Visão geral-Plano Unified Key Orchestrator

O IBM Cloud® Hyper Protect Crypto Services é um serviço de gerenciamento de chave dedicado e o Módulo de Segurança de Hardware(HSM)A physical appliance that provides on-demand encryption, key management, and key storage as a managed service. que fornece a você o recurso Keep Your Own Key para a criptografia de dados em nuvem Desenvolvido em hardware certificado por FIPS 140-2 de de Nível 4, Hyper Protect Crypto Services fornece controle exclusivo de suas chaves de criptografia. Com o Unified Key Orchestrator, é possível conectar sua instância de serviço a keystores na IBM Cloud e provedores de nuvem de terceiros, faça backup e gerencie chaves usando um sistema unificado e orquestre chaves em várias nuvens.

Assista ao vídeo a seguir para saber como o Hyper Protect Crypto Services com Unified Key Orchestrator fornece a você controle de chave de criptografia exclusiva e gerenciamento de chave unificado na nuvem:

Por que o IBM Cloud Hyper Protect Crypto Services?

A segurança de dados e informações é crucial e essencial para ambientes de TI. À medida que mais dados se movem para a nuvem, manter os dados protegidos torna-se um desafio não trivial. Construído sobre a tecnologia IBM LinuxONE, o Hyper Protect Crypto Services ajuda a assegurar que somente você tenha acesso às suas chaves e dados.

Um serviço de gerenciamento de chave de locatário único fornecido por HSMs dedicados controlados pelo cliente ajuda a criar e gerenciar facilmente suas chaves de criptografia. Como alternativa, é possível trazer suas próprias chaves de criptografia para a nuvem. O serviço usa a mesma API do fornecedor de chave que o Key Protect, um serviço de gerenciamento de chave de multilocatário, para fornecer uma abordagem consistente para adotar os serviços do IBM Cloud.

O Hyper Protect Crypto Services oferece um HSM dedicado que é controlado por você. Os administradores da IBM Cloud não têm acesso. O serviço baseia-se no hardware certificado por FIPS 140-2 Nível 4, o mais alto oferecido por qualquer provedor em nuvem no setor. A IBM é a primeira a fornecer a interface da linha de comandos (CLI) em nuvem para a inicialização da chave mestraAn encryption key that is used to protect a crypto unit. The master key provides full control of the hardware security module and ownership of the root of trust that encrypts the chain keys, including the root key and standard key. do HSM para ajudar a permitir que você assuma a propriedade do HSM em nuvem.. Também é possível carregar a chave mestra com os utilitários de gerenciamento do IBM Hyper Protect Crypto Services. Os utilitários de gerenciamento criam e armazenam suas partes de chave mestra em cartões inteligentes e nunca expõem seus segredos para a estação de trabalho e a nuvem, assegurando assim o mais alto nível de proteção aos seus segredos.

O Hyper Protect Crypto Services pode se integrar aos serviços de dados e armazenamento da IBM Cloud, assim como o VMware® vSphere® e VSAN, para fornecer criptografia de dados em repouso.

O HSM em nuvem gerenciada suporta as operações criptográficas de padrão de mercado usando os Padrões de Criptografia de Chave Pública (PKCS) n.º 11. Não é necessário mudar seus aplicativos existentes que usam o padrão PKCS n.º 11 para fazer com que ele seja executado no ambiente Hyper Protect Crypto Services. A biblioteca PKCS n.º 11 aceita as solicitações de API PKCS n.º 11 de seus aplicativos e acessa remotamente o HSM em nuvem para executar as funções de criptografia correspondentes, como assinatura digital e validação.

O Enterprise PKCS n.º 11 sobre gRPC (GREP11) também é suportado pelos Hyper Protect Crypto Services. A biblioteca EP11 fornece uma interface semelhante à interface de programação de aplicativos(API)PKCS #11 padrão de mercado.

Com a criptografia integrada de Hyper Protect Crypto Services, é possível criar facilmente aplicativos em nuvem com dados confidenciais. Hyper Protect Crypto Services fornece controle total de seus dados e chaves de criptografia, incluindo a chave mestra. O serviço também ajuda o seu negócio a atender a conformidade regulatória com a tecnologia que fornece controles exclusivos sobre o acesso do usuário privilegiado e externo a dados e chaves.

Por que Unified Key Orchestrator?

Muitas empresas têm a obrigação legal de trazer suas próprias chaves criptográficas quando movem cargas de trabalho confidenciais para a nuvem. As empresas estão adotando criptografia nativa e ofertas de gerenciamento de chaves de provedores de nuvem.

Lidar com várias nuvens significa lidar com chaves criptográficas em vários serviços de gerenciamento de chaves.. Isto apresenta os seguintes desafios:

  • Alto esforço manual e suscetibilidade a erros quando as empresas operam diferentes sistemas de gerenciamento de chaves
  • Nenhum controle sobre a chave mestraAn encryption key that is used to protect a crypto unit. The master key provides full control of the hardware security module and ownership of the root of trust that encrypts the chain keys, including the root key and standard key. em sistemas de gerenciamento de chave de nuvem externos
  • Escassez de data centers e equipe qualificada para operar módulos de segurança de hardware(HSMs)A physical appliance that provides on-demand encryption, key management, and key storage as a managed service. para KYOK ou BYOK

Unified Key Orchestrator ameniza a complexidade de manter a criptografia em ambientes híbridos. É possível integrar todos os seus casos de uso de gerenciamento de chaves em uma abordagem consistente, apoiada por um IBM zSystems HSM confiável. Ele fornece os seguintes recursos:

  • Experiência de usuário consistente
  • Integração perfeita na estrutura de nuvem existente
  • Um ponto de controle para várias chaves em várias nuvens
  • Backup seguro de todas as chaves e restauração fácil em várias nuvens

Para um diagrama arquitetônico de Hyper Protect Crypto Services, consulte Arquitetura de serviço.

