Inizializzazione delle istanze del servizio utilizzando i file parte chiave

Prima di poter utilizzare la tua istanza Hyper Protect Crypto Services, devi prima inizializzare la tua istanza del servizio caricando la chiave master. Questo argomento ti guida attraverso la procedura per inizializzare la tua istanza del servizio utilizzando i file parte chiave attraverso il plug-in CLI TKE IBM Cloud.

Per un'introduzione agli approcci dell'inizializzazione dell'istanza del servizio e ai concetti fondamentali correlati, vedi Inizializzazione delle istanze del servizio e Introduzione degli approcci dell'istanza del servizio.

Il seguente diagramma ti fornisce una panoramica delle operazioni che devi eseguire per inizializzare l'istanza del servizio utilizzando parti della chiave principale memorizzate nei file.Fai clic su ogni passo nel diagramma per le istruzioni dettagliate.

Fare clic su ogni passo per ottenere ulteriori dettagli sul flusso. — Figura 1. Flusso di attività dell'inizializzazione dell'istanza del servizio con il plug-in CLI TKE

Puoi anche guardare questo video per scoprire come inizializzare le istanze Hyper Protect Crypto Services con il plug-in CLI TKE IBM Cloud:

È tua responsabilità proteggere gli asset utilizzati per inizializzare l'istanza Hyper Protect Crypto Services. Per le procedure ottimali, vedi le FAQ.

Prima di iniziare

Prima di avviare l'inizializzazione dell'istanza, assicurati di completare i passi prerequisiti.

Selezione delle unità di crittografia di destinazione per l'inizializzazione del servizio

Le unità di crittografia assegnate a un account utente IBM Cloud si trovano in gruppi noti come istanze del servizio. Un'istanza del servizio può disporre di un massimo di sei unità di crittografia operative. Tutte le unità di crittografia in un'istanza del servizio devono essere configurate allo stesso modo. Se non è possibile accedere a una zona di disponibilità nella regione in cui si trova la tua istanza, le unità di crittografia operative possono essere utilizzate in modo intercambiabile per il bilanciamento del carico o per l'alta disponibilità.

Le unità di crittografia assegnate a un utente IBM Cloud vengono avviate in uno stato cancellato noto come modalità di improntaAn operational mode in which crypto units are assigned to a user..

I registri delle chiavi master in tutte le unità di crittografia in una sola istanza del servizio devono essere impostati allo stesso modo. La stessa serie di amministratori deve essere aggiunta a tutte le unità di crittografia e tutte le unità di crittografia devono uscire dalla modalità impronta contemporaneamente.

Per visualizzare le istanze del servizio e le unità di crittografia nel gruppo di risorse di destinazione nell'account utente corrente, utilizza il seguente comando:

ibmcloud tke cryptounits

Il seguente output è un esempio visualizzato. La colonna SELECTED nella tabella di output identifica le unità di crittografia che sono destinate ai comandi di gestione successivi emessi dal plug-in della CLI TKE.

SERVICE INSTANCE: 482cf2ce-a06c-4265-9819-0b4acf54f2ba
CRYPTO UNIT NUM   SELECTED   TYPE           LOCATION
1                 false      OPERATIONAL    [us-south].[AZ3-CS3].[02].[03]
2                 false      OPERATIONAL    [us-south].[AZ2-CS2].[02].[03]
3                 false      FAILOVER       [us-east].[AZ2-CS2].[03].[04]
4                 false      FAILOVER       [us-east].[AZ3-CS3].[01].[07]

SERVICE INSTANCE: 96fe3f8d-9792-45bc-a9fb-2594222deaf2
CRYPTO UNIT NUM   SELECTED   TYPE           LOCATION
5                 false      OPERATIONAL    [us-south].[AZ1-CS4].[00].[03]
6                 false      OPERATIONAL    [us-south].[AZ2-CS5].[03].[03]

Per aggiungere unità di crittografia aggiuntive all'elenco di unità di crittografia selezionato, utilizza il seguente comando:
```
ibmcloud tke cryptounit-add
```
Viene visualizzato un elenco delle unità di crittografia nel gruppo di risorse di destinazione sotto l'account utente corrente. Quando richiesto, immetti un elenco di numeri di unità di crittografia da aggiungere all'elenco delle unità di crittografia selezionato.

Se si abilita l'alta disponibilità tra regioni con le unità di crittografia di failover, assicurarsi di aggiungere tutte le unità di crittografia di failover all'elenco selezionato per l'inizializzazione dell'istanza.

