Hyper Protect Crypto Services wird aussteigen aus IBM Cloud klassische Rechenzentren in Dallas (DAL ), Washington D.C (WDC ) und Frankfurt (FRA ) Zu IBM Cloud Virtual Private Cloud (VPC)-Rechenzentren an den jeweiligen Standorten ermöglichen es Ihnen, die neuen Produktfunktionen und -fähigkeiten zu nutzen, die VPC bietet.

Auswirkungen für aktuelle Benutzer:

Der Übergang zu VPC-Rechenzentren wird ein Service-/Technologie-Upgrade sein, wobei das Benutzererlebnis unverändert bleibt. Um den Übergang abzuschließen, ist nur eine minimale Kundeninteraktion erforderlich. Die Auswirkungen auf die Kunden sind minimal.

Unterstützung durch die IBM Das Team steht Ihnen zur Verfügung, um die erfolgreiche Bereitstellung Ihrer Instanzen in den VPC-Rechenzentren sicherzustellen. Kontaktieren Sie Ihren lokalen Vertriebsmitarbeiter oder senden Sie eine E-Mail an zaas.client.acceleration@ ibm.com für mehr Informationen.

Wichtige Daten für diesen Übergang:

• Für bestehende Instanzen in DAL und WDC wird die Kundenmigration August 22, 2024- Januar 31, 2025 sein. Der Support bleibt während des gesamten Migrationsprozesses ununterbrochen. Nach 31. Januar 2025, die Dienstleistungen in DAL Und WDC Rechenzentren werden stillgelegt und sind nicht mehr verfügbar. Alle nicht migrierten Instanzen und vorhandenen Daten, die noch im DAL Und WDC Rechenzentren werden nach diesem Datum geschlossen.

• Für bestehende Instanzen in FRA, Kundenmigration wird 15. August 2024 – 31. Januar 2025. Der Support bleibt während des gesamten Migrationsprozesses ununterbrochen. Nach 31. Januar 2025, die Dienstleistungen in FRA Das Rechenzentrum wird stillgelegt und ist nicht mehr verfügbar. Alle nicht migrierten Instanzen und vorhandenen Daten, die noch im FRA Das Rechenzentrum wird nach diesem Datum geschlossen.

BYOHSM erweitert Ihre lokale Schlüsselmanagementfunktion auf die Cloud und erstellt ein skalierbares, einheitliches und sicheres Hybrid-Cloud-Ökosystem für Ihre regulierten Workloads. Wenn Sie Ihre eigenen HSMs mit Ihrer Hyper Protect Crypto Services-Instanz verbinden, haben Sie vollständige physische Kontrolle über Ihre Schlüssel, um die Bestimmungen zur Datenhoheit zu erfüllen.

Die folgenden Themen helfen Ihnen bei den ersten Schritten mit der BYOHSM-Funktion:

• Einführung in Bring your own HSM
• Verwaltung Ihrer Schlüssel mit BYOHSM in IBM Cloud Hyper Protect Crypto Services
• BYOHSM einrichten
• Instanz mit BYOHSM bereitstellen

Hyper Protect Crypto Services und Hyper Protect Virtual Servers for Classic werden im IBM Cloud-Rechenzentrum in Sydney nicht mehr verwendet. Neue Instanzen von Hyper Protect Services können nach dem 30. November 2023 nicht mehr im IBM Cloud-Rechenzentrum in Sydney bereitgestellt werden und vorhandene Hyper Protect-Services und -Support im IBM Cloud-Rechenzentrum in Sydney werden am 31 März 2024 stillgelegt und eingestellt.

Diese Ankündigung hat keine Auswirkungen auf andere Services, die im IBM Cloud-Rechenzentrum in Sydney ausgeführt werden, oder auf andere Hyper Protect Services, einschließlich Unterstützung, die in anderen Rechenzentren ausgeführt werden, in denen Hyper Protect unterstützt wird.

Prüfen Sie die folgenden Details zu dieser Einstellung der Unterstützung:

• Ab 30. November 2023 können keine neuen Instanzen von Hyper Protect Crypto Services oder Hyper Protect Virtual Servers for Classic in Sydney bereitgestellt werden.
• Ab dem 31. März 2024 werden Hyper Protect Crypto Services und Hyper Protect Virtual Servers for Classic nicht mehr unterstützt und die Services werden im IBM Cloud-Rechenzentrum in Sydney stillgelegt. Es wird empfohlen, dass alle Instanzen und Daten in ein IBM Cloud VPC-Rechenzentrum migriert werden.
• Alle Hyper Protect Services-Instanzen und -Daten, die noch im IBM Cloud-Rechenzentrum in Sydney vorhanden sind, werden an diesem Datum gestoppt und beendet. Die Rechenzentrumsinfrastruktur wird stillgelegt und Daten und Services sind nicht mehr verfügbar. Um das Risiko eines Datenverlusts zu vermeiden, stellen Sie sicher, dass eine Sicherung oder Übertragung aller erforderlichen Daten durchgeführt wird, bevor der Service am 31 März 2024 stillgelegt wird.

