Servicearchitektur-Standardplan
Prüfen Sie die Servicearchitektur, die Merkmale der Workloadisolation und die Serviceabhängigkeiten für IBM Cloud® Hyper Protect Crypto Services.
Hyper Protect Crypto Services-Architektur
Das folgende Architekturdiagramm zeigt, wie Sie mit Hyper Protect Crypto Services-Komponenten interagieren, um Ihre sensiblen Daten und Schlüssel zu schützen.
In der folgenden Liste werden die einzelnen Komponenten ausführlich erläutert.
- Schlüsselmanagementservice-API
-
Die API, die Sie verwenden, um mit dem Schlüsselmanagementservice (KMS) zu interagieren, um Rootschlüssel und Standardschlüssel zu verwalten.
- PKCS #11-API
-
Die branchenübliche API zum Ausführen von Verschlüsselungsoperationen. Hyper Protect Crypto Services implementiert API-Funktionen mit der PKCS #11-Bibliothek, die mit dem Modul Enterprise PKCS #11 (EP11) im Cloud-HSM interagiert.
- GREP11-API
-
Die Abkürzung von Enterprise PKCS #11 over gRPC-API. Es handelt sich um eine statusunabhängige Schnittstelle für Verschlüsselungsoperationen, die auch das EP11-Modul im Cloud-HSM nutzt.
- Managementdienstprogramme
-
Die Managementdienstprogramme bestehen aus dem Smartcard-Dienstprogramm und der Anwendung "Trusted Key Entry" (TKE), die eine Benutzerschnittstelle (GUI) für die Initialisierung von Serviceinstanzen zur Verfügung stellen. Mit Signaturschlüsseln und Masterschlüsselteilen, die auf Smartcards gespeichert werden, bieten die Managementdienstprogramme einen Ansatz, um Serviceinstanzen mit dem höchsten Sicherheitsniveau zu initialisieren.
- CLI-Plug-in TKE
-
Ein CLI-Plug-in, das mit IBM Cloud-CLI zusammenarbeitet und mit dem Sie Serviceinstanzen initialisieren können. Abhängig davon, ob die Recovery-Verschlüsselungseinheiten Ihrer Instanz zugeordnet werden, bietet das Plug-in zwei Möglichkeiten für die Instanzinitialisierung: mithilfe von Recovery-Verschlüsselungseinheiten und mithilfe von Schlüsselteildateien.
- Operative Verschlüsselungseinheit
-
Jede Serviceinstanz setzt sich aus mehreren operativen Verschlüsselungseinheiten zusammen. Die operativen Verschlüsselungseinheiten befinden sich in verschiedenen Verfügbarkeitszonen derselben Region für hohe Verfügbarkeit. Sie werden verwendet, um Verschlüsselungsschlüssel zu verwalten und Verschlüsselungsoperationen auszuführen. Die Anzahl der Verschlüsselungseinheiten, die Sie beim Erstellen Ihrer Instanz angeben, ist die Anzahl der operativen Verschlüsselungseinheiten.
- Recovery-Verschlüsselungseinheit
-
Der Zweck Recovery-Verschlüsselungseinheiten besteht darin, einen Masterschlüsselwert nach einem Zufallsprinzip zu generieren und eine Sicherungskopie des Masterschlüsselwerts zu speichern. Sie können Recovery-Verschlüsselungseinheiten verwenden, um den Masterschlüssel zu laden und den Masterschlüssel wiederherzustellen, wenn er zerstört oder verloren wurde.
Derzeit unterstützen Serviceinstanzen in der Region Madrid (
eu-es) keine Wiederherstellungsverschlüsselungseinheiten. Wenn Sie Ihre Instanz in anderen Regionen alseu-eserstellen, werden Ihrer Instanz automatisch zwei Wiederherstellungsverschlüsselungseinheiten ohne zusätzliche Kosten zugeordnet.Wenn Smartcards zum Laden des Masterschlüssels verwendet werden, sind die Wiederherstellungsverschlüsselungseinheiten nicht anwendbar und können ignoriert werden. Die Sicherung des Masterschlüssels basiert in diesem Fall auf der Sicherung der Smart Cards.
- Failover-Verschlüsselungseinheit
-
Failover-Verschlüsselungseinheiten sichern die operativen Verschlüsselungseinheiten in einer anderen Region, in der sich Keystores befinden, die Verschlüsselungsschlüssel speichern. Wenn eine regionale Störung auftritt, können Sie die Failover-Verschlüsselungseinheiten verwenden, um Produktionsworkloads sicherzustellen und Datenverlust zu vermeiden.
Derzeit sind Failover-Verschlüsselungseinheiten nur in der Region Dallas (
us-south) und Washington DC (us-east) verfügbar. Wenn Sie Ihre Instanz in einer der beiden Regionen erstellen, können Sie auswählen, ob die Failover-Verschlüsselungseinheiten mit zusätzlichen Gebühren aktiviert werden sollen.
Weitere Informationen zu den Hyper Protect Crypto Services-Komponenten finden Sie unter Komponenten und Konzepte.
Hyper Protect Crypto Services-Workloadisolation
Hyper Protect Crypto Services stellen einen regionalen Single-Tenant-Service bereit, der eine vollständige tenantbasierte Workloadisolation mit den folgenden Merkmalen unterstützt:
- Ein dedizierter Keystore in Hyper Protect Crypto Services wird bereitgestellt, um die Datenisolation und Datensicherheit zu gewährleisten.
- Sie haben die alleinige Kontrolle über Ihr Hardwaresicherheitsmodul (HSM) und Ihren Masterschlüssel. Privilegierte Benutzer werden zum Schutz gegen missbräuchliche Verwendung der Systemadministrator- oder Root-Benutzerberechtigungsnachweise ausgesperrt.
- Secure Service Container(SSC) bietet die auf Unternehmen abgestimmte Sicherheit und Imprägnierung, die Unternehmenskunden von der IBM LinuxONE-Technologie erwarten.
Das folgende Diagramm zeigt, wie die Hyper Protect Crypto Services-Workload jedes Tenants isoliert wird.
Serviceabhängigkeiten
Für Hyper Protect Crypto Services sind Abhängigkeiten von den folgenden IBM Cloud-Services zu beachten: