Etape 1 : Génération des clés de signature et des parties de clé principale

Si vous avez créé des clés de signature et des parties de clé principale avec le plug-in d'interface de ligne de commande TKE sur votre poste de travail, vous pouvez les copier sur des cartes à puce au lieu de générer de nouvelles clés. Pour ce faire, dans l'onglet Smart card, cliquez sur Copy signature key file ou sur Copy key part file et suivez les instructions. Au cours du processus, vous devez fournir le mot de passe pour le fichier de clés.

1. Pour générer une clé de signature pour un administrateur, sélectionnez l'onglet Smart card, puis cliquez sur Generate signature key.

   Lorsque vous y êtes invité, insérez un Carte à puce EP11 dans le lecteur de carte à puce 2. Entrez un nom pour l'administrateur et entrez le numéro d'identification personnel (NIP) de la carte à puce sur le clavier du lecteur de cartes à puce.

   Une clé de signature d'administrateur est générée et stockée sur la carte à puce. Chaque carte à puce ne peut contenir qu'une seule clé de signature. Si vous souhaitez configurer plusieurs administrateurs, répétez cette étape en utilisant différentes cartes à puce EP11.

2. Pour générer les parties de clé principale pour l'initialisation de l'instance de service, sur l'onglet Smart card, cliquez sur Generate key part.

   Lorsque vous y êtes invité, insérez une carte à puce EP11 dans le lecteur de carte à puce 2 et tapez le code confidentiel de la carte à puce.Entrez une description pour la partie de clé.

   Une partie de clé principale aléatoire est générée et stockée sur la carte à puce.

   Pour créer d'autres parties de clé principale, répétez cette étape.

   Vous devez générer au moins deux parties de clé principale pour charger une clé principale.Pour plus de sécurité, vous pouvez générer un maximum de trois parties de clé principale. Pour améliorer la sécurité, vous pouvez choisir de générer des clés de signature et des parties de clé principale sur des cartes à puce distinctes et d'affecter chaque carte à puce à une personne différente. Pour plus d'informations, voir Smart card setup recommendations.

3. (Facultatif) Si vous souhaitez créer une copie de sauvegarde d'une carte à puce EP11, cliquez sur Copy smart card dans l'onglet Smart card et suivez les invites.

Etape 2 : Sélection des unités de chiffrement sur lesquelles la clé principale doit être chargée

Sélectionnez l'onglet Unités de chiffrement. La liste des unités de chiffrementA single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography. du groupe de ressources cible sous le compte utilisateur en cours s'affiche.La colonne SELECTED contient les unités de chiffrement que vous allez utiliser pour les commandes ultérieures.

Pour plus d'informations sur l'extraction de votre ID d'instance de service, voir Extraction de l'ID d'instance.

• Pour sélectionner d'autres unités de chiffrement à utiliser, cliquez sur Add crypto units et entrez le numéro d'unité de chiffrement des autres unités de chiffrement que vous souhaitez utiliser. Vous pouvez entrer plusieurs numéros d'unités de chiffrement, séparés par un espace.
• Pour retirer des unités de chiffrement du groupe que vous allez utiliser, cliquez sur Remove crypto units et entrez le numéro d'unité de chiffrement des unités de chiffrement que vous souhaitez retirer.Vous pouvez entrer plusieurs numéros d'unités de chiffrement, séparés par un espace.

Lorsque les opérations sont terminées, la valeur true s'affiche dans la colonne SELECTED pour chaque unité de chiffrement qui sera concernée par les commandes ultérieures. Si plusieurs unités de chiffrement sont affectées à une instance de service, toutes les unités de chiffrement de l'instance de service doivent être configurées de la même manière.

Si vous activez la haute disponibilité interrégionale avec des unités de chiffrement de reprise en ligne, veillez à ajouter toutes les unités d e chiffrement de reprise en ligne à la liste sélectionnée pour l'initialisation de l'instance.

Si vous n'initialisez et ne configurez pas les unités de chiffrement de reprise en ligne de la même manière que les unités de chiffrement opérationnelles, vous ne pouvez pas utiliser les unités de chiffrement de reprise en ligne pour la restauration automatique des données lorsqu'un sinistre régional se produit. Pour plus d'informations sur la reprise après incident interrégionale, voir Haute disponibilité et reprise après incident.

Etape 3 : Ajout d'administrateurs aux unités de chiffrement sélectionnées

La commande permettant de charger une clé principale doit être signée par un administrateur qui est prédéfini dans l'unité de chiffrement.Cette étape prédéfinit un administrateur.

