Utilisation de Hyper Protect Crypto Services pour effectuer la rotation de clés racine

Tenez compte des considérations ci-après lorsque vous vous préparez à utiliser Hyper Protect Crypto Services pour effectuer la rotation de clés racine.

Rotation des clés racine générées dans Hyper Protect Crypto Services

Vous pouvez utiliser Hyper Protect Crypto Services pour procéder à la rotation d'une clé racine générée dans Hyper Protect Crypto Services en définissant une règle de rotation pour la clé, ou en procédant à la rotation de la clé à la demande. Les métadonnées de la clé racine, telles que l'ID de clé, ne changent pas lorsque vous procédez à la rotation de la clé.

Rotation des clés racine que vous apportez au service

Pour effectuer une rotation d'une clé racine initialement importée vers le service, vous devez générer et fournir de nouvelles informations de clé pour la clé. Vous pouvez utiliser Hyper Protect Crypto Services pour procéder à la rotation des clés racine importées à la demande en fournissant de nouvelles informations de clé dans le cadre de la demande de rotation. Les métadonnées de la clé racine, telles que l'ID de clé, ne changent pas lorsque vous procédez à la rotation de la clé. Comme vous devez fournir de nouvelles informations de clé pour effectuer la rotation d'une clé importée, les règles de rotation automatiques ne sont pas disponibles pour les clés racine qui ont des informations de clé importées.

Gestion des informations de clé racine retirées

Hyper Protect Crypto Services crée de nouvelles informations de clé après la rotation d'une clé racine. Le service retire les anciennes informations de clé et les conserve jusqu'à ce que la clé racine soit supprimée. Lorsque vous utilisez la clé racine pour le chiffrement d'enveloppe, Hyper Protect Crypto Services utilise uniquement les dernières informations de clé qui sont associées à la clé. Les informations de clé retirées ne peuvent plus être utilisées pour protéger des clés, mais elles restent disponibles pour les opérations de désencapsulage. Si Hyper Protect Crypto Services détecte que vous utilisez des informations de clé retirées pour désencapsuler des clés de chiffrement de données, le service fournit une clé de chiffrement de données nouvellement encapsulée qui est basée sur les dernières informations de clé.

Activation de la rotation de clé racine pour les services de données IBM Cloud

Pour qu'il soit possible d'activer ces options de rotation de clé racine pour votre service de données sur IBM Cloud, le service de données doit être intégré à Hyper Protect Crypto Services. Reportez-vous à la documentation de votre service de données IBM Cloud ou consultez notre liste des services intégrés pour en savoir plus.

Lorsque vous procédez à la rotation d'une clé racine dans Hyper Protect Crypto Services, vous n'avez pas à payer de frais supplémentaires. Vous pouvez continuer à désencapsuler vos clés de chiffrement de données encapsulées avec des informations de clé retirées sans coût supplémentaire. Pour plus d'informations sur nos options de tarification, voir la page de catalogue Hyper Protect Crypto Services.

Présentation du processus de rotation de clé racine

En coulisse, l'API de service de gestion de clés Hyper Protect Crypto Services conduit le processus de rotation des clés.

Le diagramme ci-après présente une vue contextuelle de la fonctionnalité de rotation des clés.

A chaque demande de rotation, Hyper Protect Crypto Services associe de nouvelles informations de clé à votre clé racine.

Pour savoir comment utiliser l'API de service de gestion de clés Hyper Protect Crypto Services pour faire pivoter vos clés racine, voir Rotation des clés.

Réencapsulage des données après la rotation d'une clé racine

Une fois que la rotation d'une clé racine est terminée, de nouvelles informations de clé deviennent disponibles pour protéger les clés de chiffrement de données avec le chiffrement d'enveloppe. Le matériel de clé racine retiré passe à l'état Désactivé, où il peut uniquement être utilisé pour désencapsuler et accéder à des clés DEK plus anciennes qui ne sont pas encore protégées par la dernière clé racine.

Pour sécuriser le flux de travail de chiffrement de votre enveloppe, réencapsulez vos clés de chiffrement de données une fois que vous avez effectué la rotation d'une clé racine de sorte que vos données au repos soient protégées par la clé racine la plus récente. Par ailleurs, si Hyper Protect Crypto Services détecte que vous utilisez des informations de clé racine retirées pour désencapsuler une clé de chiffrement de données, le service chiffre à nouveau automatiquement cette clé et renvoie une clé de chiffrement de données encapsulée basée sur la dernière clé racine. Stockez et utilisez la nouvelle clé de chiffrement de données encapsulée pour les futures opérations de désencapsulage avec laquelle les clés de chiffrement de données sont protégées avec les informations de clé les plus récentes.

Pour savoir comment utiliser l'API de service de gestion de clés Hyper Protect Crypto Services pour réencapsuler les clés de chiffrement de données, voir Réemballage des clés.