su AWS	La posizione geografica in cui si trova il keystore AWS.
   ID chiave di accesso su AWS	Tutte le richieste a AWS KMS devono essere firmate utilizzando un ID chiave di accesso e una chiave di accesso segreta. Per ulteriori informazioni, vedi Comprensione e acquisizione delle tue credenziali AWS.
   Chiave di accesso segreta su AWS	Tutte le richieste a AWS KMS devono essere firmate utilizzando un ID chiave di accesso e una chiave di accesso segreta. La chiave di accesso segreta è disponibile per il download solo quando la si crea.

   Tabella 2. Azure Key Vault

   Proprietà	Descrizione
   Nome keystore	Un nome univoco e leggibile per una facile identificazione del keystore, con una lunghezza compresa tra 1 e 100 caratteri. Il primo carattere deve essere una lettera (con distinzione tra maiuscole e minuscole) o una cifra (0–9). Gli altri caratteri possono essere anche simboli (.-_) o spazi.
   Descrizione	(Facoltativo) Una descrizione estesa per il keystore, con un massimo di 200 caratteri.
   Nome del servizio su Azure	Il nome deve corrispondere al nome del vault chiavi in Azure.
   Gruppo di risorse attivoAzure	Una struttura logica che raggruppa più risorse. Ottenerlo dal portale Azure.
   ID client principal di servizio su Azure	ID applicazione che identifica l'applicazione del principal del servizio.
   Password principal di servizio su Azure	Solo l'autenticazione basata su password è supportata per i principal di servizio.
   ID tenant su Azure	Un tenant è l'organizzazione che possiede e gestisce un'istanza specifica dei servizi cloud Microsoft. Utilizzare Microsoft Entra ID per autenticare le richieste al Key Vault.
   ID abbonamento su Azure	Un GUID che identifica in modo univoco la sottoscrizione per l'utilizzo dei servizi Azure.

   Tabella 3. Google Cloud Proprietà keystore KMS

   Proprietà	Descrizione
   Nome keystore	Un nome univoco e leggibile per una facile identificazione del keystore, con una lunghezza compresa tra 1 e 100 caratteri. Il primo carattere deve essere una lettera (con distinzione tra maiuscole e minuscole) o una cifra (0–9). Gli altri caratteri possono essere anche simboli (.-_) o spazi.
   Descrizione keystore	(Facoltativo) Una descrizione estesa per il keystore, con un massimo di 200 caratteri.
   Carica file di chiavi JSON	Il file della chiave privata scaricato dal tuo account del servizio su Google Cloud nel passo 2 di Configurazione dell'accesso utente richiesto in Google Cloud KMS. Il tipo di file deve essere .json e la dimensione massima del file è 4 KB.
   Progetto su Google Cloud	Sola lettura. Il nome del tuo progetto Google Cloud. Viene automaticamente estratto dal file di chiavi JSON che carichi.
   Ubicazione su Google Cloud	La regione geografica in cui vuoi memorizzare le tue risorse KMS Google Cloud. Per ulteriori dettagli sull'ubicazione, consulta Google Cloud KMS locations.
   Key ring su Google Cloud	Un nome leggibile dell'anello di chiavi che organizza le chiavi. Il nome deve essere univoco all'interno di una località. Per ulteriori informazioni sui keyring, consultare Keyring.
   ID chiave privata su Google Cloud	Sola lettura. L'ID della coppia di chiavi RSA pubblica / privata in Google. Viene utilizzato per stabilire una connessione sicura a Google Cloud Platform. Viene automaticamente estratto dal file di chiavi JSON che carichi.

   Tabella 4. Key Protect proprietà keystore

   Proprietà	Descrizione
   Nome keystore	Un nome univoco e leggibile per una facile identificazione del keystore, con una lunghezza compresa tra 1 e 100 caratteri. Il primo carattere deve essere una lettera (con distinzione tra maiuscole e minuscole) o una cifra (0–9). Gli altri caratteri possono essere anche simboli (.-_) o spazi.
   Descrizione	(Facoltativo) Una descrizione estesa per il keystore, con un massimo di 200 caratteri.
   ID istanza del servizio su IBM Cloud	L'identificativo univoco che viene assegnato alla tua istanza del servizio Key Protect. Per ulteriori informazioni, vedi Richiamo del tuo ID istanza e del nome della risorsa cloud.
   ID file di chiavi su IBM Cloud	L'identificativo univoco del key ring nell'istanza Key Protect a cui vuoi connetterti. Per ulteriori informazioni, consultare Raggruppamento delle chiavi utilizzando i keyring. Se non si è certi del keyring a cui collegarsi, specificare default per collegarsi al keyring predefinito.
   Endpoint API Key Protect	L'endpoint del servizio della tua istanza Key Protect nel formato https://<region>.kms.cloud.ibm.com. Per ulteriori informazioni, vedere Regioni ed endpoint.
   Endpoint IBM Cloud Identity and Access Management	L'endpoint di IAM, che è https://iam.cloud.ibm.com.
   Chiave API dell'ID servizio	Un codice univoco passato a un'API per identificare l'applicazione chiamante. Per ulteriori informazioni, vedi Gestione delle chiavi API di un ID servizio.