1. Sélectionnez l'onglet Administrateurs.Cet onglet affiche la liste des administrateurs qui sont autorisés à signer les commandes de l'unité de cryptage.
2. Cliquez sur Ajouter un administrateur.
3. Lorsque vous y êtes invité, insérez la carte à puce EP11 qui contient cette clé de signature d'administrateur dans le lecteur de carte à puce 1, puis tapez le code confidentiel sur le clavier de ce lecteur.

La clé de signature publique et le nom de l'administrateur sont lus sur la carte à puce et installés dans l'unité de cryptage.Lorsque l'opération est terminée, le nom de l'administrateur est affiché dans le champ ADMIN NAME des unités cryptographiques sélectionnées.

Pour des raisons de sécurité et de conformité, le nom d'administrateur de l'unité de chiffrement peut apparaître dans les journaux à des fins d'audit.

Répétez cette étape si vous souhaitez ajouter plusieurs administrateurs. Le nombre d'administrateurs ajoutés doit être supérieur ou égal à la plus grande des valeurs suivantes :

• Valeur du seuil de signature. Le seuil de signature contrôle le nombre de signatures requises pour exécuter la plupart des commandes d'administration.
• Valeur de seuil de signature de révocation que vous avez l'intention de définir à l'étape 4. Le seuil de signature de révocation contrôle le nombre de signatures requises pour retirer un administrateur.

Ne supprimez pas les clés de signature de l'administrateur de vos cartes à puce. Sinon, vous ne pourrez pas effectuer les actions TKE qui doivent être signées, telles que la remise à zéro des unités de chiffrement et la rotation des clés principales.

Si vous souhaitez supprimer l'administrateur dans une phase ultérieure, cliquez sur Supprimer l'administrateur.

Etape 4 : Définition des seuils de signature pour quitter le mode imprint dans les unités de chiffrement sélectionnées

Lorsque les unités cryptographiques dans les instances de service sont attribuées à un utilisateur, elles commencent dans un état effacé appelé mode d'impression.En mode impression, la plupart des opérations sur l'unité cryptographique sont désactivées.Pour charger la clé maîtresse dans une unité cryptographique, il faut d'abord sortir du mode impression en réglant les seuils de signature sur une valeur supérieure à zéro.

1. Pour définir les seuils de signature, sélectionnez l'onglet Signature thresholds, puis cliquez sur Change signature thresholds.
2. Lorsque vous y êtes invité, entrez la nouvelle valeur de seuil de signature et la nouvelle valeur de seuil de signature de révocation. Ces valeurs doivent être des chiffres compris entre un et huit et ne doivent pas nécessairement être identiques.Le seuil de signature contrôle le nombre de signatures requises pour exécuter la plupart des commandes d'administration.Le seuil de signature de révocation contrôle le nombre de signatures nécessaires pour révoquer un administrateur après avoir quitté le mode d'impression. Certaines commandes nécessitent une seule signature, quelle que soit la manière dont le seuil de signature est défini.
3. Si vous y êtes invité, insérez une carte à puce EP11 avec une clé de signature d'administrateur définie pour les unités cryptographiques sélectionnées dans le lecteur de carte à puce 1. Ensuite, entrez le code PIN de la carte à puce sur le clavier du lecteur de cartes à puce.Répétez cette opération si vous êtes invité à entrer des cartes à uce EP11 supplémentaires avec des clés de signature. Lorsque l'unité de chiffrement quitte le mode imprint, le nombre de signatures requises pour cette commande correspond à la nouvelle valeur de seuil de signature.

Une fois les valeurs de seuil de signature définies, les nouvelles valeurs s'affichent sur la page Signature thresholds.Affecter aux seuils de signature une valeur supérieure à un permet d'activer l'authentification par quorum de plusieurs administrateurs pour des opérations sensibles.

Lorsqu'une carte à puce EP11 avec une clé de signature administrateur valide est insérée dans le lecteur de carte à puce 1 et que le code PIN est saisi, la carte à puce peut être utilisée pour signer plusieurs commandes.À l'étape 5, si le lecteur contient une carte à puce EP11 avec une clé de signature valide et que le code PIN est saisi, vous n'êtes pas invité à insérer une carte à puce EP11 avec une clé de signature dans le lecteur de carte à puce 1.

Etape 5 : Chargement de la clé principale

Pour plus d'informations sur la transition d'état du registre de clé principale, voir Description du chargement de la clé principale.