Für bestehende Kunden wird die Migration auf ein IBM Cloud VPC-Rechenzentrum empfohlen:

• Um Hyper Protect Crypto Services weiterhin zu verwenden, wird empfohlen, auf ein IBM Cloud VPC-Rechenzentrum zu migrieren. Die empfohlene Region für die Migration in APAC ist Tokyo.
• Für Hyper Protect Virtual Servers for Classic-Instanzen wird empfohlen, in ein IBM Cloud VPC-Rechenzentrum zu migrieren und die neueste Version des Dienstes Hyper Protect Virtual Servers für VPC (Hyper Protect Virtual Servers für Classic ist in IBM Cloud VPC-Rechenzentren nicht verfügbar). Die empfohlene Region für die Migration in APAC ist Tokyo.
• Für die Migration zu einem IBM Cloud VPC Rechenzentrum steht der Support des IBM Teams zur Verfügung. Wenden Sie sich an Ihren lokalen Vertriebsbeauftragten oder senden Sie eine E-Mail an zaas.client.acceleration@ibm.com, um weitere Informationen zu erhalten.

In der folgenden Tabelle sind die unterstützten IBM Cloud-VPC-Rechenzentren für Hyper Protect Crypto Services und Hyper Protect Virtual Servers für Classic aufgelistet:

Tabelle 1. Unterstützte IBM Cloud VPC-Rechenzentren

Rechenzentrum	Hyper Protect Crypto Services	Hyper Protect Virtual Servers für Classic
Tokio (empfohlene Region in APAC) jp-tok
São-Paulo br-sao
London eu-gb
Toronto ca-tor
Madrid eu-es
Washington, D.C. us-east	Nicht zutreffend

Sie können jetzt Schlüsselvorlagen erstellen, die die Eigenschaften der zu erstellenden verwalteten Schlüssel angeben. Nachdem Sie die Schlüsselvorlage erstellt haben, können Sie eine Gruppe verwalteter Schlüssel mit denselben Schlüsseleigenschaften erstellen, die in der Schlüsselvorlage definiert sind.

Die folgenden Themen können Ihnen den Einstieg in die Arbeit mit wichtigen Vorlagen erleichtern:

• Schlüsselvorlagen erstellen
• Liste der Schlüsselvorlagen anzeigen
• Details der Schlüsselvorlage bearbeiten
• Schlüsselvorlagen archivieren und Archivierung aufheben
• Schlüsselvorlagen löschen
• Tasten mit Schlüsselvorlagen neu ausrichten

Der Preistarif für Unified Key Orchestratorwurde aktualisiert. Weitere Details finden Sie auf der Servicekatalogseite.

Ein ausführliches Preisbeispiel finden Sie unter Wie wird die Nutzung von Hyper Protect Crypto Services mit Unified Key Orchestrator berechnet?.

Sie können jetzt Masterschlüssel turnusmäßig wechseln, wenn Sie den Unified Key Orchestrator-Serviceplan oder Ihre Serviceinstanz verwenden, für die EP11-Keystores in allen unterstützten Regionen aktiviert sind. Bisher war es nur in Frankfurt verfügbar.

Eine Liste der unterstützten Regionen finden Sie unter Regionen und Standorte. Weitere Informationen zur Funktionsweise der Masterschlüsselrotation finden Sie unter Einführung in die Masterschlüsselrotation.

Die API des Hyper Protect Crypto Services-Schlüsselmanagementservice wurde auf Version aktualisiert 22.11. Die folgenden Funktionen werden hinzugefügt:

• Listenschlüssel mit Sortierung einschließenlastRotateDate Sortierung.
• Listenschlüssel mit erweiterter Filterung bis einschließlichlastRotateDate Filterung.
• Schlüssel mit Richtlinienüberschreibungen erstellen, um Benutzern mit der Rolle "Manager" die Erstellung von Schlüsseln mit Richtlinien in einem einzigen Aufruf zu ermöglichen, wodurch Richtlinien auf Instanzebene überschrieben werden.
• Inaktivieren Sie eine Schlüsselrotationsrichtlinie, damit eine automatische Schlüsselrotationsrichtlinie vorübergehend angehalten werden kann.

Suchen Sie die aktuellen Ereignisnamen und die Zuordnung in Langzeitinformationen zu Ereignissen.

Zur Verwaltung Ihrer Masterschlüssel mithilfe von Smartcards können Sie jetzt den Treiber für den Smartcard-Leser Identiv SPR332 V2 unter Red Hat Enterprise Linux 9.0 und Ubuntu 22.04.1 LTS neben dem bereits unterstützten Betriebssystem Red Hat Enterprise Linux 8.0 installieren. Ausführlichere Schritte finden Sie unter Treiber für Smartcard-Leser installieren.

You can also find the latest Management Utilities installation files in Github.

