Schritt 1: Mindestens einen Signaturschlüssel generieren

Zum Laden des Registers für neuen Masterschlüssel muss ein Administrator für Verschlüsselungseinheiten den Befehl mit einem eindeutigen Signaturschlüssel signieren. Im ersten Schritt erstellen Sie eine oder mehrere Signaturschlüsseldateien, die Signaturschlüssel auf Ihrer Workstation enthalten.

Aus Sicherheitsgründen können Signaturschlüsseleigner andere Personen als die Eigner der Masterschlüsselteile sein. Der Signaturschlüsseleigner sollte die einzige Person sein, die das Kennwort kennt, das der Signaturschlüsseldatei zugeordnet ist.

• Verwenden Sie den folgenden Befehl, um die auf der Workstation vorhandenen Signaturschlüssel anzuzeigen:

  ibmcloud tke sigkeys
  

• Verwenden Sie den folgenden Befehl, um einen neuen Signaturschlüssel auf der Workstation zu erstellen und zu speichern:

  ibmcloud tke sigkey-add
  

  Geben Sie bei entsprechender Aufforderung einen Administratornamen und ein Kennwort zum Schutz der Signaturschlüsseldatei ein. Das Kennwort müssen Sie sich merken. Wenn das Kennwort verloren geht, kann der Signaturschlüssel nicht verwendet werden.

  Wiederholen Sie diesen Befehl bei Bedarf, um mehrere Signaturschlüssel zu erstellen.

• Verwenden Sie den folgenden Befehl, um die Administratoren auszuwählen, die künftige Befehle signieren:

  ibmcloud tke sigkey-sel
  

  Es wird eine Liste der Signaturschlüssel angezeigt, die auf der Workstation gefunden wurden.Geben Sie bei entsprechender Aufforderung die Schlüsselnummern der Signaturschlüsseldateien ein, die für das Signieren nachfolgender Verwaltungsbefehle ausgewählt werden sollen. Geben Sie bei entsprechender Aufforderung die Kennwörter für die Signaturschlüsseldateien ein.

  Mit diesem Befehl wird bestimmt, welche Signaturschlüssel zum Signieren zukünftiger Befehle zugelassen werden. Die Anzahl der Signaturschlüsseldateien, die Sie auswählen können, ist nicht begrenzt.Wenn Sie mehr Signaturschlüssel auswählen, als zum Signieren eines Befehls erforderlich sind, werden die Signaturschlüssel, die tatsächlich verwendet werden, zum Zeitpunkt der Ausführung des Befehls bestimmt.

  Sie können auch einen Signierservice eines anderen Anbieters verwenden, um Signaturschlüssel zur Verfügung zu stellen. Weitere Informationen finden Sie im Abschnitt zur Verwendung eines Signierservice für die Verwaltung von Signaturschlüsseln für die Instanzinitialisierung.

Schritt 2: Mindestens einen Administrator der Zielverschlüsselungseinheit hinzufügen

• Verwenden Sie den folgenden Befehl, um die vorhandenen Administratoren für eine Verschlüsselungseinheit anzuzeigen:

  ibmcloud tke cryptounit-admins
  

• Verwenden Sie den folgenden Befehl, um einen Administrator hinzuzufügen:

  ibmcloud tke cryptounit-admin-add
  

  Es wird eine Liste der Signaturschlüsseldateien angezeigt, die auf der Workstation gefunden wurden.

  Wählen Sie bei entsprechender Aufforderung die Signaturschlüsseldatei aus, die dem hinzuzufügenden Administrator für Verschlüsselungseinheiten zugeordnet ist. Geben Sie anschließend das Kennwort für die ausgewählte Signaturschlüsseldatei ein.

  Sie können den Befehl bei Bedarf wiederholen, um weitere Administratoren für Verschlüsselungseinheiten hinzuzufügen.

  Die Anzahl der Administratoren, die Sie einer Verschlüsselungseinheit hinzufügen, muss größer-gleich dem Signaturschwellenwert und dem Schwellenwert für die Widerrufssignatur sein, den Sie in Schritt 3festlegen möchten. Wenn Sie beispielsweise den Signaturschwellenwert oder den Schwellenwert für die Widerrufssignatur auf zwei setzen möchten, müssen Sie mindestens zwei Administratoren zur Verschlüsselungseinheit hinzufügen. Sie können bis zu acht Administratoren zu einer Verschlüsselungseinheit hinzufügen.

  Entfernen Sie die Administratorsignaturschlüsseldateien nicht von Ihrer Workstation. Andernfalls sind Sie nicht in der Lage, TKE-Aktionen auszuführen, die signiert werden müssen, wie z. B. das Auffüllen von Verschlüsselungseinheiten mit Nullen und das Rotieren von Masterschlüsseln.

