Passo 1: Genera le chiavi di firma e le parti della chiave principale

Se sono state create le chiavi di firma e le parti della chiave principale con il plug-in della CLI TKE sulla workstation, è possibile copiarle nelle smart card invece di generare nuove chiavi. A tale scopo, nella scheda Smart card, fare clic su Copia file di chiavi di firma o su Copia file di parti di chiavi e seguire le istruzioni. Durante il processo, è necessario fornire la password per il file di chiavi.

1. Per generare una chiave di firma per un amministratore, selezionare la scheda Smart card e fare clic su Genera chiave di firma.

   Quando richiesto, inserire una EP11 in smart card reader 2. Immettere un nome per l'amministratore e immettere il PIN (personal identification number) per la smart card sul PIN pad del lettore di smart card.

   Una chiave di firma amministratore viene generata e memorizzata sulla smart card. Ogni smart card può contenere solo una chiave di firma. Se si desidera configurare più amministratori, ripetere questo passo utilizzando smart card EP11 differenti.

2. Per generare le parti della chiave principale per l'inizializzazione dell'istanza del servizio, sulla scheda Smart card, fare clic su Genera parte della chiave.

   Se richiesto, inserire una smart card EP11 nel lettore smart card 2 e immettere il PIN della smart card. Immettere una descrizione per la parte chiave.

   Una parte chiave principale casuale viene generata e memorizzata sulla smart card.

   Per creare più parti della chiave principale, ripetere questa operazione.

   È necessario generare almeno due parti della chiave principale per caricare una chiave principale. Per una maggiore sicurezza, è possibile generare un massimo di tre parti della chiave principale. Per migliorare la sicurezza, è possibile scegliere di generare chiavi di firma e parti di chiavi principali su smart card separate e assegnare ciascuna smart card a una persona diversa. Per ulteriori informazioni, consultare Consigli per l'impostazione della smart card.

3. (Facoltativo) Se si desidera creare una copia di backup di una smart card EP11, fare clic su Copia smart card nella scheda Smart card e seguire i prompt.

Passo 2: seleziona le unità di crittografia in cui deve essere caricata la chiave master

Selezionare la scheda Unità crittografiche. Viene visualizzato un elenco di unità crittograficheA single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography. nel gruppo di risorse di destinazione sotto l'account utente corrente. La colonna SELECTED mostra le unità di crittografia con cui lavorerai nei comandi successivi.

Per ulteriori informazioni su come richiamare il tuo ID istanza del servizio, vedi Richiamo del tuo ID istanza.

• Per selezionare le unità di crittografia aggiuntive con cui lavorare, fai clic su Add crypto units e immetti il CRYPTO UNIT NUM (crypto unit numbers) delle unità di crittografia aggiuntive con cui vuoi lavorare. Puoi immettere più numeri unità di crittografia, separati da uno spazio.
• Per rimuovere le unità di crittografia dalla serie con cui stai per lavorare, fai clic su Rimuovi unità di crittografia e immetti il CRYPTO UNIT NUM delle unità di crittografia che vuoi rimuovere. Puoi immettere più numeri unità di crittografia, separati da uno spazio.

Quando le operazioni vengono eseguite, true viene visualizzato nella colonna SELECTED per ogni unità di crittografia che deve essere influenzata da comandi successivi. Se più di un'unità di crittografia è assegnata a un'istanza del servizio, tutte le unità di crittografia nell'istanza del servizio devono essere configurate allo stesso modo.

Se si abilita l'alta disponibilità tra regioni con le unità di crittografia di failover, assicurarsi di aggiungere tutte le unità di crittografia di failover all'elenco selezionato per l'inizializzazione dell'istanza.

Se non inizializzi e configuri le unità di crittografia di failover allo stesso modo delle unità di crittografia operative, non sarai in grado di utilizzare le unità di crittografia di failover per il ripristino automatico dei dati quando si verifica un disastro regionale. Per ulteriori informazioni sul ripristino di emergenza tra regioni, vedi Alta disponibilità e ripristino di emergenza.

Passo 3: Aggiungi gli amministratori alle unità di crittografia selezionate

Il comando per caricare una chiave master deve essere firmato da un amministratore che è predefinito per l'unità crittografica. Questo passo predefinisce un responsabile.

