Descrizione della politica di accesso alla rete

Una politica di accesso di rete per Hyper Protect Crypto Services istanze è una politica aggiuntiva che i clienti possono utilizzare per bloccare un Istanza Hyper Protect Crypto Services dal richiamo delle richieste API da reti pubbliche o private.

La politica di accesso di rete si applica alle istanze di cui è stato appena eseguito il provisioning e a quelle esistenti. Per le istanze esistenti, la politica di accesso alla rete viene applicata dopo che è stata impostata.

Due opzioni controllano l'accesso alla rete Hyper Protect Crypto Services istanze:

• Accesso alla rete pubblica e privata - questo è il valore predefinito
• Solo accesso alla rete privata

Prima di iniziare

1. Assicurati che il tuo account dell'infrastruttura IBM Cloud sia abilitato per VRF (virtual routing and forwarding).

   Quando abiliti VRF, viene creata una tabella di instradamento separata per il tuo account e le connessioni verso e dalle risorse del tuo account vengono instradate separatamente sulla rete IBM Cloud. Per ulteriori informazioni sulla tecnologia VRF, vedi VRF (virtual routing and forwarding) su IBM Cloud.

   L'abilitazione di VRF modifica in modo permanente la rete per il tuo account. Assicurati di comprendere l'impatto per il tuo account e le tue risorse. Dopo che hai abilitato VRF, non è possibile disabilitarlo.

2. Assicurati che il tuo account dell'infrastruttura IBM Cloud sia abilitato per gli endpoint del servizio.

   Quando abiliti gli endpoint del servizio, puoi collegarti a Hyper Protect Crypto Services utilizzando un indirizzo IP privato accessibile solo tramite la rete privata di IBM Cloud. Per ulteriori informazioni, vedi la sezione relativa agli endpoint del servizio per le connessioni private.

   Dopo che hai abilitato gli endpoint del servizio per il tuo account, tutte le istanze del servizio e le risorse Hyper Protect Crypto Services esistenti e future diventano disponibili sia dall'endpoint pubblico che da quello privato.

Passo 1: configura la rete privata di IBM Cloud sul tuo server virtuale

Prepara la tua VSI o macchina di test configurando la tua tabella di instradamento per la rete privata di IBM Cloud.

1. Per instradare il traffico alla rete privata di IBM Cloud, immetti il seguente comando sulla tua VSI:

   route add -net 166.9.0.0/16 gw <gateway> dev <gateway_interface>
   

   Sostituire <gateway> (ad esempio, 10.x.x.x) e <gateway_interface> (ad esempio, eth10) con i valori appropriati.

2. Facoltativo: verifica che l'instradamento sia stato aggiunto correttamente visualizzando la tua nuova tabella di instradamento.

   route -n
   

Passo 2: Esegui il provisioning di un'istanza del servizio e seleziona l'accesso alla rete

Quando esegui il provisioning di un'istanza del servizio, puoi scegliere tra le opzioni private-only e public-and-private utilizzando l'IU o la CLI.

Puoi sempre gestire e aggiornare le impostazioni di rete dopo aver eseguito il provisioning e inizializzato l'istanza del servizio. Utilizza la API o la CLI per passare da una rete privata a una pubblica e privata.

Passo 3: specifica l'endpoint privato Hyper Protect Crypto Services per il plugin della CLI TKE

Per eseguire la gestione delle chiavi e le operazioni crittografiche considerate un endpoint privato, è necessario prima specificare l'endpoint privato per il plug-in della CLI TKE (Trusted Key Entry).

1. Dalla riga di comando, accedi a IBM Cloud.

   ibmcloud login
   

   Se l'accesso non riesce, esegui il comando ibmcloud login --sso e prova di nuovo. Il parametro --sso è obbligatorio quando accedi con un ID federato. Se viene utilizzata questa opzione, vai al link elencato nell'output della CLI per generare una passcode monouso.

2. Impostare la variabile di ambiente TKE_PRIVATE_ADDR come destinazione dell'endpoint privato per il plug-in TKE (Trusted Key Entry). Sostituisci con nome breve dell'ubicazione in cui viene creata la tua istanza del servizio.

   export TKE_PRIVATE_ADDR=https://tke.private.us-south.hs-crypto.cloud.ibm.com
   

   La variabile di ambiente TKE_PRIVATe_ADDR viene utilizzata per impostare l'URL dell'endpoint API sia per endpoint pubblici che per endpoint privati. Se si desidera utilizzare l'endpoint pubblico, annullare l'impostazione della variabile di ambiente TKE_PRIVATE_ADDR o impostare la variabile di ambiente TKE_PRIVATE_ADDR come URL dell'endpoint pubblico: https://tke.<region>.hs-crypto.cloud.ibm.com.

Passo 4: inizializzare l'istanza del servizio

Se selezioni l'opzione private-only quando esegui il provisioning dell'istanza del servizio, tutte le azioni successive vengono eseguite in una rete privata, inclusa inizializzazione di un'istanza del servizio. È possibile utilizzare i file parte chiave o le smart card e i programmi di utilità di gestione per inizializzare l'istanza del servizio. Se selezioni l'opzione public-and-private, puoi inizializzare l'istanza del servizio in una rete pubblica.

