Controlla e assicurati di installare la CLIIBM Cloud e il plug-in TKE CLI più recente con il seguente comando:

ibmcloud plugin install tke

Se hai installato il plug-in della CLI TKE, assicurati di aggiornare il tuo plug-in alla versione più recente con il seguente comando:

ibmcloud plugin update tke

Accedi a IBM Cloud con la CLI.

Se hai più account, seleziona l'account con cui viene creata la tua istanza del servizio. Assicurati di aver eseguito l'accesso alla regione e al gruppo di risorse corretti in cui si trova l'istanza del servizio con il seguente comando:

ibmcloud target -r <region> -g <resource_group>

Per abilitare o aggiungere le unità di crittografia di failover, immetti il seguente comando:

ibmcloud tke failover-enable

Prima di poter eseguire questo comando, assicurati di selezionare tutte le unità di crittografia per l'istanza di destinazione utilizzando il comando ibmcloud tke cryptounit-add.

Questo comando guida l'utente attraverso la procedura per abilitare o aggiungere le unità di crittografia di failover. Seguire le istruzioni per completare la seguente procedura:

1. Immettere il numero totale di unità di crittografia di failover che si desidera assegnare alla propria istanza del servizio.

   Per un'istanza del servizio con 3 unità di crittografia operative, specificare 2 o 3 unità di crittografia di failover. Per un'istanza del servizio con 2 unità di crittografia operative, specificare 2 unità di crittografia di failover.

   Il seguente output è una visualizzazione di esempio:

   You currently have 0 failover crypto unit(s) for the selected instance 00000a09-0563-4e00-b259-06a4edfc4cba
   Since you have 2 operational crypto units for this instance, you can have up to 2 failover crypto units
   Enter the total number of failover crypto units you would like (max 2):
   > 2
   
   You will now have 2 failover crypto units. This will affect your billing. For more information, see https://cloud.ibm.com/docs/hs-crypto?topic=hs-crypto-faq-pricing
   
   Would you like to continue? [y/n]:
   > y
   

   Se la tua istanza ha già un certo numero di unità di crittografia di failover assegnate, puoi anche utilizzare questo comando e seguire la stessa procedura per aggiungere altre unità di crittografia di failover.

2. Immettere y per confermare l'azione. Le unità di crittografia di failover vengono assegnate nella region di failover di destinazione.

   Le unità di crittografia di failover sono ora disponibili in us-south e us-east. Le due regioni sono le regioni di failover di destinazione una dell'altra. Ad esempio, se la propria istanza si trova in us-south, la regione di failover per la propria istanza è us-east.

   Il seguente output è una visualizzazione di esempio:

   Instance 00000a09-0563-4e00-b259-06a4edfc4cba targetting backup region us-south
   2 failover crypto units have been assigned.
   Getting cryptounit info... this may take a moment
   
   API endpoint:    https://cloud.ibm.com
   Region:          us-south
   User:            user@ibm.com
   Account:         user-account (8230.....a255)
   Resource group:  Default
   
   SERVICE INSTANCE: 00000a09-0563-4e00-b259-06a4edfc4cba
   CRYPTO UNIT NUM   SELECTED   TYPE           LOCATION
   1                 true       OPERATIONAL    [us-east].[AZ3-CS3].[02].[03]
   2                 true       OPERATIONAL    [us-east].[AZ2-CS2].[02].[03]
   3                 true       RECOVERY       [us-east].[AZ2-CS4].[03].[06]
   4                 true       RECOVERY       [us-south].[AZ3-CS2].[03].[20]
   5                 false      FAILOVER       [us-south].[AZ2-CS2].[03].[04]
   6                 false      FAILOVER       [us-south].[AZ3-CS3].[01].[07]
   
   Note: all operational crypto units in a service instance must be configured the same.
   Use 'ibmcloud tke cryptounit-compare' to check how crypto units are configured.
   You should initialize your failover crypto units now to be prepared for a failover event.
   