Sie können Ihre Schlüssel jetzt mithilfe der API Unified Key Orchestrator mit aktiviertem Go Software Development Kit (SDK) verwalten. Weitere Codebeispiele in Go finden Sie unter Unified Key Orchestrator API-Referenz.

Mit der Terraform-Unterstützung für Unified Key Orchestratorkönnen Sie jetzt mithilfe von Terraform Aktionen wie die Verwaltung von Vaults, Keystores, Schlüsselvorlagen und Schlüsseln automatisieren. Weitere Informationen finden Sie unter Terraform für Hyper Protect Crypto Services mit Unified Key Orchestrator.

Das Preismodell des Hyper Protect Crypto Services-Standardplans wird jetzt von der monatlichen Abrechnung in die stündliche Abrechnung geändert, wobei jede Verschlüsselungseinheit mit 2,13 USD pro Stunde berechnet wird.

Die ersten fünf Keystores, einschließlich KMS-Schlüsselringen und EP11-Keystores, sind kostenlos. Für jeden zusätzlichen Schlüsselring oder EP11-Keystore wird eine gestaffelte Preisstruktur ab 225 USD pro Monat berechnet. Bei Keystores, die weniger als einen Monat erstellt oder verbunden werden, werden die Kosten auf der Basis der tatsächlichen Tage innerhalb des Monats anteilig berechnet.

Weitere Informationen finden Sie im Preisplan. Ein Abrechnungsbeispiel ist ebenfalls als Referenz verfügbar.

Um Smartcards und Smartcard-Lesegeräte zu bestellen, können Sie nun eine E-Mail an IBM (zcat@ibm.com@ibm.com) mit den erforderlichen Angaben senden. Detaillierte Schritte finden Sie unter Smartcards und Managementdienstprogramme einrichten.

Unified Key Orchestrator ist eine Public-Cloud-Steuerebene für die Multi-Cloud-und Hybrid-Cloud-Schlüsselorchestrierung. Als Teil von IBM Cloud® Hyper Protect Crypto Services bietet sie ein Schlüssellebenszyklusmanagement gemäß NIST-Empfehlungen und eine sichere Übertragung von Schlüsseln auf interne Keystores in der Serviceinstanz oder in externen Keystores.

Mit Unified Key Orchestrator können Sie Ihre Serviceinstanz mit Keystores in IBM Cloud und anderen Cloud-Providern verbinden, Schlüssel mithilfe eines einheitlichen Systems sichern und verwalten und Schlüssel über mehrere Clouds hinweg koordinieren.

Die folgenden Themen unterstützen Sie bei den ersten Schritten mit Unified Key Orchestrator:

• Einführung in Unified Key Orchestrator
• Häufig gestellte Fragen: Hyper Protect Crypto Services mit Unified Key Orchestrator
• Einführung in Hyper Protect Crypto Services
• Lebenszyklus von Verschlüsselungsschlüsseln in Unified Key Orchestrator überwachen
• Vaults erstellen
• Interne Keystores erstellen
• Verbindung zu externen Keystores herstellen
• Verwaltete Schlüssel erstellen und installieren

Unified Key Orchestrator ist eine Public-Cloud-Steuerebene für die Multi-Cloud-und Hybrid-Cloud-Schlüsselorchestrierung. Als Teil von IBM Cloud® Hyper Protect Crypto Services bietet sie ein Schlüssellebenszyklusmanagement gemäß NIST-Empfehlungen und eine sichere Übertragung von Schlüsseln auf interne Keystores in der Serviceinstanz oder in externen Keystores.

Mit Unified Key Orchestrator können Sie Ihre Serviceinstanz mit Keystores in IBM Cloud und anderen Cloud-Providern verbinden, Schlüssel mithilfe eines einheitlichen Systems sichern und verwalten und Schlüssel über mehrere Clouds hinweg koordinieren.

Die folgenden Themen unterstützen Sie bei den ersten Schritten mit Unified Key Orchestrator:

• Einführung in Unified Key Orchestrator
• Häufig gestellte Fragen: Hyper Protect Crypto Services mit Unified Key Orchestrator
• Einführung in Hyper Protect Crypto Services
• Lebenszyklus von Verschlüsselungsschlüsseln in Unified Key Orchestrator überwachen
• Vaults erstellen
• Interne Keystores erstellen
• Verbindung zu externen Keystores herstellen
• Verwaltete Schlüssel erstellen und installieren

1. Gelöschten Schlüssel bereinigen: Standardmäßig wird ein gelöschter Schlüssel 90 Tage nach dem Löschvorgang automatisch bereinigt. Nun können Sie einen Schlüssel manuell bereinigen, um ihn vor dem Ablauf von 90 Tagen dauerhaft aus Ihrer Instanz zu entfernen. Nach dem Löschen eines Schlüssels besteht eine Wartezeit von bis zu 4 Stunden, bevor Sie diese Aktion ausführen können. Stellen Sie sicher, dass Ihnen die Rolle KMS-Schlüssel bereinigen zugeordnet ist, damit Sie einen Schlüssel bereinigen können. Weitere Informationen finden Sie unter Schlüssel manuell bereinigen.
2. Schlüsselring eines Schlüssels aktualisieren: Nachdem Sie einen Schlüssel erstellt haben, können Sie ihn zu einem anderen Schlüsselring verschieben. Weitere Informationen finden Sie unter Schlüssel auf einen anderen Schlüsselring übertragen.

