Richtlinie für Netzzugriff kennen

Eine Netzzugriffsrichtlinie für Hyper Protect Crypto Services -Instanzen ist eine zusätzliche Richtlinie, die Kunden verwenden können, um eine Hyper Protect Crypto Services-Instanz API-Anforderungen aus öffentlichen oder privaten Netzen abruft.

Die Richtlinie für Netzzugriff gilt für neu bereitgestellte und vorhandene Instanzen. Bei bereits vorhandenen Instanzen wird die Richtlinie für Netzzugriff durchgesetzt, nachdem sie festgelegt wurde.

Zwei Optionen steuern den Netzzugriff auf Hyper Protect Crypto Services-Instanzen:

• Öffentlicher und privater Netzzugriff (Standard)
• Nur privater Netzzugriff

Vorbereitende Schritte

1. Stellen Sie sicher, dass Ihr IBM Cloud-Infrastrukturkonto für VRF (Virtual Routing and Forwarding, virtuelle Routenwahl und Weiterleitung) aktiviert wurde.

   Wenn Sie VRF aktivieren, wird für Ihr Konto eine separate Routing-Tabelle erstellt, und die Verbindungen zu und von den Ressourcen Ihres Kontos werden separat im IBM Cloud-Netz weitergeleitet. Weitere Informationen zur VRF-Technologie finden Sie in VRF in IBM Cloud.

   Die Aktivierung von VRF ändert den Netzbetrieb für Ihr Konto dauerhaft. Stellen Sie sicher, dass Sie die Auswirkungen auf Ihr Konto und Ihre Ressourcen verstehen. Nachdem Sie VRF aktiviert haben, kann die Funktion nicht mehr inaktiviert werden.

2. Stellen Sie sicher, dass Ihr IBM Cloud-Infrastrukturkonto für Serviceendpunkte aktiviert wurde.

   Wenn Sie Serviceendpunkte aktivieren, können Sie über eine private IP, auf die nur über das private Hyper Protect Crypto Services-Netz zugegriffen werden kann, eine Verbindung zu IBM Cloud herstellen. Weitere Informationen finden Sie in Serviceendpunkt für private Verbindungen.

   Nachdem Sie Serviceendpunkte für Ihr Konto aktiviert haben, werden alle vorhandenen und künftigen Hyper Protect Crypto Services-Ressourcen und -Serviceinstanzen sowohl für den öffentlichen als auch für den privaten Endpunkt verfügbar.

Schritt 1: Privates IBM Cloud-Netz auf Ihrem virtuellen Server konfigurieren

Bereiten Sie Ihre VSI oder Testmaschine vor, indem Sie Ihre Routing-Tabelle für das private IBM Cloud-Netz konfigurieren.

1. Führen Sie in Ihrer VSI den folgenden Befehl aus, um den Datenverkehr an das private IBM Cloud-Netz weiterzuleiten:

   route add -net 166.9.0.0/16 gw <gateway> dev <gateway_interface>
   

   Ersetzen Sie <gateway> (z. B. 10.x.x.x) und <gateway_interface> (z. B. eth10) durch die entsprechenden Werte.

2. Optional: Stellen Sie sicher, dass die Route erfolgreich hinzugefügt wurde, indem Sie Ihre neue Routing-Tabelle anzeigen.

   route -n
   

Schritt 2: Serviceinstanz bereitstellen und Netzzugriff auswählen

Wenn Sie eine Serviceinstanz bereitstellen, können Sie zwischen den Optionen private-only und public-and-private über die Benutzerschnittstelle oder die Befehlszeilenschnittstelle auswählen.

Sie können jederzeit die Netzeinstellungen verwalten und aktualisieren, nachdem Sie die Serviceinstanz bereitgestellt und initialisiert haben. Verwenden Sie entweder die CLI oder die API, um zwischen einem ausschließlich privaten Netz und einem öffentlichen/privaten Netz zu wechseln.

