Hyper Protect Crypto Services のイベントの監査

セキュリティー・オフィサー、監査員、または管理者は、IBM Cloud® Activity Tracker サービスを使用して、ユーザーやアプリケーションによる IBM Cloud® Hyper Protect Crypto Services の操作をモニターできます。

IBM Cloud Activity Tracker は、IBM Cloud でのサービスの状態を変更するユーザー開始アクティビティーを記録します。 このサービスを使用して、異常なアクティビティーや重大なアクションを調査し、法規上の監査要件に準拠することができます。 さらに、アクションが発生した際にそれに関するアラートを通知させるようにできます。 収集されるイベントは、Cloud Auditing Data Federation (CADF) 標準に準拠しています。

IBM Cloud Activity Tracker インスタンスに対して Hyper Protect Crypto Services を有効にするには、IBM Cloud Activity Tracker サービスのインスタンスを、Hyper Protect Crypto Services インスタンスと同じリージョンにプロビジョンする必要があります。 詳細については、IBM Cloud Activity Tracker のための入門チュートリアルを参照してください。

どのアクション要求が以下のアクションに相関しているかを確認するには、 鍵管理サービス API リファレンス資料 および TKE CLI リファレンスを参照してください。

イベントに関する履歴情報

表 1. イベント名の履歴参照マッピング
参照資料 現在のイベント名
hs-crypto.governance.configread hs-crypto.governance-config.read
hs-crypto.importtoken.create hs-crypto.import-token.create
hs-crypto.importtoken.read hs-crypto.import-token.read
hs-crypto.importtoken.default hs-crypto.import-token.request
hs-crypto.instance.readallowedipport hs-crypto.instance-allowed-ip-port.read
hs-crypto.instance.readipwhitelistport hs-crypto.instance-ip-allowlist-port.read
hs-crypto.instancepolicies.write hs-crypto.instance-policies.write
hs-crypto.instancepolicies.read hs-crypto.instance-policies.read
hs-crypto.instancepolicies.default hs-crypto.instance-policies.request
hs-crypto.keyrings.create hs-crypto.key-rings.create
hs-crypto.keyrings.delete hs-crypto.key-rings.delete
hs-crypto.keyrings.list hs-crypto.key-rings.list
hs-crypto.keyrings.default hs-crypto.key-rings.request
hs-crypto.secrets.defaultalias hs-crypto.secrets-alias.request
hs-crypto.secrets.createalias hs-crypto.secrets-alias.create
hs-crypto.secrets.deletealias hs-crypto.secrets-alias.delete
hs-crypto.secrets.eventack hs-crypto.secrets-event.ack
hs-crypto.secrets.listkeyversions hs-crypto.secrets-key-versions.list
hs-crypto.secrets.readmetadata hs-crypto.secrets-metadata.read

サポート対象イベント

鍵のイベント

以下の表に、イベントを生成する鍵アクションをリストします。

表 2. ライフサイクル・キー・アクション
アクション 説明
hs-crypto.secrets.create キーを作成します。
hs-crypto.secrets-alias.create キーのエイリアスを作成します。
hs-crypto.secrets.default 無効な鍵要求イベント。
hs-crypto.secrets.delete キーを削除します。
hs-crypto.secrets-alias.delete キーのエイリアスを削除します。
hs-crypto.secrets.disable 鍵の操作を無効にします。
hs-crypto.secrets.enable 鍵の操作を有効にします。
hs-crypto.secrets-event.ack 鍵に対するライフサイクル・アクションを確認します。
hs-crypto.secrets.expire 鍵を有効期限切れにします。
hs-crypto.secrets.head キー合計をリトリーブします。
hs-crypto.secrets.list キーをリストします。
hs-crypto.secrets-key-versions.list 鍵のすべてのバージョンをリストします。
hs-crypto.secrets.wrap キーをラップします。
hs-crypto.secrets.patch キーにパッチを適用します。
hs-crypto.secrets.purge キーをパージします。
hs-crypto.secrets.read すべての鍵情報を取得します。
hs-crypto.secrets-metadata.read 鍵のメタデータを取得します (鍵のペイロードは除く (ある場合))。
hs-crypto.secrets.restore キーをリストアします。
hs-crypto.secrets.rewrap キーを再ラップします。
hs-crypto.secrets.rotate キーをローテーションします。
hs-crypto.secrets.setkeyfordeletion 二重許可ポリシーが設定された鍵の削除を許可します。
hs-crypto.secrets.unsetkeyfordeletion 二重許可ポリシーが設定された鍵の削除をキャンセルします。
hs-crypto.secrets.unwrap キーをアンラップします。