   Tabella 5. Proprietà keystore KMS IBM Cloud Hyper Protect Crypto Services

   Proprietà	Descrizione
   Nome keystore	Un nome univoco e leggibile per una facile identificazione del keystore, con una lunghezza compresa tra 1 e 100 caratteri. Il primo carattere deve essere una lettera (con distinzione tra maiuscole e minuscole) o una cifra (0–9). Gli altri caratteri possono essere anche simboli (.-_) o spazi.
   Descrizione	(Facoltativo) Una descrizione estesa per il keystore, con un massimo di 200 caratteri.
   ID istanza del servizio su IBM Cloud	L'identificatore univoco assegnato alla tua istanza del servizio. Per ulteriori informazioni, vedi Richiamo del tuo ID dell'istanza.
   ID file di chiavi su IBM Cloud	L'identificativo univoco del keyring nel piano standard dell'istanza Hyper Protect Crypto Services a cui vuoi connetterti. Per ulteriori informazioni, consultare Gestione dei file di chiavi. Se non si è certi del keyring a cui collegarsi, specificare default per collegarsi al keyring predefinito.
   Endpoint di gestione chiavi	L'endpoint del servizio della tua istanza Hyper Protect Crypto Services nel formato https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud. Puoi ottenere <region> e <instance_ID> nel tuo dashboard IU dell'istanza del servizio di cui è stato eseguito il provisioning tramite Overview > Connect > Key managment endpoint URL* *.
   Endpoint IBM Cloud Identity and Access Management	L'endpoint di IAM, che è https://iam.cloud.ibm.com.
   Chiave API dell'ID servizio	Un codice univoco passato a un'API per identificare l'applicazione chiamante. Per ulteriori informazioni, vedi Gestione delle chiavi API di un ID servizio.

   Non è possibile apportare ulteriori modifiche per identificare le proprietà contrassegnate con un'icona Blocca dopo la connessione del keystore.

7. Facoltativamente, fare clic su Verifica connessione per verificare la connessione al keystore esterno configurato. Al termine, fare clic su Avanti per continuare.

   È possibile completare i passi successivi anche se il test non riesce. Per modificare le impostazioni di connessione in caso di errore di connessione, controllare e modificare le proprietà di connessione. Se ti connetti a un keystore esterno di tipo Microsoft Azure Key Vault, dopo aver fatto clic su Verifica connessione, ti verrà notificato se il keystore è Azure Key Vault (Premium) o Azure Key Vault (Standard).

8. Sotto Riepilogo, visualizza il riepilogo del tuo Azure Key Vault e il costo aggiuntivo stimato.

9. Dopo aver confermato i dettagli del keystore, fare clic su Connetti al keystore.

Se ti connetti a un keystore esterno di tipo Azure Key Vault, viene automaticamente creata una chiave denominata EKMF-BYOK-KEK-FOR-IMPORT nell'istanza Azure Key Vault a cui ti connetti. Puoi visualizzare la chiave dall'IU dell'istanza di Azure Key Vault. Non eliminare questa chiave. In caso contrario, non sarà possibile creare e distribuire le chiavi gestite all'istanza Azure Key Vault. Per ulteriori informazioni, vedi Perché non posso distribuire le chiavi in Azure Key Vault.

La connessione al keystore esterno selezionato è stata eseguita correttamente.

Connessione ai keystore esterni con la API

Per connettersi a un keystore esterno tramite l'API, attenersi alla seguente procedura:

1. Recupera il servizio e le credenziali di autenticazione per utilizzare gli archivi chiavi nel servizio.

2. Connettersi a un keystore esterno effettuando una chiamata POST al seguente endpoint.

   https://<instance_ID>.uko.<region>.hs-crypto.appdomain.cloud/api/v4/keystores
   
   

   Per istruzioni dettagliate ed esempi di codice sull'utilizzo del metodo API, consulta la documentazione di riferimento APIHyper Protect Crypto Services Unified Key Orchestrator.

Se ti connetti a un keystore esterno di tipo Azure Key Vault, viene automaticamente creata una chiave denominata EKMF-BYOK-KEK-FOR-IMPORT nell'istanza Azure Key Vault a cui ti connetti. Puoi visualizzare la chiave dall'IU dell'istanza di Azure Key Vault. Non eliminare questa chiave. In caso contrario, non sarà possibile creare e distribuire le chiavi gestite all'istanza Azure Key Vault. Per ulteriori informazioni, vedi Perché non posso distribuire le chiavi in Azure Key Vault.