Schritt 3: Privaten Hyper Protect Crypto Services-Endpunkt für das CLI-Plug-in TKE als Ziel festlegen

Um Schlüsselmanagement- und Verschlüsselungsoperationen über einen privaten Endpunkt ausführen zu können, müssen Sie zunächst den privaten Endpunkt für das CLI-Plug-in Trusted Key Entry (TKE) als Ziel festlegen.

1. Melden Sie sich über die Befehlszeile bei IBM Cloud an.

   ibmcloud login
   

   Wenn die Anmeldung fehlschlägt, führen Sie den Befehl ibmcloud login --sso aus, um es erneut zu versuchen. Der Parameter --sso ist erforderlich, wenn Sie sich mit einer föderierten ID anmelden. Wenn diese Option verwendet wird, rufen Sie den Link auf, der in der Ausgabe der Befehlszeilenschnittstelle aufgelistet ist, um einen einmalig verwendbaren Kenncode zu generieren.

2. Legen Sie für die Umgebungsvariable TKE_PRIVATE_ADDR den privaten Endpunkt für das Plug-in Trusted Key Entry (TKE) als Ziel fest. Ersetzen Sie durch den Kurznamen der Position, in der Ihre Serviceinstanz erstellt wird.

   export TKE_PRIVATE_ADDR=https://tke.private.us-south.hs-crypto.cloud.ibm.com
   

   Die Umgebungsvariable TKE_PRIVATE_ADDR wird verwendet, um die API-Endpunkt-URL sowohl für den öffentlichen als auch für den privaten Endpunkt festzulegen. Wenn Sie den öffentlichen Endpunkt verwenden möchten, heben Sie die Definition der Umgebungsvariablen TKE_PRIVATE_ADDR auf oder legen Sie die Umgebungsvariable TKE_PRIVATE-ADDR als öffentliche Endpunkt-URL fest: https://tke.<region>.hs-crypto.cloud.ibm.com.

Schritt 4: Serviceinstanz initialisieren

Wenn Sie beim Einrichten der Serviceinstanz die Option private-only auswählen, werden alle nachfolgenden Aktionen in einem privaten Netz ausgeführt, einschließlich der Initialisierung einer Serviceinstanz. Zum Initialisieren der Serviceinstanz können Sie entweder die Schlüsselteildateien oder Smartcards und die Managementdienstprogramme verwenden. Wenn Sie die Option public-and-private auswählen, können Sie die Serviceinstanz in einem öffentlichen Netz initialisieren.

Wenn Sie die Serviceinitialisierung ausgeführt wurde, können Sie die Netzeinstellungen noch aktualisieren, indem Sie den Anweisungen im Abschnitt zum Verwalten der Netzeinstellungen folgen.

Schritt 5: Privaten Hyper Protect Crypto Services-Endpunkt als Ziel für Schlüsselmanagementservice festlegen

Wenn Sie den Schlüsselmanagementservice von Hyper Protect Crypto Services verwenden, nachdem Sie Ihre VSI zum Akzeptieren des privaten Netzverkehrs von IBM Cloud konfiguriert haben, können Sie den privaten Endpunkt für Hyper Protect Crypto Services mithilfe des Key Protect-CLI-Plug-ins als Ziel angeben.

Wenn Sie den GREP11-Service verwenden, steuert der Service die Verbindung zum privaten Endpunkt. Sie müssen lediglich Ihren GREP11-Serviceendpunkt auf den privaten Endpunkt umstellen, indem Sie die Anweisungen im Abschnitt GREP11-API-Anforderung generieren ausführen.

1. Stellen Sie sicher, dass Ihr Konto für VRF und Serviceendpunkte aktiviert wurde.

   ibmcloud account show
   

   Die folgende CLI-Ausgabe zeigt die Kontodetails eines VRF- und serviceendpunktfähigenKontos an.

   Retrieving account John Doe's Account of john.doe@email.com...
   OK
   
   Account ID:                   d154dfbd0bc2edefthyufffc9b5ca318
   Currently Targeted Account:   true
   Linked Softlayer Account:     1008967
   Service Endpoint Enabled:     true
   

   Informationen zum Einrichten Ihres Kontos für die Verbindung zu einem privaten Netz finden Sie unter VRF und Serviceendpunkte aktivieren.