Key Ring イベント

以下の表に、イベントを生成する鍵リング・アクションをリストします。

表 3. 鍵リング・アクション
アクション 説明
hs-crypto.key-rings.create キー・リングを作成します。
hs-crypto.key-rings.delete 鍵リングを削除します。
hs-crypto.key-rings.list インスタンス内のキーホルダーをリストアップする。
hs-crypto.key-rings.request 鍵リング要求が無効です。

ポリシー・イベント

以下の表に、イベントを生成するポリシー・アクションをリストします。

表 4。 ポリシー・アクション
アクション 説明
hs-crypto.policies.read キー・ポリシーをリストします。
hs-crypto.policies.write キー・ポリシーを設定します。
hs-crypto.instance-policies.read インスタンス・ポリシーをリストします。
hs-crypto.instance-policies.write インスタンス・ポリシーを設定します。
hs-crypto.policies.default 無効なポリシー要求イベント。
hs-crypto.instance-policies.request 無効なポリシー要求イベント。

インポート・トークン・イベント

以下の表に、イベントを生成するインポート・トークン・アクションをリストします。

表 5. インポート・トークン・アクション
アクション 説明
hs-crypto.import-token.create インポート・トークンを作成します。
hs-crypto.import-token.read インポート・トークンをリトリーブします。
hs-crypto.import-token.request 無効なインポート・トークン要求イベント。

登録イベント

以下の表に、イベントを生成する登録アクションをリストします。

表 6. 登録アクション
アクション 説明
hs-crypto.registrations.list 鍵の登録をリストします。
hs-crypto.registrations.default 無効な登録要求イベント。

Trusted Key Entry イベント

以下の表に、イベントを生成する Trusted Key Entry (TKE) アクションをリストします。

表 7。 Trusted Key Entry アクション
アクション 説明
hs-crypto.tke-cryptounit-admin.add 選択した暗号装置に暗号装置管理者を追加します。
hs-crypto.tke-cryptounit-admin.remove 選択した暗号装置から暗号装置管理者を削除します。
hs-crypto.tke-cryptounit-threshold.set 選択した暗号装置の最低必要署名数を設定します。
hs-crypto.tke-cryptounit-master-key-register.add 新規マスター鍵レジスターにロードします。
hs-crypto.tke-cryptounit-master-key-register.commit 新規マスター鍵レジスターをコミットします。
hs-crypto.tke-cryptounit-master-key-register.activate 現行マスター鍵レジスターをアクティブ化します。
hs-crypto.tke-cryptounit-new-master-key-register.clear 新規マスター鍵レジスターを消去します。
hs-crypto.tke-cryptounit-current-master-key-register.clear 現行マスター鍵レジスターを消去します。
hs-crypto.tke-cryptounit.reset 選択した暗号装置のゼロ化とリセット

Certificate Manager のイベント

次の表に、イベントが生成されるCertificate Manager のアクションをリストします。

表 8。 Certificate manager のアクション
アクション 説明
hs-crypto.mtlscert-admin-key.create 証明書管理者が Certificate Manager サーバーに接続するための管理者署名鍵を作成します。
hs-crypto.mtlscert-admin-key.update 証明書管理者の管理者署名鍵をリフレッシュして更新します。
hs-crypto.mtlscert-admin-key.read 証明書管理者の管理者署名鍵を取得します。
hs-crypto.mtlscert-admin-key.delete 証明書管理者の管理者署名鍵を削除します。
hs-crypto.mtlscert-cert.set 証明書管理者によって証明書を作成または更新します。
hs-crypto.mtlscert-cert.list 証明書管理者によって管理されているすべての証明書をリストします。
hs-crypto.mtlscert-cert.read 証明書管理者によって証明書を取得します。
hs-crypto.mtlscert-cert.delete 証明書管理者によって証明書を削除します。

KMIP for VMware のイベント

KMIP for VMware® サービスの鍵の管理を行うと、イベントが生成されます。

次の表に記載するアクションにより、KMIP for VMware のイベントが生成され、送信されます。 これらは、開始者が VMware vCenter Server® から実行するアクションであるため、開始者の IP アドレスは含まれません。 これらのアクションを求める要求は、IBM Cloud のプライベート・ネットワーク内部から実行されます。

開始者の ID は、KMIP サーバーへの接続の認証に使用された vCenter Server の TLS (Transport Layer Security) 証明書から取得されます。 イニシエーター ID の形式はCertificateID-<value>です。この値は、対応する TLS 証明書の指紋と一致します。 このフィンガープリントを使用して、アクションをトリガーした vCenter Server を特定できます。