Assista ao vídeo a seguir para saber como gerenciar a conformidade de um ambiente do Microsoft Office 365 usando Hyper Protect Crypto Services com Unified Key Orchestrator:

Assista ao vídeo a seguir para saber como gerenciar com segurança as chaves de criptografia do AWS S3 usando o Hyper Protect Crypto Services com o Unified Key Orchestrator:

Recursos-chave

O Hyper Protect Crypto Services fornece os seguintes recursos:

Unified Key Orchestrator

  • Conexão com keystores externos

    Unified Key Orchestrator, como parte de Hyper Protect Crypto Services, fornece gerenciamento de ciclo de vida chave de acordo com as recomendações do NIST e transferência segura de chaves para keystores internos na instância de serviço ou de keystores externos. Com o Unified Key Orchestrator, é possível enviar por push suas chaves para keystores de nuvem de terceiros, como o Azure Key Vault, o AWS Key Management Service (KMS), o Google Cloud KMS ou o IBM Key Protect for IBM Cloud, distribuir chaves entre keystores e gerenciar chaves e keystores por meio da IU e da API REST.

  • Sistema de backup e gerenciamento de chaves unificadas

    Unified Key Orchestrator possibilita que você faça backup de todas as chaves na IBM Cloud com a sua instância Hyper Protect Crypto Services. Você pode redistribuir chaves através de sua instância Hyper Protect Crypto Services para se recuperar rapidamente de erros de nuvem fatais. E, ao mesmo tempo, você possui a confiança raiz de sua hierarquia de chaves.

  • Orquestração de chave através de várias nuvens

    Você pode orquestrar chaves por meio de uma experiência de usuário única e unificada em várias nuvens com um mecanismo de orquestração de ciclo de vida de chave auditável. Para obter mais informações, consulte Monitorando o ciclo de vida das chaves de criptografia em Unified Key Orchestrator e Auditoria de eventos para Hyper Protect Crypto Services Hyper Protect Crypto Services com Unified Key Orchestrator.

Para obter mais informações sobre Unified Key Orchestrator, consulte Introduzindo Unified Key Orchestrator.

Serviço de gerenciamento de chaves

No Hyper Protect Crypto Services com o plano Unified Key Orchestrator, atualmente é possível gerenciar chaves raiz e chaves padrão do serviço de gerenciamento de chaves (KMS) somente por meio da API. Para obter mais informações sobre a API do KMS, consulte a Referência da API do KMS

  • Gerenciamento de ciclo de vida de chave

    Hyper Protect Crypto Services fornece um serviço de gerenciamento de chave de locatário único para criar, importar, girar e gerenciar chaves com a API padronizada. Depois que as chaves de criptografia são excluídas, será possível ter certeza de que seus dados não são mais recuperáveis.

  • Criptografia para dados e serviços de carga de trabalho da IBM Cloud

    Ao integrar-se com outros serviços do IBM Cloud, o Hyper Protect Crypto Services oferece a capacidade de trazer sua própria criptografia para a nuvem. O serviço fornece proteção de dupla camada para os seus dados de nuvem, agrupando as chaves de criptografia que estão associadas aos seus serviços em nuvem.

  • Auditoria e gerenciamento de acesso

    O Hyper Protect Crypto Services integra-se ao Cloud Identity and Access Management (IAM) para permitir seu controle granular sobre o acesso do usuário a recursos de serviço. Para obter mais informações, veja Gerenciando o acesso de usuário.

    É também possível monitorar e auditar eventos e atividades do Hyper Protect Crypto Services usando IBM Cloud Activity Tracker. Para obter mais informações, consulte Eventos de auditoria para o Hyper Protect Crypto Services.

Módulo de segurança de hardware da nuvem

  • HSM controlado pelo cliente

    Com Keep Your Own Key, é possível assumir propriedade do HSM por meio da designação de seus próprios administradores e carregando chaves mestras com Hyper Protect Crypto Services. Isso garante seu controle total de toda a hierarquia de chaves sem acesso nem mesmo dos administradores do IBM Cloud.

  • Operações criptográficas

    Os Hyper Protect Crypto Services suportam a API PKCS n.º 11 padrão e a API Enterprise PKCS n.º 11 sobre gRPC (GREP11) para operações criptográficas. As operações incluem gerar chaves, criptografar e decriptografar dados, assinar dados e verificar assinaturas. As funções criptográficas são executadas em HSMs e podem ser acessadas por meio de APIs para fornecer proteção baseada em hardware para seus aplicativos.

    No Hyper Protect Crypto Services com o plano Unified Key Orchestrator, atualmente é possível realizar as operações criptográficas apenas por meio de APIs. Para obter mais informações sobre as APIs, consulte a Referência da API PKCS #11 e a Referência da API GREP11.

  • Certificação de segurança

    O serviço é construído em hardware certificado por FIPS 140-2 Nível 4, o nível de segurança mais alto oferecido na indústria. O HSM também é certificado para atender ao Common Criteria Part 3 em conformidade com o EAL 4.

O que vem a seguir