2. Definieren Sie die Umgebungsvariable so, dass der private Hyper Protect Crypto Services Endpunkt als Ziel angegeben wird.

   Verwenden Sie die folgenden Befehle nur unter dem Betriebssystem Linux oder macOS. Informationen zum Festlegen von Umgebungsvariablen unter dem Betriebssystem Windows finden Sie unterAuf Key Protect-CLI zugreifen.

   Legen Sie für die Umgebungsvariable KP_PRIVATE_ADDR den privaten Endpunkt für den Schlüsselmanagementservice als Ziel fest:

   export KP_PRIVATE_ADDR=https://<instance_ID>.api.private.<region>.hs-crypto.appdomain.cloud
   

   Sie finden die private Endpunkt-URL für das Schlüsselmanagement im Service-Dashboard unter Übersicht > Verbinden > Private Endpunkt-URL für Schlüsselverwaltung.

   Alternativ können Sie die API-Endpunkt-URL dynamisch abrufen. Der zurückgegebene Wert enthält Folgendes:

   {
     "instance_id": "<instance_ID>",
     "kms": {
       "public": "<instance_ID>.api.<region>.hs-crypto.appdomain.cloud",
       "private":"<instance_ID>.api.private.<region>.hs-crypto.appdomain.cloud"
       },
       "ep11": {
       "public": "<instance_ID>.ep11.<region>.hs-crypto.appdomain.cloud",
       "private":"<instance_ID>.ep11.private.<region>.hs-crypto.appdomain.cloud"
     }
   }
   

   Die URL des privaten Endpunkts wird im Feld private zurückgegeben. Verwenden Sie für den Schlüsselmanagementendpunkt den Wert, der im Bereich kms zurückgegeben wird. Die Umgebungsvariable KP_PRIVATE_ADDR wird verwendet, um die API-Endpunkt-URL sowohl für den öffentlichen als auch für den privaten Endpunkt festzulegen. Wenn Sie den öffentlichen Endpunkt verwenden möchten, müssen Sie die Umgebungsvariable KP_PRIVATE_ADDR als URL des öffentlichen Endpunkts festlegen, die im Feld public im Abschnitt kms zurückgegeben wird.

Schritt 6: Private Netzverbindung testen

Es empfiehlt sich, Ihre Netzverbindung zu testen, nachdem Sie Ihr privates Netz eingerichtet haben.

Verwenden Sie zum Testen der privaten Netzverbindung für den Schlüsselmanagementservice die Key Protect-CLI und führen Sie eine Aktion für die Hyper Protect Crypto Services-Serviceinstanz aus. Das folgende Beispiel zeigt, wie ein RootschlüsselA symmetric wrapping key that is used for encrypting and decrypting other keys that are stored in a data service. im privaten Netz erstellt wird.

1. Erstellen Sie einen Rootschlüssel, indem Sie den privaten Endpunkt als Ziel angeben.

   ibmcloud kp create <key_name> -i <instance_ID>
   

   Ersetzen Sie <key_name> durch einen lesbaren Aliasnamen zur einfachen Identifikation Ihres Schlüssels. Ersetzen Sie <instance_ID> durch die IBM Cloud-Instanz-ID, die Ihre Hyper Protect Crypto Services-Serviceinstanz identifiziert.

2. Optional: Stellen Sie sicher, dass der Schlüssel erfolgreich erstellt wurde, indem Sie die Schlüssel auflisten, die in Ihrer Hyper Protect Crypto Services-Serviceinstanz verfügbar sind.

   ibmcloud kp list -i <instance_ID>
   

   Ersetzen Sie <instance_ID> durch die ID der IBM Cloud-Instanz, die Ihre Hyper Protect Crypto Services-Serviceinstanz identifiziert.

Nächste Schritte

Informationen zum Ausführen von Schlüsselmanagementoperationen finden Sie hier:

• API des Schlüsselmanagementservice
• Key Protect-CLI

Informationen zum Ausführen von Verschlüsselungsoperationen finden Sie hier:

• PKCS #11-API
• GREP11-API