Überprüfen Sie und stellen Sie sicher, dass Sie die IBM Cloud-CLI und das neueste CLI-Plug-in TKE mit dem folgenden Befehl installieren:

ibmcloud plugin install tke

Wenn Sie das CLI-Plug-in TKE installiert haben, stellen Sie sicher, dass Ihr Plug-in mit dem folgenden Befehl auf die neueste Version aktualisiert wird:

ibmcloud plugin update tke

Melden Sie sich bei IBM Cloud über die Befehlszeilenschnittstelle an.

Wenn Sie über mehrere Konten verfügen, wählen Sie das Konto aus, mit dem Ihre Serviceinstanz erstellt wird. Stellen Sie mit dem folgenden Befehl sicher, dass Sie sich bei der richtigen Region und Ressourcengruppe angemeldet haben, in der sich die Serviceinstanz befindet:

ibmcloud target -r <region> -g <resource_group>

Führen Sie den folgenden Befehl aus, um Failover-Verschlüsselungseinheiten zu aktivieren oder hinzuzufügen:

ibmcloud tke failover-enable

Bevor Sie diesen Befehl ausführen können, müssen Sie alle Verschlüsselungseinheiten für die Zielinstanz mit dem Befehl ibmcloud tke cryptounit-add auswählen.

Dieser Befehl führt Sie durch die Prozedur, um Failover-Verschlüsselungseinheiten zu aktivieren oder hinzuzufügen. Führen Sie die folgenden Schritte aus, indem Sie die angezeigten Aufforderungen befolgen:

1. Geben Sie die Gesamtzahl der Failover-Verschlüsselungseinheiten ein, die Sie Ihrer Serviceinstanz zuordnen möchten.

   Für eine Serviceinstanz mit 3 operativen Verschlüsselungseinheiten geben Sie 2 oder 3 Failover-Verschlüsselungseinheiten an. Für eine Serviceinstanz mit 2 operativen Verschlüsselungseinheiten geben Sie 2 Failover-Verschlüsselungseinheiten an.

   Bei der folgenden Ausgabe handelt es sich um eine Beispielanzeige:

   You currently have 0 failover crypto unit(s) for the selected instance 00000a09-0563-4e00-b259-06a4edfc4cba
   Since you have 2 operational crypto units for this instance, you can have up to 2 failover crypto units
   Enter the total number of failover crypto units you would like (max 2):
   > 2
   
   You will now have 2 failover crypto units. This will affect your billing. For more information, see https://cloud.ibm.com/docs/hs-crypto?topic=hs-crypto-faq-pricing
   
   Would you like to continue? [y/n]:
   > y
   

   Wenn Ihre Instanz bereits über eine bestimmte Anzahl von Failover-Verschlüsselungseinheiten verfügt, können Sie diesen Befehl auch verwenden und dieselbe Prozedur befolgen, um weitere Failover-Verschlüsselungseinheiten hinzuzufügen.

2. Geben Sie y ein, um die Aktion zu bestätigen. Die Failover-Verschlüsselungseinheiten werden in der Failover-Zielregion zugeordnet.

   Die Failover-Verschlüsselungseinheiten sind jetzt in us-south und us-east verfügbar. Die beiden Regionen fungieren gegenseitig als Failover-Zielregionen. Wenn sich Ihre Instanz beispielsweise in der Region us-south befindet, ist die Failover-Region für Ihre Instanz us-east.

   Bei der folgenden Ausgabe handelt es sich um eine Beispielanzeige:

   Instance 00000a09-0563-4e00-b259-06a4edfc4cba targetting backup region us-south
   2 failover crypto units have been assigned.
   Getting cryptounit info... this may take a moment
   
   API endpoint:    https://cloud.ibm.com
   Region:          us-south
   User:            user@ibm.com
   Account:         user-account (8230.....a255)
   Resource group:  Default
   
   SERVICE INSTANCE: 00000a09-0563-4e00-b259-06a4edfc4cba
   CRYPTO UNIT NUM   SELECTED   TYPE           LOCATION
   1                 true       OPERATIONAL    [us-east].[AZ3-CS3].[02].[03]
   2                 true       OPERATIONAL    [us-east].[AZ2-CS2].[02].[03]
   3                 true       RECOVERY       [us-east].[AZ2-CS4].[03].[06]
   4                 true       RECOVERY       [us-south].[AZ3-CS2].[03].[20]
   5                 false      FAILOVER       [us-south].[AZ2-CS2].[03].[04]
   6                 false      FAILOVER       [us-south].[AZ3-CS3].[01].[07]
   
   Note: all operational crypto units in a service instance must be configured the same.
   Use 'ibmcloud tke cryptounit-compare' to check how crypto units are configured.
   You should initialize your failover crypto units now to be prepared for a failover event.
   