1. Selezionare la scheda Amministratori. Questa scheda visualizza un elenco di amministratori a cui è consentito firmare i comandi per l'unità di crittografia.
2. Fare clic su Aggiungi amministratore.
3. Quando viene richiesto, inserire la smart card EP11 che contiene la chiave di firma dell'amministratore nel lettore di smart card 1 e immettere il PIN nel pad del lettore di smart card.

La chiave di firma pubblica e il nome amministratore vengono letti dalla smart card e installati nell'unità di crittografia. Quando l'operazione viene eseguita, il nome dell'amministratore viene visualizzato nel campo NOME AMMINISTRATORE delle unità di crittografia selezionate.

Per motivi di sicurezza e conformità, il nome dell'amministratore dell'unità di crittografia potrebbe essere visualizzato nei log per scopi di controllo.

Ripetere questo passo se si desidera aggiungere più amministratori. Il numero di amministratori aggiunti deve essere maggiore o uguale al maggiore dei seguenti valori:

• Il valore soglia firma. La soglia della firma controlla quante firme sono necessarie per eseguire la maggior parte dei comandi di gestione.
• Il valore di soglia della firma di revoca che si intende impostare al Passo 4. La soglia della firma di revoca controlla quante firme sono necessarie per rimuovere un responsabile.

Non rimuovere le chiavi di firma dell'amministratore dalle smart card. Altrimenti, non è possibile eseguire azioni TKE che devono essere firmate, come l'azzeramento delle unità di crittografia e la rotazione delle chiavi principali.

Se si desidera rimuovere l'amministratore in una fase successiva, fare clic su Rimuovi amministratore.

Passo 4: impostare le soglie di firma per uscire dalla modalità di stampa nelle unità di crittografia selezionate

Quando le unità di crittografia nelle istanze del servizio vengono assegnate a un utente, iniziano in uno stato deselezionato chiamato modalità di impronta. In modalità di stampa, la maggior parte delle operazioni sull'unità di crittografia sono disabilitate. Per caricare la chiave principale in un'unità di crittografia, prima uscire dalla modalità di impronta impostando le soglie di firma su un valore maggiore di zero.

1. Per impostare le soglie di firma, selezionare il separatore Soglie di firma e fare clic su Modifica soglie di firma.
2. Quando richiesto, immettere il nuovo valore di soglia della firma e il nuovo valore di soglia della firma di revoca.  I valori devono essere numeri compresi tra uno e otto e non è necessario che siano uguali. La soglia della firma controlla quante firme sono necessarie per eseguire la maggior parte dei comandi di gestione. La soglia della firma di revoca controlla quante firme sono necessarie per rimuovere un responsabile dopo aver lasciato la modalità di impronta. Alcuni comandi richiedono solo una firma, indipendentemente da come è impostata la soglia di firma.
3. Se richiesto, inserire una smart card EP11 con una chiave di firma dell'amministratore definita per le unità di crittografia selezionate nel lettore di smart card 1. Quindi, immettere il PIN della smart card sul PIN del lettore di smart card. Ripetere questa operazione se vengono richieste più smart card EP11 con le chiavi di firma. Quando l'unità di crittografia esce dalla modalità di impronta, il numero di firme necessarie per questo comando è il valore della nuova soglia di firma.

Una volta impostati i valori di soglia della firma, i nuovi valori vengono visualizzati nella pagina Soglie firma. L'impostazione delle soglie di firma su un valore maggiore di uno abilita l'autenticazione quorum da più amministratori per le operazioni sensibili.

Quando una smart card EP11 con una chiave di firma amministratore valida viene inserita nel lettore di smart card 1 e viene immesso il PIN, la smart card può essere utilizzata per firmare più comandi. Nel passo 5, se il lettore contiene una smart card EP11 con una chiave di firma valida e viene immesso il PIN, non viene richiesto di inserire una smart card EP11 con una chiave di firma nel lettore di smart card 1.

Passo 5: Carica la chiave principale

Per maggiori informazioni sulla transizione di stato del registro della chiave master, fare riferimento a Comprensione del modo in cui viene caricata la chiave master.