表 9。 KMIP for VMwareサービスのイベントを生成するアクションの説明
アクション 説明
hs-crypto.kmip-key.create KMIP キーが作成されます。
hs-crypto.kmip-key.read KMIP キーが取得されます。
hs-crypto.kmip-key-attributes.retrieve KMIP キーの属性が取得されます。
hs-crypto.kmip-key.activate KMIP キーがアクティブ化されます。
hs-crypto.kmip-key.revoke KMIP キーが取り消されます。
hs-crypto.kmip-key.destroy KMIP キーが破棄されます。

EP11 鍵ストア・イベント

以下の表に、イベントを生成する Enterprise PKCS #11 (EP11) 鍵ストア・アクションをリストします。

表 10. EP11 鍵ストア・アクション
Action Description
hs-crypto.keystore.createkeystore EP11 鍵ストアを作成します。
hs-crypto.keystore.deletekey EP11 鍵を削除します。
hs-crypto.keystore.deletekeystore EP11 鍵ストアを削除します。
hs-crypto.keystore.listkeysbyattributes EP11キーを表示します。
hs-crypto.keystore.listkeysbyids EP11キーを表示します。
hs-crypto.keystore.listkeystoresbyattributes EP11キーストアを表示します。
hs-crypto.keystore.listkeystoresbyids EP11キーストアを表示します。
hs-crypto.keystore.storenewkey EP11 鍵を保管します。
hs-crypto.keystore.updatekey EP11 キーを更新します。

EP11 暗号イベント

以下の表に、イベントを生成するEP11 cryptoアクションを示す：

表 11. EP11 暗号アクション
Action Description
hs-crypto.ep11.use 暗号操作

KMIP管理イベント

以下の表は、イベントを生成するKMIP管理アクションの一覧である：

表 12. KMIPマネジメント・アクション
Action Description
hs-crypto.kmip-management.create ｜KMIPアダプタまたはKMIPアダプタのクライアント証明書を作成します。
hs-crypto.kmip-management.delete ｜KMIP アダプタ、KMIP アダプタのクライアント証明書、または KMIP オブジェクトを削除します。
hs-crypto.kmip-management.list KMIPアダプタ、KMIPアダプタのクライアント証明書、またはKMIPオブジェクトをリストする。
hs-crypto.kmip-management.read ｜ KMIPアダプタ、KMIPアダプタのクライアント証明書、またはKMIPオブジェクトを取得します。
hs-crypto.kmip-management.default 無効なKMIP管理APIリクエストです。

イベントの表示

Hyper Protect Crypto Services のインスタンスによって生成されたイベントは、 同じ場所で使用可能な IBM Cloud Activity Tracker サービス・インスタンスに自動的に転送されます。

IBM Cloud Activity Tracker は、ロケーションごとに 1 つのインスタンスのみを使用できます。 イベントを表示するには、以下の Web UI にアクセスする必要があります。 サービス・インスタンスが使用可能な場所と同じロケーションにある IBM Cloud Activity Tracker サービス。 詳しくは、IBM Cloud UI を介して Web UI を起動する内容に関するセクションを参照してください。

表 14. Activity Tracker リージョン
デプロイメント地域 Activity Tracker リージョン
au-syd au-syd
br-sao br-sao
ca-tor ca-tor
eu-de eu-de
eu-es eu-es
eu-gb eu-gb
jp-tok jp-tok
us-east us-east
us-south us-south

成功したイベントの分析

成功した要求の大部分には、それぞれの関連イベントに関連付けられた固有の requestData と responseData があります。 以下のセクションでは、各 Hyper Protect Crypto Services サービス・アクション・イベントのデータについて説明します。

要求が成功しない限り、フィールドは表示されません。

共通フィールド

Hyper Protect Crypto Services には、データに対するより深い洞察を提供するために、CADF イベント・モデル以外にも使用できる共通フィールドがあります。

表 13. Hyper Protect Crypto Services サービス アクションの Activity Tracker イベント内の共通フィールド
フィールド 説明
requestData.requestURI 作成された API 要求の URI。
requestData.instanceID Hyper Protect Crypto Services サービス・インスタンスの固有 ID。
correlationId イベントを生成した API 要求の固有 ID。 注: このフィールドは、TKE イベントではサポートされていません。

クラウド監査データ連携（CADF）イベントモデルのイベントフィールドの詳細については、イベントフィールドを参照してください。

initiator.host.address は Cloud Auditing Data Federation モデルに含まれているフィールドですが、プライベート・ネットワークを介して行われた要求については、このホスト・アドレス・フィールドは表示されません。

鍵アクション・イベント

暗号鍵に関する情報は機密であるため、生成されたイベントに、鍵に関する詳しい情報 (ペイロードや暗号化された nonce など) が含まれることはありません。

responseData.keyState フィールドは整数であり、アクティベーション前 = 0、アクティブ = 1、中断 = 2、非アクティブ化 = 3、および破棄 = 5 の値に対応します。 鍵の状態について詳しくは、 鍵の状態および遷移を参照してください。