Neben dem Rotieren des Masterschlüssels mithilfe der Schlüsselteildaten und mithilfe von Recovery-Verschlüsselungseinheiten können Sie nun auch den Masterschlüssel rotieren, wenn Sie Smartcards und die Managementdienstprogramme verwenden.

Ausführliche Anweisungen finden Sie im Abschnitt zum Rotieren von Masterschlüsseln mithilfe von Smartcards und der Managementdienstprogramme. Weitere Informationen zur Funktionsweise der Masterschlüsselrotation finden Sie unter Masterschlüssel mithilfe von Schlüsselteildateien turnusmäßig wechseln.

Jetzt können Sie Schlüssel wiederherstellen, die innerhalb von 30 Tagen gelöscht wurden, ohne Schlüsselinformationen zur Verfügung zu stellen. Alle Rootschlüssel und Standardschlüssel, unabhängig davon, ob sie von Hyper Protect Crypto Services generiert oder von Ihnen importiert wurden, können wiederhergestellt werden. Weitere Informationen finden Sie im Abschnitt zum Wiederherstellen von Schlüsseln.

Sie können nun die Schlüssel in Ihrer Hyper Protect Crypto Services-Instanz gruppieren, indem Sie einen Schlüsselring erstellen. In diesem Fall können Sie Schlüssel verwalten und den Zugriff auf Schlüsselringebene steuern. Informationen zur Verwendung von Schlüsselringen finden Sie im Abschnitt zum Verwalten von Schlüsselringen.

Neben der Verwendung von Smartcards und der Hyper Protect Crypto Services-Managementdienstprogramme und der Verwendung von Schlüsselteildateien können Sie nun auch Ihre Serviceinstanz initialisieren, indem Sie Recovery-Verschlüsselungseinheiten in den Regionen Dallas (us-south) und Washington DC (us-east) einsetzen.

Wenn Sie eine Serviceinstanz entweder in der Region Dallas oder in der Region Washington DC einrichten, werden zwei Recovery-Einheiten automatisch ohne zusätzliche Kosten zugewiesen.In einer Recovery-Verschlüsselungseinheit wird automatisch ein Masterschlüsselwert nach einem Zufallsverfahren generiert und in die anderen Verschlüsselungseinheiten für die Serviceinstanz kopiert. Der Masterschlüsselwert liegt außerhalb des HSMs nicht unverschlüsselt vor.

Weitere Informationen zu den Unterschieden zwischen den Ansätzen zur Serviceinstanzinitialisierung finden Sie im Abschnitt zur Einführung verschiedener Ansätze zur Serviceinstanzinitialisierung.

Ausführliche Anweisungen finden Sie im Abschnitt zum Initialisieren von Serviceinstanzen mit Recovery-Verschlüsselungseinheiten initialisieren.

Informationen zum Rotieren des Masterschlüssels finden Sie im Abschnitt zum Rotieren von Masterschlüsseln mithilfe von Recovery-Verschlüsselungseinheiten.

Neben der Verwendung der PKCS #11 API zur Verwaltung von Enterprise PKCS #11 (EP11) Schlüsselspeichern und -schlüsseln, können Sie jetzt die Benutzeroberfläche verwenden, um EP11 Schlüsselspeicher und -schlüssel anzuzeigen, zu erstellen und zu löschen. Weitere Informationen finden Sie unter Verwaltung von EP11 Schlüsselspeichern mit der Benutzeroberfläche und Verwaltung von EP11 Schlüsseln mit der Benutzeroberfläche.

Schlüsselaliasnamen sind eindeutige lesbare Namen, die zum Identifizieren eines Schlüssels verwendet werden können. Sie können nun bis zu fünf Aliasnamen für einen Schlüssel erstellen, um eine einfache Erkennung zu ermöglichen. Informationen zum Verwenden von Schlüsselaliasnamen finden Sie im Abschnitt zum Management von Schlüsselaliasnamen.

Wenn sich der Status eines Rootschlüssels ändert, werden die geschützten Ressourcen, die dem Rootschlüssel zugeordnet sind, über das Schlüssellebenszyklusereignis benachrichtigt und sie werden aufgefordert, entsprechend zu reagieren. In dem Fall, in dem die Ressourcen nicht auf die Benachrichtigung über den Schlüssellebenszyklus reagieren, können Sie jetzt manuell eine erneute Benachrichtigung an die zugehörigen Cloud-Services einleiten. Weitere Informationen finden Sie im Abschnitt zum Synchronisieren zugeordneter Ressourcen.