Se non inizializzi e configuri le unità di crittografia di failover allo stesso modo delle unità di crittografia operative, non sarai in grado di utilizzare le unità di crittografia di failover per il ripristino automatico dei dati quando si verifica un disastro regionale. Per ulteriori informazioni sul ripristino di emergenza tra regioni, vedi Alta disponibilità e ripristino di emergenza.

Se stai usando una rete pubblica, le unità di crittografia associate alle istanze del servizio con la politica di rete impostata su private-only non devono essere elencate. Puoi accedere alle unità di crittografia solo private solo tramite una rete privata. Per ulteriori informazioni sull'impostazione di una connessione solo privata, vedi Destinazione dell'endpoint privato per il plug-in TKE.
Per rimuovere le unità di crittografia dall'elenco di unità di crittografia selezionato, utilizza il seguente comando:
```
ibmcloud tke cryptounit-rm
```
Viene visualizzato un elenco delle unità di crittografia nel gruppo di risorse di destinazione sotto l'account utente corrente. Quando richiesto, immetti un elenco di numeri di unità di crittografia da rimuovere dall'elenco delle unità di crittografia selezionato.

In generale, vengono selezionate tutte le unità di crittografia o nessuna delle unità di crittografia in un'istanza del servizio. Questa operazione fa sì che i comandi di gestione successivi aggiornino tutte le unità di crittografia di un'istanza del servizio in modo congruente. Tuttavia, se le unità di crittografia di un'istanza del servizio vengono configurate in modo diverso, devi selezionare e utilizzare le unità di crittografia singolarmente per ripristinare una configurazione coerente per tutte le unità di crittografia in un'istanza del servizio.

Puoi confrontare le impostazioni di configurazione delle unità di crittografia selezionate con il seguente comando:
```
ibmcloud tke cryptounit-compare
```

Caricamento delle chiavi master

Prima di poter caricare il nuovo registro delle chiavi master, aggiungi uno o più amministratori nelle unità di crittografia di destinazione ed esci dalla modalità impronta.

Per caricare il nuovo registro della chiave master, completa le seguenti attività con il plugin della CLI IBM Cloud:

Passo 1: crea una o più chiavi di firma

Per caricare il nuovo registro delle chiavi master, un amministratore dell'unità di crittografia deve firmare il comando con una chiave di firma univoca. Il primo passo consiste nel creare uno o più file di chiavi di firma che contengono chiavi di firma sulla stazione di lavoro.

Per considerazioni di sicurezza, i proprietari della chiave di firma possono essere persone diverse dai proprietari della parte della chiave principale. Il proprietario della chiave di firma deve essere l'unica persona che conosce la password associata al file della chiave di firma.

Per visualizzare le chiavi di firma esistenti sulla workstation, utilizza il seguente comando:
```
ibmcloud tke sigkeys
```
Per creare e salvare una nuova chiave di firma sulla workstation, utilizza il seguente comando:
```
ibmcloud tke sigkey-add
```
Quando richiesto, immetti un nome amministratore e una password per proteggere il file delle chiavi di firma. Devi ricordare la password. Se la password viene persa, non è possibile utilizzare la chiave di firma.

Ripetere il comando per creare più chiavi di firma, se necessario.
Per selezionare i responsabili per firmare i comandi futuri, utilizzare il comando:
```
ibmcloud tke sigkey-sel
```
Viene visualizzato un elenco di chiavi di firma rilevate sulla workstation. Quando richiesto, immettere i numeri di chiave dei file di chiave di firma da selezionare per la firma dei comandi di gestione futuri. Quando richiesto, immettere le password per i file di chiavi di firma.

Questo comando determina quali chiavi di firma sono consentite per firmare i comandi futuri. Non esiste alcun limite al numero di file di chiavi di firma che è possibile selezionare. Se si selezionano più chiavi di firma di quelle richieste per firmare un comando, le chiavi di firma effettive utilizzate verranno determinate al momento dell'esecuzione del comando.

È anche possibile utilizzare un servizio di firma di terze parti per fornire le chiavi di firma. Per ulteriori informazioni, vedi Utilizzo di un servizio di firma per gestire le chiavi di firma per l'inizializzazione dell'istanza.

Passo 2: aggiungi uno o più amministratori nell'unità di crittografia di destinazione

Per visualizzare gli amministratori esistenti per un'unità di crittografia, utilizza il seguente comando:
```
ibmcloud tke cryptounit-admins
```
Per aggiungere un amministratore, utilizzare il seguente comando:
```
ibmcloud tke cryptounit-admin-add
```
Viene visualizzato un elenco dei file delle chiavi di firma trovati sulla workstation.