鍵の作成

以下のフィールドに追加情報が含まれています。

  • requestData.keyType フィールドには、作成された鍵のタイプが含まれています。
  • responseData.keyId フィールドには、鍵に関連付けられている固有 ID が含まれています。
  • responseData.keyVersionId フィールドには、ラップ要求で入力暗号文をラップするために使用する現行鍵バージョンの固有 ID が含まれています。
  • responseData.keyVersionCreationDate フィールドには、現行バージョンの鍵が作成された日付が含まれています。
  • responseData.keyState フィールドには、鍵の状態に相関する整数が含まれています。

鍵の削除

以下のフィールドに追加情報が含まれています。

  • responseData.keyState フィールドには、鍵の状態に相関する整数が含まれています。

鍵を有効期限切れにする

以下のフィールドに追加情報が含まれています。

  • requestData.keyType フィールドには、作成された鍵のタイプが含まれています。
  • responseData.keyId フィールドには、鍵に関連付けられている固有 ID が含まれています。
  • requestData.expirationDate フィールドには、鍵の有効期限が切れた日付が含まれています。
  • responseData.initialValue.keyState フィールドには、鍵の以前の状態に対応する整数が含まれています。
  • responseData.newValue.keyState フィールドには、鍵の現在の状態に対応する整数が含まれています。

鍵のラップまたはアンラップ

以下のフィールドに追加情報が含まれています。

  • responseData.keyVersionId フィールドには、ラップ要求で入力暗号文をラップするために使用する現行鍵バージョンの固有 ID が含まれています。

キーの再ラップ

以下のフィールドに追加情報が含まれています。

  • responseData.keyVersionId フィールドには、ラップ要求で入力暗号文をラップするために使用する現行鍵バージョンの固有 ID が含まれています。
  • responseData.rewrappedKeyVersionId フィールドには、ラップ要求で入力暗号文をラップするために使用された新規鍵バージョンの固有 ID が含まれています。

鍵の復元

以下のフィールドに追加情報が含まれています。

  • responseData.keyVersionId フィールドには、ラップ要求で入力暗号文をラップするために使用する現行鍵バージョンの固有 ID が含まれています。

キーのローテーション

鍵のローテートでは、共通フィールドのセクション以外のフィールドはありません。

鍵合計の取得

以下のフィールドに追加情報が含まれています。

  • responseData.totalResources フィールドには、サービス・インスタンス内の鍵の総数が含まれています。

鍵のリスト

以下のフィールドに追加情報が含まれています。

  • responseData.totalResources フィールドには、応答で返された鍵の総数が含まれています。

鍵または鍵メタデータの取得

以下のフィールドに追加情報が含まれています。

  • requestData.keyType フィールドには、取得された鍵のタイプが含まれています。
  • responseData.keyState フィールドには、鍵の状態に相関する整数が含まれています。
  • responseData.keyVersionId フィールドには、ラップ要求で入力暗号文をラップするために使用する現行鍵バージョンの固有 ID が含まれています。
  • responseData.keyVersionCreationDate フィールドには、現行バージョンの鍵が作成された日付が含まれています。

鍵へのパッチの適用

以下のフィールドに追加情報が含まれています。

  • requestData.initialValue.keyRingId フィールドには、以前のキーの所属先のキー・リングの ID が入ります。
  • requestData.newValue.keyRingId フィールドには、キーが属するキー・リングの ID が入ります。

鍵のバージョンのリスト

以下のフィールドに追加情報が含まれています。

  • responseData.totalResources フィールドには、応答で返された鍵のバージョンの総数が含まれています。

鍵の削除の設定または設定解除

以下のフィールドに追加情報が含まれています。

  • responseData.initialValue.authID フィールドには、二重許可ポリシーを設定したユーザーのイニシエーター ID が含まれています。
  • responseData.initialValue.authExpiration フィールドには、二重許可ポリシーの有効期限が含まれています。
  • responseData.newValue.authID フィールドには、二重許可ポリシーを設定したユーザーのイニシエーター ID が含まれています。
  • responseData.newValue.authExpiration フィールドには、二重許可ポリシーの有効期限が含まれています。

initialValue は、二重許可ポリシーを最後に設定したユーザーの initiatorID であり、newValue は、二重許可ポリシーを設定したユーザーの新しい initiatorID です。