Sie können jetzt virtuelle private Endpunkte (VPEs) für Ihre IBM Cloud Virtual Private Cloud-Instanz (VPC) erstellen, um auf Hyper Protect Crypto Services innerhalb Ihres VPC-Netzes zugreifen zu können. Weitere Informationen finden Sie im Abschnitt zur Verwendung eines virtuellen privaten Endpunkts für VPC.

Der Kryptographiealgorithmus zur Erzeugung von Signaturschlüsseln wird von Rivest-Shamir-Adleman 2048 (RSA 2048) auf P521 Elliptic Curve (P521 EC) aktualisiert. Die Verschlüsselungsstärke von P521 EC-Schlüsseln entspricht RSA 15360. Das bedeutet, dass die aktualisierten Signaturschlüssel ein höheres Sicherheitsniveau bieten als die vorherigen Signaturschlüsseln. Die bisherigen RSA-2048-Signaturschlüssel sind weiterhin gültig und können verwendet werden.

Um sicherzustellen, dass die Schlüssel, die in der Hyper Protect Crypto Services-Instanz mithilfe der PKCS #11-API gespeichert sind, nicht manipuliert wurden, ist jetzt ein Mechanismus zur Schlüsselverifizierung für die Prüfung der Schlüsselobjekte verfügbar, die in Hyper Protect Crypto Services gespeichert sind. Anweisungen zum Prüfen von Schlüsselobjekten finden Sie im Abschnitt Prüfen, ob Schlüssel durch Verschlüsselungseinheiten geschützt sind.

Ein Beispiel für das Abrufen von Prüfsummenwerten für AES-, DES2- und DES3-Schlüssel sowie die Überprüfung der Schlüsselprüfsummen finden Sie in dem Codebeispiel.

Hyper Protect Crypto Services unterstützt jetzt den Schnorr-Algorithmus, der als Signierschema für die Generierung digitaler Signaturen verwendet werden kann. Er wird als Alternative zum Elliptic Curve Digital Signature Algorithm (ECDSA) für Verschlüsselungssignaturen im Bitcoin-System empfohlen. Bevor Sie den Schnorr-Algorithmus verwenden können, stellen Sie sicher, dass Sie diese Funktion aktivieren, indem Sie die Anweisungen im Abschnitt zum Aktivieren des Schnorr-Algorithmus befolgen.

Nachdem Sie Ihre Hyper Protect Crypto Services-Instanz eingerichtet haben, können Sie die Zugriffsrichtlinie für Schlüsselerstellung und -import aktivieren und aktualisieren, um Aktionsberechtigungen für Rootschlüssel und Standardschlüssel zu steuern. Weitere Informationen finden Sie unter Zugriffsrichtlinie für Schlüsselerstellung und -import verwalten.

Für eine höhere Sicherheit können Sie jetzt den Netzzugriff auf Ihre Serviceinstanz auf das ausschließlich private Netz beschränken. Sie können entweder das zulässige Netz auswählen, wenn Sie die Serviceinstanz bereitstellen, oder die Netzzugriffsrichtlinie aktualisieren, nachdem Sie die Instanz eingerichtet haben.

Bevor Sie die Netzzugriffsrichtlinie aktualisieren, müssen Sie zuerst die Serviceinstanz initialisieren. Anweisungen hierzu finden Sie im Abschnitt zum Initialisieren von Serviceinstanzen mit dem IBM Cloud-CLI-Plug-in TKE oder im Abschnitt zum Initialisieren von Serviceinstanzen mithilfe von Smartcards und Managementdienstprogrammen.

Die GREP11-API unterstützt jetzt die Funktion ReencryptSingle, mit der Sie Daten mit dem ursprünglichen Schlüssel entschlüsseln und anschließend die Rohdaten mit einem anderen Schlüssel in einem einzigen Aufruf im Cloud-HSM verschlüsseln können. Dieser einzelne Aufruf ist eine praktikable Option, wenn eine große Datenmenge mit verschiedenen Schlüsseln erneut verschlüsselt werden muss. So lässt sich vermeiden, eine Kombination aus den Funktionen DecryptSingle und EncryptSingle für jedes Datenelement auszuführen, das erneut verschlüsselt werden muss. Weitere Informationen finden Sie unter GREP11-API-Referenz - Funktion ReencryptSingle.

Sie können Ihre IBM Cloud Virtual Private Cloud-Instanz (VPC) jetzt über ein VPE-Gateway (Virtual Private Endpoint) mit Ihrer Hyper Protect Crypto Services-Instanz verbinden, damit Sie Ihre Schlüssel mithilfe von Hyper Protect Crypto Services über ein privates Netz verwalten können. Weitere Informationen finden Sie im Abschnitt zum Verwenden virtueller privater Endpunkte für VPC zum Herstellen einer privaten Verbindung zu Hyper Protect Crypto Services.