Inizializza le unità di crittografia di failover utilizzando la stessa chiave master per l'inizializzazione delle unità di crittografia operative e lo stesso approccio di inizializzazione:

• Inizializzazione delle istanze di servizio con smart card e Management Utilities
• Inizializzazione delle istanze del servizio utilizzando i file parte chiave

Per inizializzare le tue istanze del servizio utilizzando le unità di crittografia di recupero, devi installare gli amministratori, impostare le soglie di firma e caricare il registro della chiave master corrente. Selezionare le unità di crittografia di failover da inizializzare e utilizzare i seguenti comandi plug-in TKE:

• Aggiungere amministratori: ibmcloud tke cryptounit-admin-add.
• Impostare le soglie di firma: ibmcloud tke cryptounit-thrhld-set.
• Trasferire il valore della chiave master in un'unità di crittografia di recupero alle unità di crittografia di failover: ibmcloud tke auto-mk-recover.

Devi inizializzare le unità di crittografia di failover prima di utilizzarle per un ripristino di emergenza regionale. Si consiglia di inizializzare le unità di crittografia di failover subito dopo averle abilitate per l'istanza del servizio.

Verificare e assicurarsi di aver completato i prerequisiti:

1. Impostare le utilità di gestione e collegare i due lettori di smart card alle porte USB della workstation.

2. Installa la CLIIBM Cloud e l'ultimo plug-in della CLI TKE con il seguente comando:

   ibmcloud plugin install tke
   

   Se hai installato il plug-in della CLI TKE, assicurati di aggiornare il tuo plug-in alla versione più recente con il seguente comando:

   ibmcloud plugin update tke
   

3. Accedi a IBM Cloud con la CLI.

   Se hai più account, seleziona l'account con cui viene creata la tua istanza del servizio. Assicurati di aver eseguito l'accesso alla regione e al gruppo di risorse corretti in cui si trova l'istanza del servizio con il seguente comando:

   ibmcloud target -r <region> -g <resource_group>
   

Avviare l'applicazione Trusted Key Entry passando alla sottodirectory in cui si installano le applicazioni di Management Utilities ed eseguendo il seguente comando:

./tke

Quando viene avviata l'applicazione Trusted Key Entry, vengono visualizzati l'account e il gruppo di risorse che hai selezionato quando hai eseguito l'accesso a IBM Cloud.

Per abilitare o aggiungere unità di crittografia di failover, nella scheda Unità di crittografia, effettuare le seguenti operazioni:

1. Fai clic su Add crypto units. Nella finestra di dialogo visualizzata, immetti i numeri di tutte le unità di crittografia nell'istanza del servizio separata da uno spazio.

2. Fare clic su Abilitare failover e fare clic su Sì per continuare.

3. Se l'istanza del servizio ha tre unità di crittografia operative, ti viene richiesto di immettere il numero di unità di crittografia di failover in base alla tua necessità. Sono supportate le unità di crittografia di failover 2 o 3.

   Per un'istanza del servizio con solo due unità di crittografia operative, vengono assegnate automaticamente due unità di crittografia di failover. Non è necessario intraprendere alcuna azione in questo caso.

4. Fai clic su Yes per confermare l'azione. Le unità di crittografia di failover vengono assegnate nella region di failover di destinazione.

   Le unità di crittografia di failover sono ora disponibili in us-south e us-east. Le due regioni sono le regioni di failover di destinazione una dell'altra. Ad esempio, se la propria istanza si trova in us-south, la regione di failover per la propria istanza è us-east.

Inizializza le unità di crittografia di failover utilizzando la stessa chiave master per l'inizializzazione delle unità di crittografia operative e lo stesso approccio di inizializzazione:

• Inizializzazione delle istanze di servizio con smart card e Management Utilities
• Inizializzazione delle istanze del servizio utilizzando i file parte chiave

Devi inizializzare le unità di crittografia di failover prima di utilizzarle per un ripristino di emergenza regionale. Si consiglia di inizializzare le unità di crittografia di failover subito dopo averle abilitate per l'istanza del servizio.