ポリシー・イベント

許可されたネットワークのポリシー

以下のフィールドに追加情報が含まれています。

  • requestData.initialValue.policyAllowedNetworkEnabled フィールドには、許可されたネットワーク・ポリシーが以前に有効になっていたかまたは無効になっていたかが示されます。
  • requestData.initialValue.policyAllowedNetworkAttribute フィールドには、許可されたネットワーク・ポリシーが以前にパブリック・ネットワークのみ対象であったかまたはパブリック・ネットワークとプライベート・ネットワークの両方対象であったかが示されます。
  • requestData.newValue.policyAllowedNetworkEnabled フィールドには、許可されたネットワーク・ポリシーが有効になっているかまたは無効になっているかが示されます。
  • requestData.newValue.policyAllowedNetworkAttribute フィールドには、許可されたネットワーク・ポリシーがパブリック・ネットワークのみ対象であるかまたはパブリック・ネットワークとプライベート・ネットワークの両方対象であるかが示されます。

二重許可削除ポリシー

以下のフィールドに追加情報が含まれています。

  • requestData.initialValue.policyDualAuthDeleteEnabled フィールドには、二重許可削除ポリシーが以前に有効になっていたかまたは無効になっていたかが示されます。
  • requestData.newValue.policyDualAuthDeleteEnabled フィールドには、二重許可削除ポリシーが有効になっているかまたは無効になっているかが示されます。

鍵の作成とインポートのアクセス・ポリシー

以下のフィールドに追加情報が含まれています。

  • requestData.initialValue.PolicyKCIAEnabled フィールドには、鍵の作成とインポートのポリシーが 前に有効になっていたか無効になっていたかが示されます。
  • requestData.newValue.PolicyKCIAEnabled フィールドには、鍵の作成とインポートのポリシーが有効になっているか無効になっているかが示されます。
  • requestData.initialValue.PolicyKCIAAttrCRK フィールドには、 鍵の作成とインポートのポリシーで、前にルート鍵の作成が許可されていたかどうかが示されます。
  • requestData.newValue.PolicyKCIAAttrCRK フィールドには、 鍵の作成とインポートのポリシーで、ルート鍵の作成が許可されているかどうかが示されます。
  • requestData.initialValue.PolicyKCIAAttrCSK フィールドには、 鍵の作成とインポートのポリシーで、前に標準鍵の作成が許可されていたかどうかが示されます。
  • requestData.newValue.PolicyKCIAAttrCSK フィールドには、 鍵の作成とインポートのポリシーで、標準鍵の作成が許可されているかどうかが示されます。
  • requestData.initialValue.PolicyKCIAAttrIRK フィールドには、鍵の作成とインポートのポリシーで、 インポートされたルート鍵が前に許可されていたかどうかが示されます。
  • requestData.newValue.PolicyKCIAAttrIRK フィールドには、 鍵の作成とインポートのポリシーで、インポートされたルート鍵が許可されているかどうかが示されます。
  • requestData.initialValue.PolicyKCIAAttrISK フィールドには、 鍵の作成とインポートのポリシーで、インポートされた標準鍵が前に許可されていたかどうかが示されます。
  • requestData.newValue.PolicyKCIAAttrISK フィールドには、 鍵の作成とインポートのポリシーで、インポートされた標準鍵が許可されているかどうかが示されます。
  • requestData.initialValue.PolicyKCIAAttrET フィールドには、鍵の作成とインポートのポリシーで、インポート・トークンによる鍵のインポートが前に必須にされていたかどうかが示されます。
  • requestData.newValue.PolicyKCIAAttrET フィールドには、鍵の作成とインポートのポリシーで、インポート・トークンによる鍵のインポートが必須にされているかどうかが示されます。

インポート・トークン・イベント

インポート・トークンの作成

以下のフィールドに追加情報が含まれています。

  • responseData.expirationDate フィールドには、インポート・トークンの有効期限が含まれています。
  • responseData.maxAllowedRetrievals フィールドには、インポート・トークンを有効期限内に取得できる最大回数が含まれています。この回数を超えるとインポート・トークンにアクセスできなくなります。

インポート・トークンの取得

以下のフィールドに追加情報が含まれています。

  • responseData.maxAllowedRetrievals フィールドには、インポート・トークンを有効期限内に取得できる最大回数が含まれています。この回数を超えるとインポート・トークンにアクセスできなくなります。
  • responseData.remainingRetrievals フィールドには、インポート・トークンを有効期限内に取得できる回数が含まれています。この回数を超えるとインポート・トークンにアクセスできなくなります。

登録イベント

登録のリスト

以下のフィールドに追加情報が含まれています。

  • responseData.totalResources フィールドには、応答で返された登録の総数が含まれています。

Trusted Key Entry イベント

次の表に、成功した TKE イベントを示す戻り値をリストします。

表 14. 成功したTKEイベントの戻り値
フィールド名 返された値
outcome success
reason.reasonCode 200
reason.reasonType OK

TKE イベントの以下の共通フィールドには、追加情報が含まれています。

  • requestData.location フィールドには、暗号装置の特定の場所が含まれています。 場所は以下のフォーマットに従います。

    [リージョン].[アベイラビリティー・ゾーン].[ハードウェア・セキュリティー・モジュール (HSM) のモジュール・インデックス].[HSM のドメイン・インデックス]。

    例えば、インスタンスを us-east リージョンにプロビジョンした場合、返される値は [us-east].[AZ2-CSSTAG2].[03].[22] のようになります。

  • target.id フィールドには、暗号装置のクラウド・リソース名 (CRN) が含まれています。

  • target.name フィールドにも、暗号装置の場所が含まれています。

  • target.typeURI フィールドには、アクションのターゲットのオブジェクトの URI が含まれています。 例えば、hs-crypto.tke-cryptounit-master-key-register.add アクションを実行すると、戻される値は hs-crypto/tke-cryptounit/master-key-register となります。

次の TKE イベントでは、追加の情報が固有のフィールドに示されます。

暗号装置管理者の追加

  • requestData.adminId フィールドには、追加する管理者に関連付けられた署名鍵ファイルの SHA-256 ハッシュが含まれています。
  • responseData.adminIds フィールドには、暗号装置に追加されているすべての管理者に関連付けられた署名鍵ファイルの SHA-256 ハッシュがリストされます。

暗号装置管理者の削除

  • requestData.adminId フィールドには、削除する管理者に関連付けられた署名鍵ファイルの SHA-256 ハッシュが含まれています。
  • responseData.adminIds フィールドには、暗号化ユニットに追加されるすべての管理者に 関連付けられた署名キーファイルのSHA-256ハッシュが一覧表示 される。

最低必要署名数の設定

  • requestData.signatureThreshold フィールドには、暗号装置で設定したメインの署名しきい値が含まれています。
  • requestData.revocationSignatureThreshold フィールドには、暗号装置に設定した取り消し署名しきい値が含まれています。
  • responseData.signatureThreshold フィールドには、暗号装置に正常に設定されたメインの署名しきい値が含まれています。
  • responseData.revocationSignatureThreshold フィールドには、暗号装置に正常に設定された取り消し署名しきい値が含まれています。

新規マスター鍵

レジスターへの ロード

  • requestData.masterKeyIds フィールドには、暗号装置にロードするために選択するすべてのマスター鍵パーツ・ファイルの SHA-256 ハッシュがリストされます。
  • responseData.verificationPattern フィールドには、選択したマスター鍵パーツで構成され、新規マスター鍵レジスターにロードされるマスター鍵の SHA-256 ハッシュが含まれています。

新規マスター鍵レジスターのコミット

  • requestData.verificationPattern フィールドには、新規マスター鍵レジスターにロードされるマスター鍵の SHA-256 ハッシュが含まれています。
  • responseData.masterKeyIds フィールドには、マスター鍵を構成するすべてのマスター鍵パーツ・ファイルの SHA-256 ハッシュがリストされます。

現行マスター鍵レジスターのアクティブ化

  • requestData.verificationPattern フィールドには、新規マスター鍵レジスターにロードされてコミットされるマスター鍵の SHA-256 ハッシュが含まれています。
  • responseData.verificationPattern フィールドには、アクティブ化されているマスター鍵の SHA-256 ハッシュが含まれています。

Certificate Manager のイベント

次の表に、Certificate Manager の成功したイベントを示す戻り値をリストします。

表 15. 成功したmTLS証明書マネージャイベントの戻り値
フィールド名 返された値
outcome success
reason.reasonCode 200
reason.reasonType OK

Certificate Manager のイベントの次の共通フィールドには、追加の情報が含まれています。

  • target.id フィールドには、イベントのクラウド・リソース名 (CRN) が含まれています。
  • target.name フィールドには、イベントのターゲット名 (「mtlscert-admin-key」や「mtlscert-cert」など) が示されます。
  • target.typeURI フィールドには、アクションのターゲットのオブジェクトの URI が含まれています。 例えば、hs-crypto.mtlscert-admin-key.create アクションを実行すると、戻される値は hs-crypto/mtlscert-admin-key となります。

次の Certificate Manager のイベントでは、追加の情報が特定のフィールドに示されることがあります。

証明書管理者の管理者署名鍵を作成します

以下のフィールドに追加情報が含まれています。

  • requestData.accountId フィールドには、現在のユーザー ID が含まれています。
  • responseData.action フィールドには、現行ユーザーのアクションの詳細が含まれています。

証明書管理者の管理者署名鍵を更新します

以下のフィールドに追加情報が含まれています。

  • requestData.accountId フィールドには、現在のユーザー ID が含まれています。
  • responseData.action フィールドには、現行ユーザーのアクションの詳細が含まれています。