  Im Modus 'imprint' muss der Befehl zum Hinzufügen eines Administrators für Verschlüsselungseinheiten nicht signiert werden. Wenn die Verschlüsselungseinheit den Modus 'imprint' verlassen hat, bestimmt der Signaturschwellenwert für die Verschlüsselungseinheit, wie viele Verschlüsselungseinheitenadministratoren den Befehl signieren müssen.

  Aus Gründen der Sicherheit und Konformität kann der Administratorname der Verschlüsselungseinheit in Protokollen für Prüfzwecke angezeigt werden.

Schritt 3: Schwellenwerte für die Quorumauthentifizierung festlegen, um den Modus 'imprint' in der Zielverschlüsselungseinheit zu verlassen

Eine Verschlüsselungseinheit im Modus „imprint“ wird als nicht sicher betrachtet.Die meisten Verwaltungsbefehle, wie zum Beispiel das Laden des Registers für neuen Masterschlüssel, können nicht im Modus „imprint“ ausgeführt werden.

Verwenden Sie den folgenden Befehl, um den Modus 'imprint' zu verlassen, nachdem Sie mindestens einen Administrator für Verschlüsselungseinheiten hinzugefügt haben:

ibmcloud tke cryptounit-thrhld-set

Geben Sie bei entsprechender Aufforderung Werte für den Signaturschwellenwert und den Widerrufssignaturschwellenwert ein. Der Signaturschwellenwert steuert, wie viele Signaturen benötigt werden, um die meisten Verwaltungsbefehle auszuführen. Der Widerrufssignaturschwellenwert steuert, wie viele Signaturen zum Entfernen eines Administrators nach Verlassen des Modus 'imprint' erforderlich sind. Einige Befehle benötigen unabhängig von der Einstellung des Signaturschwellenwerts nur eine Signatur.

Die Signaturschwellenwerte müssen Zahlen zwischen 1 und 8 sein. Der Signaturschwellenwert und der Widerrufssignaturschwellenwert können verschieden sein. Wenn Sie die Signaturschwellenwerte auf einen Wert größer als eins setzen, können Sie die Quorumauthentifizierung für sensible Operationen erzwingen, z. B. das Festschreiben eines Masterschlüsselregisters, das Ändern der Signaturschwellenwerte und das Hinzufügen oder Entfernen von Administratoren, nachdem die Verschlüsselungseinheit den Modus 'imprint' beendet hat.

Der Befehl zum Verlassen des Modus „imprint“ muss von so vielen Administratoren signiert werden, wie durch den neuen Signaturschwellenwert festgelegt wird.Nachdem Verschlüsselungseinheiten den Modus „imprint“ verlassen haben, müssen alle an die Verschlüsselungseinheiten ausgegebenen Befehle signiert werden.Auch nachdem eine Verschlüsselungseinheit den Modus 'imprint' verlassen hat, können Sie die Signaturschwellenwerte für die Verschlüsselungseinheit mithilfe des Befehls cryptounit-thrhld-set ändern.Zum Anzeigen der aktuellen Signaturschwellenwerte führen Sie den Befehl ibmcloud tke cryptounit-thrhlds aus.

Schritt 4: Gruppe von zu verwendenden Masterschlüsselteilen erstellen

Jeder Masterschlüsselteil wird in einer kennwortgeschützten Datei auf der Workstation gespeichert.

Sie müssen mindestens zwei Masterschlüsselteile erstellen. Aus Sicherheitsgründen können maximal drei Masterschlüsselteile verwendet werden und jeder Schlüsselteil kann einer anderen Person gehören. Der Schlüsselteileigner sollte die einzige Person sein, die das Kennwort kennt, das der Schlüsselteildatei zugeordnet ist.

• Verwenden Sie den folgenden Befehl, um die auf der Workstation vorhandenen Masterschlüsselteile anzuzeigen:

  ibmcloud tke mks
  

• Verwenden Sie den folgenden Befehl, um einen zufälligen Masterschlüsselteil auf der Workstation zu erstellen und zu speichern:

  ibmcloud tke mk-add --random
  

  Geben Sie bei entsprechender Aufforderung eine Beschreibung für den Schlüsselteil und ein Kennwort zum Schutz der Schlüsselteildatei ein. Das Kennwort müssen Sie sich merken. Wenn das Kennwort verloren geht, können Sie den Schlüsselteil nicht verwenden.