Initialisieren Sie die Failover-Verschlüsselungseinheiten, indem Sie denselben Masterschlüssel für die Initialisierung der operativen Verschlüsselungseinheiten und denselben Initialisierungsansatz verwenden:

• Serviceinstanzen mit Smartcards und den Managementdienstprogrammen initialisieren
• Serviceinstanzen mithilfe von Schlüsselteildateien initialisieren

Um Ihre Serviceinstanzen mithilfe von Wiederherstellungsverschlüsselungseinheiten zu initialisieren, müssen Sie Administratoren installieren, die Signaturschwellenwerte festlegen und das aktuelle Masterschlüsselregister laden. Wählen Sie die zu initialisierenden Failover-Verschlüsselungseinheiten aus und verwenden Sie die folgenden TKE-Plug-in-Befehle:

• Fügen Sie Administratoren hinzu: ibmcloud tke cryptounit-admin-add.
• Legen Sie die Signaturschwellenwerte fest: ibmcloud tke cryptounit-thrhld-set.
• Übertragen Sie den Masterschlüsselwert in einer Wiederherstellungsverschlüsselungseinheit an die Failover-Verschlüsselungseinheiten: ibmcloud tke auto-mk-recover.

Sie müssen Failover-Verschlüsselungseinheiten initialisieren, bevor Sie sie für eine regionale Disaster-Recovery verwenden können. Es wird empfohlen, die Failover-Verschlüsselungseinheiten zu initialisieren, nachdem Sie sie für Ihre Serviceinstanz aktiviert haben.

Stellen Sie sicher, dass die Voraussetzungen erfüllt sind:

1. Verwaltungsdienstprogramme einrichten und die beiden Smartcard-Leser an die USB-Anschlüsse Ihrer Workstation anschließen.

2. Installieren Sie die IBM Cloud-CLI und das neueste TKE-CLI-Plug-in mit dem folgenden Befehl:

   ibmcloud plugin install tke
   

   Wenn Sie das CLI-Plug-in TKE installiert haben, stellen Sie sicher, dass Ihr Plug-in mit dem folgenden Befehl auf die neueste Version aktualisiert wird:

   ibmcloud plugin update tke
   

3. Melden Sie sich bei IBM Cloud über die Befehlszeilenschnittstelle an.

   Wenn Sie über mehrere Konten verfügen, wählen Sie das Konto aus, mit dem Ihre Serviceinstanz erstellt wird. Stellen Sie mit dem folgenden Befehl sicher, dass Sie sich bei der richtigen Region und Ressourcengruppe angemeldet haben, in der sich die Serviceinstanz befindet:

   ibmcloud target -r <region> -g <resource_group>
   

Starten Sie die Trusted Key Entry-Anwendung, indem Sie in das Unterverzeichnis wechseln, in dem Sie die Anwendungen der Managementdienstprogramme installieren, und führen Sie den folgenden Befehl aus:

./tke

Wenn die Anwendung "Trusted Key Entry" gestartet wird, werden das Konto und die Ressourcengruppe angezeigt, die Sie bei der Anmeldung bei IBM Cloud ausgewählt haben.

Führen Sie auf der Registerkarte Verschlüsselungseinheiten die folgenden Schritte aus, um Failover-Verschlüsselungseinheiten zu aktivieren oder hinzuzufügen:

1. Klicken Sie auf Verschlüsselungseinheiten hinzufügen. Geben Sie im angezeigten Dialogfenster die Nummern aller Verschlüsselungseinheiten in der Serviceinstanz durch ein Leerzeichen getrennt ein.

2. Klicken Sie auf Failover aktivieren und anschließend auf Ja, um fortzufahren.

3. Wenn die Serviceinstanz über drei betriebsbereite Verschlüsselungseinheiten verfügt, werden Sie aufgefordert, die Anzahl der Verschlüsselungseinheiten für die Funktionsübernahme entsprechend Ihren Anforderungen einzugeben. Es werden entweder 2- oder 3-Failover-Verschlüsselungseinheiten unterstützt.

   Für eine Serviceinstanz mit nur zwei operativen Verschlüsselungseinheiten werden automatisch zwei Failover-Verschlüsselungseinheiten zugeordnet. In diesem Fall müssen Sie keine Aktionen ausführen.

4. Klicken Sie auf Ja, um die Aktion zu bestätigen. Die Failover-Verschlüsselungseinheiten werden in der Failover-Zielregion zugeordnet.

   Die Failover-Verschlüsselungseinheiten sind jetzt in us-south und us-east verfügbar. Die beiden Regionen fungieren gegenseitig als Failover-Zielregionen. Wenn sich Ihre Instanz beispielsweise in der Region us-south befindet, ist die Failover-Region für Ihre Instanz us-east.

Initialisieren Sie die Failover-Verschlüsselungseinheiten, indem Sie denselben Masterschlüssel für die Initialisierung der operativen Verschlüsselungseinheiten und denselben Initialisierungsansatz verwenden:

• Serviceinstanzen mit Smartcards und den Managementdienstprogrammen initialisieren
• Serviceinstanzen mithilfe von Schlüsselteildateien initialisieren

Sie müssen Failover-Verschlüsselungseinheiten initialisieren, bevor Sie sie für eine regionale Disaster-Recovery verwenden können. Es wird empfohlen, die Failover-Verschlüsselungseinheiten zu initialisieren, nachdem Sie sie für Ihre Serviceinstanz aktiviert haben.