Hyper Protect Crypto Services unterstützt jetzt den SLIP10-Mechanismus für hierarchische deterministische Wallets, um private und öffentliche Schlüsselpaare abzuleiten. Ferner wird nun auch der Edwards-Kurven-Algorithmus (ED) 25519 für digitale Signaturen unterstützt. Bevor Sie den ED-Algorithmus verwenden können, stellen Sie sicher, dass Sie diese Funktion aktivieren, indem Sie die Anweisungen im Abschnitt zum Aktivieren eines Edwards-Kurven-Algorithmus für digitale Signaturen befolgen.

Terraform ist eine Open-Source-Software zur Konfiguration und Automatisierung der Cloud-Ressourcenbereitstellung und -verwaltung. Jetzt können Sie Hyper Protect Crypto Services-Instanzen bereitstellen und initialisieren sowie Rootschlüssel und Standardschlüssel mit der Terraform-CLI und dem IBM Cloud-Provider-Plug-in verwalten. Weitere Informationen finden Sie unter Ressourcen für Schlüsselmanagementservices mit Terraform verwalten und in der -BeispielTerraform-Vorlage für Hyper Protect Crypto Services.

Die API des Hyper Protect Crypto Services-Schlüsselmanagementservice wurde mit den folgenden Änderungen aktualisiert:

• Aktualisiert: Die API-Methoden für die folgenden Schlüsselaktionen werden nun auf einzelne Anforderungspfade übertragen. Das generische Pfadformat (mit Ausnahme der Aktion zum Zurückschreiben eines Schlüssels) ist /api/v2/keys/<key_ID>/actions/<action>, wobei key_ID die UUID des Schlüssels und action den Aktionsname angibt, den Sie ausführen möchten.

  • Wrapping eines Schlüssels.
  • Unwrapping eines Schlüssels.
  • Erneutes Wrapping eines Schlüssels.
  • Schlüssel turnusmäßig wechseln.
  • Autorisieren der Löschung für einen Schlüssel mit einer Richtlinie für doppelte Autorisierung.
  • Entfernen einer Autorisierung für einen Schlüssel mit einer Richtlinie für doppelte Autorisierung.
  • Aktivieren von Operationen für einen Schlüssel.
  • Inaktivieren von Operationen für einen Schlüssel.
  • Wiederherstellen eines Schlüssels.

• Aktualisiert: Ihnen stehen jetzt die folgenden beiden Methoden zur Verfügung, um die zulässige Netzrichtlinie und die Zugriffsrichtlinie für Schlüsselerstellung und -import zu verwalten:

  • Festlegen von Instanzrichtlinien.
  • Auflisten von Instanzrichtlinien.

• Veraltet: Aufrufen einer Aktion für einen Schlüssel.

  Diese Methode wurde ursprünglich verwendet, um Aktionen für einen Schlüssel auszuführen, z. B. Wrapping, Wrapping aufheben und Rotieren. Sie wurde jetzt durch einzelne Anforderungspfade für jede Aktion ersetzt.

Weitere Informationen zu den API-Updates finden Sie in der Hyper Protect Crypto Services API-Referenz des Schlüsselverwaltungsdienstes.

Sie können jetzt Ihren Masterschlüssel bedarfsgesteuert wechseln, indem Sie das IBM Cloud®-CLI-Plug-in Trusted Key Entry (TKE) verwenden, um Branchenstandards einzuhalten und bewährte Verfahren für Verschlüsselung umzusetzen. Weitere Informationen zur Funktionsweise finden Sie in der Einführung zur Masterschlüsselrotation.

Ausführliche Anweisungen finden Sie unter Masterschlüssel wechseln.

Von Hyper Protect Crypto Services wird jetzt die Durchführung von Verschlüsselungsoperationen mit der Standard-API von Public-Key Cryptography Standards (PKCS) #11 unterstützt.

Mit der Unterstützung der PKCS #11-API müssen Sie Ihre vorhandenen Anwendungen, die den PKCS #11-Standard verwenden, nicht ändern, um sie in der Cloud-HSM-Umgebung von Hyper Protect Crypto Services lauffähig zu machen. Die PKCS #11-Bibliothek akzeptiert die PKCS #11-API-Anforderungen aus Ihren Anwendungen und greift über Fernzugriff auf das Cloud-HSM zu, um die entsprechenden Verschlüsselungsfunktionen auszuführen.

Weitere Informationen zu Anwendungsfällen für die PKCS #11-API finden Sie unter Hyper Protect Crypto Services als PKCS #11-HSMs verwenden.

Weitere Informationen zur PKCS #11-API finden Sie in der Einführung in PKCS #11 und in der PKCS #11-API-Referenz.

Wenn Sie über die Zugriffsberechtigungen Schreibberechtigter oder Manager verfügen, können Sie jetzt Importtokens erstellen, um zusätzliche Sicherheit für Verschlüsselungsschlüssel zu nutzen, die Sie in Hyper Protect Crypto Services hochladen.

Weitere Informationen zu Ihren Optionen für den Import von Schlüsseln finden Sie unter Importtoken erstellen. Ein geführtes Lernprogramm finden Sie unter Lernprogramm: Verschlüsselungsschlüssel erstellen und importieren.

Von Hyper Protect Crypto Services wird auf Basis eines mit FIPS 140-2 Stufe 4 konformen HSM jetzt die gleiche Ebene von Schlüsselmanagementfunktionen wie Key Protect unterstützt. Die hinzugefügten Funktionen lauten wie folgt:

• Richtlinienbasierte Schlüsselrotation.
• Anzeigen von Rootschlüsselversionen.
• Inaktivieren und Aktivieren von Rootschlüsseln.
• Richtlinien für doppelte Autorisierung für Hyper Protect Crypto Services Instanzen und Schlüssel.
• Anzeigen von Details zu einem Verschlüsselungsschlüssel.
• Anzeigen von Zuordnungen zwischen Rootschlüsseln und IBM Cloud-Ressourcen.
• Wiederherstellen eines gelöschten Schlüssels.

Sie können jetzt Hyper Protect Crypto Services-Ressourcen in der Region Washington DC (Vereinigte Staaten - Osten) erstellen. Weitere Informationen finden Sie in Regionen und Standorte.

Sowohl das IBM Cloud-CLI-Plug-in Trusted Key Entry (TKE) als auch die Managementdienstprogramme von Hyper Protect Crypto Services unterstützen jetzt eine Quorumauthentifizierung.

Eine Quorumauthentifizierung ist eine Methode, eine Operation durch eine Anzahl von Verschlüsselungseinheitenadministratoren zu genehmigen. Einige kritische Operationen erfordern die Eingabe der Berechtigungsnachweise einer ausreichenden Anzahl von Verschlüsselungseinheitenadministratoren. Eine Quorumauthentifizierung wird aktiviert, wenn die Signaturschwellenwerte auf einen Wert größer 1 gesetzt werden.

Weitere Informationen zum Initialisieren einer Serviceinstanz mithilfe der TKE-CLI und zum Aktivieren der Quorumauthentifizierung finden Sie im Abschnitt zum Initialisieren von Serviceinstanzen mit dem IBM Cloud-CLI-Plug-in TKE.

Weitere Informationen zum Initialisieren einer Serviceinstanz mithilfe der Managementdienstprogramme und zum Aktivieren der Quorumauthentifizierung finden Sie in den Abschnitten zum Einrichten von Smartcards und der Managementdienstprogramme und zum Einrichten von Serviceinstanzen mithilfe von Smartcards und der Managementdienstprogramme.

Sie können nun über das private Hyper Protect Crypto Services-Netz eine Verbindung zu IBM Cloud herstellen, indem Sie einen privaten Endpunkt für den Enterprise PKCS #11-Service angeben.

Aktivieren Sie zunächst virtuelles Routing und Weiterleitung(VRF)und Service-Endpunkte für Ihr Infrastrukturkonto. Weitere Informationen finden Sie in Private Endpunkte verwenden.

Hyper Protect Crypto Services unterstützen nun das Laden von Masterschlüsselteilen und Signaturschlüsseln von Smartcards für die Serviceinstanzinitialisierung. Das Produkt stellt das höchste Stufe des Zugriffsschutzes für Masterschlüsselteile und Signaturschlüssel sicher.

Bei den Managementdienstprogrammen handelt es sich um zwei Anwendungen, die Smartcards verwenden, um Serviceinstanzen zu konfigurieren. Das Smartcard-Dienstprogramm dient zur Einrichtung und Verwaltung der verwendeten Smartcards. Die Trusted Key Entry-Anwendung (TKE-Anwendung) verwendet diese Smartcards, um die Serviceinstanzen zu konfigurieren. Um die Managementdienstprogramme zu verwenden, müssen Sie von IBM unterstützte Smartcards und Smartcard-Leser bestellen.

Weitere Informationen finden Sie im Abschnitt mit den Erläuterungen zu den Managementdienstprogrammen und im Abschnitt zum Initialisieren von Serviceinstanzen durch Verwendung von Smartcards und der Managementdienstprogramme.

Hyper Protect Crypto Services kann jetzt mit mehr IBM Cloud-Services integriert werden:

• Hyper Protect DBaaS for MongoDB
• Hyper Protect DBaaS for PostgreSQL
• HyTrust DataControl
• IBM Cloud Kubernetes Service
• Red Hat OpenShift on IBM Cloud

Weitere Informationen finden Sie in Services integrieren.

Sie können nun über das private Hyper Protect Crypto Services-Netz eine Verbindung zu IBM Cloud herstellen, indem Sie einen privaten Endpunkt für den Service angeben.

Aktivieren Sie zunächst virtuelles Routing und Weiterleitung(VRF)und Service-Endpunkte für Ihr Infrastrukturkonto. Weitere Informationen finden Sie im Abschnitt zur Verwendung von Serviceendpunkten zum Herstellen einer privaten Verbindung zu Hyper Protect Crypto Services.

Das verwaltete Cloud-Hardware-Sicherheitsmodul (HSM) unterstützt Enterprise Public-Key Cryptography Standards (PKCS) #11, sodass Ihre Anwendungen Verschlüsselungsoperationen wie das digitale Signieren und Validieren über die Enterprise PKCS #11-API (EP11) integrieren können. Die EP11-Bibliothek stellt eine Schnittstelle bereit, die der branchenüblichen PKCS #11-Anwendungsprogrammierschnittstelle (API) ähnlich ist.

In Hyper Protect Crypto Services wird eine Reihe von Aufrufen der Enterprise PKCS #11-API über gRPC (auch als GREP11 bezeichnet) bereit, mit denen alle Verschlüsselungsfunktionen in einem HSM in der Cloud ausgeführt werden. GREP11 ist eine statusunabhängige Schnittstelle für Cloudprogramme.

Weitere Informationen zur GREP11-API finden Sie in der Einführung in EP11 über gRPC und in der GREP11-API-Referenz.

Sie können nun Hyper Protect Crypto Services-Ressourcen in der Region Frankfurt erstellen. Weitere Informationen finden Sie in Regionen und Standorte.

Hyper Protect Crypto Services kann nun mit den folgenden IBM Cloud-Services integriert werden:

• IBM Cloud Object Storage
• IBM Cloud Block Storage for Classic for Virtual Private Cloud
• IBM Cloud Virtual Servers for Virtual Private Cloud
• Key Management Interoperability Protocol (KMIP) für VMware ® on IBM Cloud

Weitere Informationen finden Sie in Services integrieren.

Ab 29. März 2019 ist die Bereitstellung neuer Hyper Protect Crypto Services-Betainstanzen nicht mehr möglich. Vorhandene Instanzen werden bis zum Enddatum des Betasupports (30. April 2019) unterstützt.

Weitere Informationen zum Angebot Hyper Protect Crypto Services finden Sie auf der Homepage vonIBM Cloud Hyper Protect Crypto Services.

IBM Cloud Hyper Protect Crypto Services unterstützt jetzt drei Verfügbarkeitszonen in einer ausgewählten Region und ist ein hoch verfügbarer Service mit automatischen Funktionen, die Ihnen helfen, Ihre Anwendungen sicher und betriebsfähig zu halten.

Sie können Hyper Protect Crypto Services-Ressourcen in den unterstützten IBM Cloud-Regionen erstellen, die den geografischen Bereich darstellen, in dem Ihre Hyper Protect Crypto Services-Anfragen abgewickelt und verarbeitet werden. Jede IBM Cloud-Region enthält mehrere Verfügbarkeitszonen, um die Anforderungen an die Sicherheit, geringe Latenz und Sicherheit für die Region zu erfüllen.

Weitere Informationen finden Sie unter Hochverfügbarkeit und Disaster-Recovery.

Die Serviceinstanz kann auf bis zu maximal sechs Verschlüsselungseinheiten skaliert werden, um Ihre Leistungsanforderungen zu erfüllen. Es wird empfohlen, in Produktionsumgebungen mindestens zwei Verschlüsselungseinheiten auszuwählen, um eine hohe Verfügbarkeit zu ermöglichen. Bei der Auswahl von drei oder mehr Verschlüsselungseinheiten werden diese Verschlüsselungseinheiten auf drei Verfügbarkeitszonen in der ausgewählten Region verteilt.

Weitere Informationen finden Sie in Service bereitstellen.

Die Hyper Protect Crypto Services-Betaversion wird freigegeben. Sie können jetzt über Katalog > Sicherheit direkt auf den Service von Hyper Protect Crypto Services zugreifen.

Ab 5. Februar 2019 ist die Bereitstellung neuer Hyper Protect Crypto Services Experimental-Instanzen nicht mehr möglich. Vorhandene Instanzen werden bis zum Enddatum des Experimental-Supports (5. März 2019) unterstützt.

Die Key Protect-API ist jetzt in Hyper Protect Crypto Services integriert, um Ihre Schlüssel zu generieren und zu schützen. Sie können die Key Protect-API direkt über Hyper Protect Crypto Services aufrufen.

Weitere Informationen finden Sie unter API für Schlüsselmanagementservice einrichten und unter Hyper Protect Crypto Services-API-Referenz für Schlüsselmanagementservice.

Hyper Protect Crypto Services unterstützt nun Keep Your Own Key (KYOK), sodass Sie über mehr Kontrolle und weiterreichendere Berechtigungen für Ihre Daten verfügen, die Sie selbst verwahren, kontrollieren und verwalten können. Sie können Ihre Serviceinstanz über die IBM Cloud®-Befehlszeilenschnittstelle (Command-Line Interface, CLI) initialisieren und verwalten.

Weitere Informationen finden Sie unter Serviceinstanzen zum Schutz des Schlüsselspeichers initialisieren.

Im aktuellen Stadium wird der Zugriff auf Hyper Protect Crypto Services über einen ACSP-Client (Advanced Cryptography Service Provider) nicht weiter unterstützt. Wenn Sie eine frühere Serviceinstanz verwenden, können Sie immer noch ACSP verwenden, um Hyper Protect Crypto Services zu durchsuchen.