• Verwenden Sie den folgenden Befehl, um einen bekannten Wert für den Schlüsselteil einzugeben und in einer Datei auf der Workstation zu speichern:

  ibmcloud tke mk-add --value
  

  Geben Sie bei entsprechender Aufforderung den Wert für den Schlüsselteil als hexadezimale Zeichenfolge für den 32-Byte-Schlüsselteil ein. Geben Sie anschließend eine Beschreibung für den Schlüsselteil und ein Kennwort zum Schutz der Schlüsselteildatei ein.

Schritt 5: Register für neuen Masterschlüssel laden

Zum Laden eines Masterschlüsselregisters müssen alle zu verwendenden Dateien mit Masterschlüsselteilen und alle Signaturschlüsseldateien auf einer gemeinsamen Workstation vorhanden sein. Wenn die Dateien auf separaten Workstations erstellt wurden, müssen Sie sicherstellen, dass die Dateinamen unterschiedlich sind, um Kollisionen zu vermeiden. Die Eigner der Masterschlüsselteildateien und die Eigner der Signaturschlüsseldateien müssen die Dateikennwörter eingeben, wenn das Masterschlüsselregister auf der gemeinsamen Workstation geladen wird.

Informationen zum Laden des Masterschlüssels finden Sie in den detaillierten Abbildungen unter Masterschlüsselregister.

Laden Sie das Register für neuen Masterschlüssel mit dem folgenden Befehl:

ibmcloud tke cryptounit-mk-load

Es wird eine Liste der Masterschlüsselteile angezeigt, die auf der Workstation gefunden wurden.

Geben Sie bei entsprechender Aufforderung die Schlüsselteile, die in das Register für neuen Masterschlüssel geladen werden sollen, das Kennwort für die zu verwendende Signaturschlüsseldatei sowie das Kennwort für jede ausgewählte Schlüsselteildatei ein. Für diesen Befehl wird nur ein Signaturschlüssel benötigt.

Schritt 6: Register für neuen Masterschlüssel festschreiben

Stellen Sie sicher, dass Sie diesen Schritt unmittelbar nach Schritt 5 ausführen, um das neue Masterschlüsselregister in den Status Full committed zu versetzen. Andernfalls können Sie Ihre Serviceinstanz nicht initialisieren oder Verschlüsselungsoperationen mit GREP11-API oder PKCS #11 -API ausführen.

Beim Laden des neuen Masterschlüsselregisters wird das neue Masterschlüsselregister in den Status Full uncommitted versetzt. Bevor Sie das Register für neuen Masterschlüssel verwenden können, um den Schlüsselspeicher zu initialisieren oder erneut zu verschlüsseln, versetzen Sie das Register für neuen Masterschlüssel in den Status 'Festgeschrieben'. Informationen zum Laden des Masterschlüssels finden Sie in den detaillierten Abbildungen unter Masterschlüsselregister.

Schreiben Sie das Register für neuen Masterschlüssel mit dem folgenden Befehl fest:

ibmcloud tke cryptounit-mk-commit

Geben Sie bei entsprechender Aufforderung die Kennwörter für die zu verwendenden Signaturschlüsseldateien ein. Eine vollständige Gruppe von Signaturen ist erforderlich, um die Quorumauthentifizierung zu erzwingen.

Schritt 7: Masterschlüssel aktivieren

Aktivieren Sie den Masterschlüssel durch Verschieben des Masterschlüssels in das Register für aktuellen Masterschlüssel mit dem folgenden Befehl:

ibmcloud tke cryptounit-mk-setimm

Es wird eine Nachricht angezeigt, in der gefragt wird, ob Sie den neuen Masterschlüssel akzeptieren.

Beachten Sie Folgendes, bevor Sie Aktionen ausführen:

• Wenn Sie die Serviceinstanz zum ersten Mal initialisieren, können Sie diese Nachricht ignorieren und y eingeben, um fortzufahren.
• Wenn Sie die Verwaltung von Schlüsseln mit der Serviceinstanz gestartet haben und den zuvor verwendeten Masterschlüssel erneut laden möchten, müssen Sie sicherstellen, dass keine gerade Schlüsselmanagementaktionen ausgeführt werden, und y eingeben, um fortzufahren.
• Wenn Sie die Verwaltung von Schlüsseln mit der Serviceinstanz gestartet haben und einen neuen Masterschlüssel laden möchten, müssen Sie N eingeben, um den Vorgang abzubrechen. Weitere Informationen zur Rotation des Masterschlüssels finden Sie unter Masterschlüssel wechseln.

Geben Sie bei entsprechender Aufforderung das Kennwort für die zu verwendende Signaturschlüsseldatei ein. Für diesen Befehl ist nur ein Signaturschlüssel erforderlich, da der Schlüssel bereits in Schritt 6 verfügbar gemacht wurde. Der Masterschlüssel kann mit einer Administratorsignatur aktiviert werden.