証明書管理者の管理者署名鍵の削除

以下のフィールドに追加情報が含まれています。

  • requestData.accountId フィールドには、現在のユーザー ID が含まれています。
  • responseData.action フィールドには、現行ユーザーのアクションの詳細が含まれています。

証明書管理者の管理者署名鍵を取得します

以下のフィールドに追加情報が含まれています。

  • requestData.accountId フィールドには、現在のユーザー ID が含まれています。
  • responseData.action フィールドには、現行ユーザーのアクションの詳細が含まれています。

証明書管理者による証明書の作成または更新

以下のフィールドに追加情報が含まれています。

  • requestData.certificateId フィールドには、ターゲット証明書が示されます。
  • responseData.action フィールドには、証明書が作成または更新されることが示されます。

証明書管理者による証明書のリスト

以下のフィールドに追加情報が含まれています。

  • responseData.action フィールドには、現在の管理者が管理しているすべての証明書がリスト表示されることが示されます。

証明書管理者による証明書を取得します

以下のフィールドに追加情報が含まれています。

  • requestData.certificateId フィールドには、ターゲット証明書が示されます。
  • responseData.action フィールドには、証明書が取得および表示されることが示されます。

証明書管理者による証明書の削除

以下のフィールドに追加情報が含まれています。

  • requestData.certificateId フィールドには、ターゲットの mTLS 証明書が示されます。
  • responseData.action フィールドには、証明書が削除されることが示されます。

EP11 鍵ストア・イベント

以下の表に、EP11 keystoreイベントが成功したことを示す返される値を示します：

表 18. 成功した EP11 鍵ストア・イベントの戻り値
フィールド名 返された値
outcome 成功
reason.reasonCode 200
reason.reasonType OK

EP11 keystoreイベントの以下の共通フィールドには、追加情報が含まれています：

  • target.name フィールドには、鍵ストアまたは鍵の ID が含まれます。

EP11 暗号イベント

以下の表に、EP11 cryptoイベントの成功を示す返される値を示す：

表 19. 成功した EP11 暗号イベントの戻り値
フィールド名 返された値
outcome 成功
reason.reasonCode 200
reason.reasonType OK

失敗したイベントの分析

鍵を削除できない

鍵の削除イベントで reason.reasonCode 409 が表示される場合、鍵が保存ポリシーのある 1 つ以上のクラウド・リソースを保護しているため、鍵を削除できない可能性があります。 /keys/{id}/registrations への GET 要求を実行して、この鍵が関連付けられているリソースを確認します。 登録に "preventKeyDeletion": true は、関連するリソースに保持ポリシーがあることを示す。 削除を有効にするには、アカウント所有者に連絡して、この鍵に関連付けられた各リソースの保存ポリシーを削除してください。

鍵の削除イベントでは、鍵に対する二重許可削除ポリシーがあるために reason.reasonCode 409 を受け取る場合もあります。 /api/v2/keys/{id}/policies に GET 要求を発行すると、二重許可ポリシーが鍵に関連付けられているかどうかを確認できます。 ポリシー・セットがある場合は、他の許可ユーザーに連絡して、鍵を削除してください。

要求の実行中に認証できない

イベントの reason.reasonCode が 401 である場合は、指定したサービス・インスタンスで Hyper Protect Crypto Services のアクションを実行するための適切な権限を持っていない可能性があります。 該当するサービス・インスタンスにおいて正しいプラットフォーム・アクセス役割およびサービス・アクセス役割を割り当てられているかどうか、管理者と共に検証してください。 役割について詳しくは、 役割と許可を参照してください。

サービス・アクションを実行する権限があるアカウントに関連付けられている有効なトークンを使用していることを確認してください。

サービス・インスタンス内の鍵を表示またはリストできない

GET api/v2/keys を呼び出すと、サービス・インスタンスで使用できる鍵をリストすることができます。 responseData.totalResources が 0 の場合は、state パラメーターを使用して削除状態の鍵を照会するか、 要求の offset パラメーターと limit パラメーターを調整してください。

登録の鍵のライフサイクル・アクションが完了しない

responseData.reasonForFailure フィールドと responseData.resourceCRN フィールドには、アクションを実行できなかった理由に関する情報が含まれています。

イベントの reason.reasonCode が 409 である場合は、導入しているサービスでの鍵の状態と Hyper Protect Crypto Services での鍵の状態が矛盾しているために、アクションを実行できません。

イベントの reason.reasonCode が 408 の場合、以下の理由でアクションを完了できません。 アクション要求から 4 時間以内にすべての適切なアクションが実行されたことが Hyper Protect Crypto Services に通知されませんでした。