Quando richiesto, seleziona il file delle chiavi di firma associato all'amministratore dell'unità di crittografia che deve essere aggiunto. Quindi, immetti la password per il file delle chiavi di firma selezionato.

Puoi ripetere il comando per aggiungere ulteriori amministratori dell'unità di crittografia, se necessario.

Il numero di amministratori che si aggiungono a un'unità di crittografia deve essere uguale o superiore al valore della soglia della firma e al valore della soglia della firma di revoca che si intende impostare nel Passo 3. Ad esempio, se si sta per impostare il valore della soglia della firma o della firma di revoca su due, è necessario aggiungere almeno due amministratori all'unità di crittografia. Puoi aggiungere fino a otto amministratori a un'unità di crittografia.

Non rimuovere i file delle chiavi di firma dell'amministratore dalla stazione di lavoro. Altrimenti, non è possibile eseguire azioni TKE che devono essere firmate, come l'azzeramento delle unità di crittografia e la rotazione delle chiavi principali.

In modalità di stampa, il comando per aggiungere un amministratore dell'unità di crittografia non deve essere firmato. Una volta che l'unità di crittografia lascia la modalità di impronta, il valore della soglia della firma per l'unità di crittografia determina il numero di amministratori dell'unità di crittografia che devono firmare il comando.

Per motivi di sicurezza e conformità, il nome dell'amministratore dell'unità di crittografia potrebbe essere visualizzato nei log per scopi di controllo.

Passo 3: impostare le soglie di autenticazione del quorum per uscire dalla modalità di impronta nell'unità di crittografia di destinazione

Un'unità di crittografia in modalità impronta non è considerata sicura. Non è possibile eseguire la maggior parte dei comandi di gestione, ad esempio il caricamento del nuovo registro della chiave principale, in modalità di stampa.

Dopo aver aggiunto uno o più amministratori dell'unità di crittografia, esci dalla modalità impronta utilizzando il comando:

ibmcloud tke cryptounit-thrhld-set

Quando richiesto, immettere i valori per la soglia di firma e la soglia di firma di revoca. La soglia di firma controlla il numero di firme richieste per eseguire la maggior parte dei comandi di gestione. La soglia della firma di revoca controlla il numero di firme richieste per rimuovere un amministratore dopo aver lasciato la modalità di impronta. Alcuni comandi richiedono una sola firma, indipendentemente da come è impostata la soglia di firma.

I valori di soglia della firma devono essere numeri compresi tra uno e otto. La soglia di firma e la soglia di firma di revoca possono essere diverse. L'impostazione delle soglie di firma su un valore maggiore di uno è un modo per applicare l'Autenticazione quorum per le operazioni sensibili, incluso il commit di un registro di chiavi principali, la modifica delle soglie di firma e l'aggiunta o la rimozione di amministratori dopo che l'unità di crittografia esce dalla modalità di impronta.

Il comando per uscire dalla modalità di stampa deve essere firmato da un numero di amministratori pari a quello specificato dal valore della nuova soglia di firma. Dopo che le unità di crittografia lasciano la modalità di impronta, tutti i comandi per l'unità di crittografia devono essere firmati. Una volta che l'unità di crittografia esce dalla modalità di stampa, è ancora possibile modificare le soglie di firma sull'unità di crittografia utilizzando il comando cryptounit-thrhld-set. Per visualizzare i valori di soglia della firma correnti, eseguire il comando ibmcloud tke cryptounit-thrhlds.

Passo 4: crea una serie di parti della chiave master da utilizzare

Ogni parte della chiave master viene salvata in un file protetto da password sulla workstation.

È necessario creare almeno due parti della chiave principale. Per motivi di sicurezza, è possibile utilizzare un massimo di tre parti della chiave principale e ciascuna parte della chiave può essere di proprietà di una persona diversa. Il proprietario della parte della chiave deve essere l'unica persona che conosce la password associata al file parte della chiave.

Per visualizzare le parti della chiave master esistenti sulla workstation, utilizza il seguente comando:
```
ibmcloud tke mks
```
Per creare e salvare una parte della chiave master casuale sulla workstation, utilizza il comando:
```
ibmcloud tke mk-add --random
```
Quando richiesto, immetti una descrizione per la parte della chiave e una password per proteggere il file delle parti della chiave. Devi ricordare la password. Se la password viene persa, non è possibile utilizzare la parte della chiave.
Per immettere un valore di parte della chiave noto e salvarlo in un file sulla workstation, utilizza il seguente comando:
```
ibmcloud tke mk-add --value
```
Quando richiesto, immetti il valore di parte della chiave come stringa esadecimale per la parte della chiave a 32 byte. Quindi, immetti una descrizione per la parte della chiave e una password per proteggere il file delle parti della chiave.