Una volta eseguita l'inizializzazione del servizio, puoi ancora aggiornare le impostazioni di rete seguendo Gestione delle impostazioni di rete.

Passo 5: specifica l'endpoint privato Hyper Protect Crypto Services per il servizio di gestione delle chiavi

Se stai utilizzando il servizio di gestione delle chiavi di Hyper Protect Crypto Services, dopo aver configurato la tua VSI per accettare il traffico di rete privata di IBM Cloud, puoi specificare l'endpoint privato per Hyper Protect Crypto Services utilizzando il plug-in CLI Key Protect.

Se stai usando il servizio GREP11, il servizio gestisce la connessione dell'endpoint privato. Devi solo passare il tuo endpoint del servizio GREP11 all'endpoint privato per istruzioni in Generazione di una richiesta API GREP11.

1. Facoltativo: assicurati che il tuo account sia abilitato per gli endpoint del servizio e VRF

   ibmcloud account show
   

   Il seguente output della CLI mostra i dettagli dell'account di un account abilitato all'endpoint del servizio e VRF.

   Retrieving account John Doe's Account of john.doe@email.com...
   OK
   
   Account ID:                   d154dfbd0bc2edefthyufffc9b5ca318
   Currently Targeted Account:   true
   Linked Softlayer Account:     1008967
   Service Endpoint Enabled:     true
   

   Vedi Abilitazione di VRF e degli endpoint del servizio per informazioni su come impostare il tuo account per la connessione a una rete privata.

2. Imposta la variabile di ambiente per indicare come destinazione l'endpoint privato Hyper Protect Crypto Services.

   Utilizza i seguenti comandi solo sul sistema operativo Linux o macOS. Per come impostare le variabili di ambiente sul sistema operativo Windows, vediAccesso a Key Protect CLI.

   Imposta la variabile di ambiente KP_PRIVATE_ADDR per specificare l'endpoint privato per il servizio di gestione delle chiavi:

   export KP_PRIVATE_ADDR=https://<instance_ID>.api.private.<region>.hs-crypto.appdomain.cloud
   

   Puoi trovare l'URL dell'endpoint privato di gestione delle chiavi elencato nel dashboard del servizio sotto Panoramica > Connect > URL dell'endpoint privato di gestione delle chiavi.

   In alternativa, puoi richiamare l'URL dell'endpoint APIin modo dinamico. Il valore restituito include quanto segue:

   {
     "instance_id": "<instance_ID>",
     "kms": {
       "public": "<instance_ID>.api.<region>.hs-crypto.appdomain.cloud",
       "private":"<instance_ID>.api.private.<region>.hs-crypto.appdomain.cloud"
       },
       "ep11": {
       "public": "<instance_ID>.ep11.<region>.hs-crypto.appdomain.cloud",
       "private":"<instance_ID>.ep11.private.<region>.hs-crypto.appdomain.cloud"
     }
   }
   

   L'URL dell'endpoint privato viene restituito in private. Per l'endpoint di gestione delle chiavi, utilizza il valore restituito nella sezione kms. La variabile di ambiente KP_PRIVATE_ADDR viene utilizzata per impostare l'URL dell'endpoint API sia per l'endpoint pubblico che per l'endpoint privato. Se vuoi utilizzare l'endpoint pubblico, assicurati di impostare la variabile di ambiente KP_PRIVATE_ADDR come l'URL endpoint pubblico che viene restituito nel campo public nella sezione kms.

Passo 6: verifica la tua connessione di rete privata

Potresti voler verificare la tua connessione di rete dopo aver configurato la tua rete privata.

Per verificare la connessione di rete privata per il servizio di gestione delle chiavi, utilizza la CLI Key Protect per eseguire un'azione verso l'istanza del servizio Hyper Protect Crypto Services. Il seguente esempio mostra come creare una chiave rootA symmetric wrapping key that is used for encrypting and decrypting other keys that are stored in a data service. sulla rete privata.

1. Crea una chiave root indicando come destinazione l'endpoint privato.

   ibmcloud kp create <key_name> -i <instance_ID>
   

   Sostituire <key_name> con un alias leggibile per una facile identificazione della propria chiave. Sostituisci <instance_ID> con l'ID istanza IBM Cloud che identifica la tua istanza del servizio Hyper Protect Crypto Services.

2. Facoltativo: verifica che la tua chiave sia stata creata correttamente elencando le chiavi disponibili nella tua istanza del servizio Hyper Protect Crypto Services.

   ibmcloud kp list -i <instance_ID>
   

   Sostituisci <instance_ID> con l'ID istanza IBM Cloud che identifica la tua istanza del servizio Hyper Protect Crypto Services.

Operazioni successive

Per eseguire le operazioni di gestione chiavi, consultare:

• L'API del servizio di gestione chiavi
• CLIKey Protect

Per eseguire operazioni di crittografia, consultare:

• API PKCS #11
• API GREP11