Trusted Key Entry アクションを実行できません

失敗した TKE イベントの outcome は failure となります。 reason.reasonType フィールドと reason.reasonForFailure フィールドには、アクションを実行できなかった理由に関する情報が含まれています。

イベントに reason.reasonCode という 400 がある場合は、暗号装置に対する操作がサポートされていないか無効であるため、アクションを完了できません。 TKE CLI referenceを参照して、使用するTKEコマンドが有効かどうかを確認してください。

イベントに reason.reasonCode または 401 という 403 がある場合は、アクセス・トークンが無効であるか、このインスタンスにアクセスするために必要な許可を持たないため、アクションを完了できません。 アクセス・トークンを再表示し、対応するアクションを実行するための 適切な許可があるかどうかを確認してください。

イベントに reason.reasonCode という 500 がある場合は、reason.reasonForFailure の値を確認して、失敗の理由と、実行する必要がある対応するアクションを確認してください。

イベントの重大度

すべての Activity Tracker イベントの重大度 Hyper Protect Crypto Services は実行された要求のタイプ、次にステータス・コードによります。 例えば、鍵の作成の要求に無効な鍵を使用していたために、サービス・インスタンスで認証されなかったとします。 未認証が優先され このイベントは 401 不正なリクエスト呼び出しとして評価され、重大度は critical.

すべての TKE イベントの重大度レベルは、アクションの機密性のために critical です。

次の表に、各重大度レベルに関連付けられているアクションをリストします。

表 20. Hyper Protect Crypto Services サービス・アクションの重大度レベル
重大度 アクション
Critical hs-crypto.secrets.delete

hs-crypto.registrations.delete

hs-crypto.tke-cryptounit-admin.add

hs-crypto.tke-cryptounit-admin.remove

hs-crypto.tke-cryptounit-current-master-key-register.clear

hs-crypto.tke-cryptounit-new-master-key-register.clear

hs-crypto.tke-cryptounit-master-key-register.add

hs-crypto.tke-cryptounit-master-key-register.commit

hs-crypto.tke-cryptounit-master-key-register.activate

hs-crypto.tke-cryptounit-threshold.set

hs-crypto.tke-cryptounit.reset

hs-crypto.mtlscert-admin-key.create

hs-crypto.mtlscert-admin-key.update

hs-crypto.mtlscert-admin-key.delete

hs-crypto.mtlscert-cert.set

hs-crypto.mtlscert-cert.set

hs-crypto.keystore.deletekey

hs-crypto.keystore.deletekeystore

hs-crypto.keystore.updatekey
Warning hs-crypto.secrets.rotate

hs-crypto.secrets.restore

hs-crypto.secrets.enable

hs-crypto.secrets.disable

hs-crypto.secrets.setkeyfordeletion

hs-crypto.secrets.unsetkeyfordeletion

hs-crypto.policies.write

hs-crypto.hs-crypto.instance-policies.write
Normal hs-crypto.secrets.create ¥ n
hs-crypto.secrets.read

hs-crypto.secrets-metadata.read ¥ n
hs-crypto.secrets.head

hs-crypto.secrets.list ¥ n
hs-crypto.secrets.wrap

hs-crypto.secrets.unwrap ¥ n
hs-crypto.secrets.rewrap

hs-crypto.secrets-key-versions.list ¥ n
hs-crypto.secrets-event.ack

hs-crypto.policies.read ¥ n
hs-crypto.instance-policies.read
hs-crypto.import-token.create ¥ n
hs-crypto.import-token.read

hs-crypto.registrations.create ¥ n
hs-crypto.registrations.write

hs-crypto.registrations.merge ¥ n
hs-crypto.registrations.list

hs-crypto.secrets.ack-delete ¥ n
hs-crypto.secrets.ack-restore

hs-crypto.secrets.ack-rotate ¥ n
hs-crypto.secrets.ack-enable

hs-crypto.secrets.ack-disable

hs-crypto.mtlscert-cert.read

hs-crypto.mtlscert-cert.list

hs-crypto.mtlscert-admin-key.read

hs-crypto.keystore.createkeystore

hs-crypto.keystore.listkeysbyattributes

hs-crypto.keystore.listkeysbyids

hs-crypto.keystore.listkeystoresbyattributes

hs-crypto.keystore.listkeystoresbyids

hs-crypto.keystore.storenewkey

hs-crypto.ep11.use

以下の表に、各重大度レベルに関連付けられた状況コードをリストします。

表 21z。 Hyper Protect Crypto Services応答ステータスコードの深刻度レベル
重大度 状況コード
重大 400 (TKE イベントのみ)、401、403、500、503、507
警告 400, 409, 424, 502, 504, 505