Passo 5: carica il nuovo registro delle chiavi master

Per caricare un registro chiave principale, tutti i file parte chiave principale e i file chiave di firma da utilizzare devono essere presenti su una workstation comune. Se i file sono stati creati su workstation separate, assicurati che i nomi file siano diversi per evitare conflitti. I proprietari del file della parte della chiave principale e del file della chiave di firma devono immettere le password del file quando il registro della chiave principale viene caricato sulla stazione di lavoro comune.

Per informazioni su come viene caricata la chiave principale, consultare le illustrazioni dettagliate in Registri chiave principale.

Per caricare il nuovo registro delle chiavi master, utilizza il seguente comando:

ibmcloud tke cryptounit-mk-load

Viene visualizzato un elenco di parti della chiave master trovate sulla workstation.

Quando viene richiesto, immettere le parti della chiave da caricare nel nuovo registro della chiave principale, la parola d'ordine per il file della chiave di firma da utilizzare e la parola d'ordine per ciascun file della parte della chiave selezionato. Per questo comando, è necessaria solo una chiave di firma.

Passo 6: esegui il commit del nuovo registro delle chiavi master

Assicurati di completare questo passo immediatamente dopo il passo 5 per spostare il nuovo registro della chiave master allo stato Full committed. Altrimenti, non potrai inizializzare la tua istanza del servizio o eseguire operazioni crittografiche con l'API GREP11 o PKCS #11 .

Il caricamento del nuovo registro della chiave principale colloca il registro della nuova chiave principale nello stato Full uncommitted. Prima di poter utilizzare il nuovo registro della chiave principale per inizializzare o codificare nuovamente la memoria della chiave, collocare il nuovo registro della chiave principale nello stato di cui è stato eseguito il commit. Per informazioni su come viene caricata la chiave principale, consultare le illustrazioni dettagliate in Registri chiave principale.

Per eseguire il commit del nuovo registro delle chiavi master, utilizza il seguente comando:

ibmcloud tke cryptounit-mk-commit

Quando richiesto, immettere le password per i file di chiavi di firma da utilizzare. È richiesta una serie completa di firme per applicare l'autenticazione quorum.

Passo 7: attiva la chiave master

Attiva la chiave master spostandola nel registro delle chiavi master corrente utilizzando il seguente comando:

ibmcloud tke cryptounit-mk-setimm

Viene visualizzato un messaggio che richiede se accettare la nuova chiave master.

Considerare quanto segue prima di intraprendere le azioni:

Se è la tua prima volta che inizializzi l'istanza del servizio, puoi ignorare questo messaggio e digitare y per continuare.
Se hai iniziato a gestire le chiavi con l'istanza del servizio e vuoi ricaricare la stessa chiave master che era stata utilizzata in precedenza, assicurati che non sia in corso alcuna azione di gestione e digita y per continuare.
Se hai iniziato a gestire le chiavi con l'istanza del servizio e vuoi caricare una nuova chiave master, digita N per annullare. Per ulteriori informazioni sulla rotazione della chiave principale, consultare Rotazione delle chiavi principali.

Quando richiesto, immettere la password per il file della chiave di firma da utilizzare. Per questo comando, è necessaria solo una chiave di firma perché la chiave è già resa disponibile nel passo 6. La chiave principale può diventare attiva senza una firma dell'amministratore.

Operazioni successive

Per ulteriori informazioni sulle altre opzioni dei comandi del plug-in della CLI TKE, immetti il seguente comando nella CLI:
```
ibmcloud tke help
```
Vai alla scheda Chiavi KMS del dashboard della tua istanza per gestire le chiavi root e le chiavi standard. Per ulteriori informazioni sulla gestione programmatica delle tue chiavi, consulta la documentazione di riferimento API del servizio di gestione delle chiavi Hyper Protect Crypto Services.
Per ulteriori informazioni sull'esecuzione delle operazioni di crittografia con HSM cloud, vedi Introduzione a HSM cloud.
Utilizza Hyper Protect Crypto Services come provider di chiavi root per gli altri servizi IBM Cloud. Per ulteriori informazioni sull'integrazione di Hyper Protect Crypto Services, vedi Integrazione dei servizi.
Per informazioni su come ruotare la chiave principale, consultare Rotazione delle chiavi principali utilizzando i file parte della chiave.