Informazioni sui programmi di utilità di gestione

I programmi di utilità di gestione sono composti da due applicazioni che utilizzano le smart card per configurare le istanze di servizio: il programma di utilità Smart Card e l'applicazione TKE (Trusted Key Entry). Per utilizzare i Management Utilities, devi ordinare le IBM e seguire le istruzioni in Inizializzazione delle istanze del servizio utilizzando le smart card e i Management Utilities.

Il seguente diagramma illustra la relazione tra vari componenti quando si utilizzano i programmi di utilità di gestione per inizializzare un'istanza del servizio.

• Programma di utilità Smart Card

  Una delle due applicazioni installate come parte dei programmi di utilità di gestione. Imposta e gestisce le smart card utilizzate dall'applicazione Trusted Key Entry.

• L'applicazione Trusted Key Entry

  Una delle due applicazioni installate come parte dei programmi di utilità di gestione. Utilizza le smart card per caricare le chiavi master nelle istanze del servizio ed eseguire altre attività di configurazione per le istanze del servizio.

Informazioni sulle smart card

Una smart card sembra una carta di credito con un chip incorporato. Il chip può eseguire una serie limitata di operazioni crittografiche ed è caricato con software personalizzato. In Management Utilities, il programma Smart Card Utility carica software personalizzato sulla smart card per creare due tipi di smart card:

• Smart card dell'autorità di certificazione

  Le smart card dell'autorità di certificazione stabiliscono una serie di smart card che possono funzionare insieme, denominate zone di smart card.

• Smart card EP11

  Le smart card Enterprise PKCS #11 (EP11) contengono una chiave di firma dell'amministratore e fino a 85 parti della chiave principale. Il software personalizzato su una smart card EP11 include le funzioni per la firma di un comando utilizzando una chiave di firma privata memorizzata sulla smart card e per la codifica di una parte della chiave principale per la consegna a un'unità di crittografia.

Le smart card sono protette da un PIN (Personal Identification Number) che deve essere immesso su un PIN del lettore di smart card prima che la smart card esegua le operazioni. La smart card EP11 ha un singolo PIN. La smart card dell'autorità di certificazione ha due PIN ed entrambi devono essere immessi per abilitare le operazioni.

Quando si utilizzano le smart card, considerare i seguenti consigli:

• Creare ciascuna parte della chiave principale su una smart card EP11 separata e assegnare ciascuna parte della chiave principale a una persona diversa. Creare copie di backup di tutte le smart card e memorizzarle in un luogo sicuro.

• Ordina 10 o 12 smart card e configurali nel modo seguente:

  • Creare una smart card dell'autorità di certificazione e una smart card dell'autorità di certificazione di backup.

    È possibile creare una smart card dell'autorità di certificazione di backup utilizzando il programma di utilità Smart Card. Selezionare Smart Card CA > Backup smart card CA dal menu e seguire le istruzioni.

  • Creare quattro smart card EP11 per memorizzare le chiavi di firma dell'amministratore. Generare le chiavi di firma dell'amministratore separatamente su due smart card EP11 e copiarle su altre due smart card di backup.

    il contenuto di una smart card EP11 può essere copiato su un'altra smart card EP11 creata nella stessa zona di smart card utilizzando l'applicazione Trusted Key Entry. Nella scheda Smart card, fare clic su Copia smart card e seguire le istruzioni.

  • Creare quattro o sei smart card EP11 per memorizzare le parti della chiave principale. Generare le parti della chiave principale EP11 separatamente su due o tre smart card, a seconda del numero di parti della chiave quando si carica la chiave principale. Copiare ogni valore della parte chiave in una smart card di backup EP11.

  Per informazioni su come calcolare il numero di smart card necessarie, consultare FAQ: esistono consigli su come configurare le smart card?.

• Per una maggiore sicurezza, genera le chiavi di firma dell'amministratore su più smart card EP11 e imposta le soglie di firma nelle tue unità di crittografia su un valore maggiore di uno. Puoi installare fino a otto amministratori nelle tue unità di crittografia e specificare che sono richieste fino a otto firme per alcuni comandi di gestione.

Informazioni sui lettori di smart card

Un lettore di smart card è una periferica che si collega a una workstation e consente alla workstation di comunicare con una smart card. Per accedere a una smart card, è necessario inserire la smart card nel relativo lettore. La maggior parte delle operazioni di smart card richiedono che il PIN della smart card venga immesso sul PIN pad del lettore di smart card.

Un driver per il lettore smart card deve essere installato sulla workstation prima di poter utilizzare il lettore smart card. Per ulteriori informazioni, consultare Installazione del driver del lettore di smart card.

L'applicazione TKE utilizza il lettore di smart card 1 per contenere una smart card con una chiave di firma e utilizza il lettore di smart card 2 per contenere smart card che contengono parti di chiave principale.

Dopo che una smart card che contiene una chiave di firma valida viene inserita nel lettore di smart card 1 e viene immesso il PIN, la smart card può essere utilizzata per firmare più comandi, senza dover immettere nuovamente il PIN. Se la smart card viene rimossa dal lettore e reinserita, il PIN deve essere reinserito sul pad PIN del lettore di smart card prima di poter firmare ulteriori comandi.

Comprensione del plug-in IBM Cloud TKE CLI

Il plugin CLI TKE è un'aggiunta alla CLI (command - line interface) IBM Cloud. Con il plugin CLI TKE, puoi inviare i comandi alle unità di crittografia nella tua istanza del servizio per caricare la chiave master. Il plugin CLI TKE supporta due approcci per il caricamento della chiave principale.

Se la tua istanza del servizio dispone di unità di crittografia di ripristino, puoi caricare la chiave master eseguendo il comando ibmcloud tke auto-init. Questo comando ti guida attraverso i passaggi per aggiungere gli amministratori e impostare le soglie di firma, e quindi genera un valore di chiave master casuale in una delle unità di crittografia di ripristino nella tua istanza del servizio e copia il valore nelle altre unità di crittografia. Per ulteriori informazioni su questo approccio, vedi Inizializzazione delle istanze del servizio utilizzando le unità di crittografia di ripristino.

È anche possibile utilizzare il plug-in CLI TKE per caricare la chiave principale utilizzando le parti della chiave memorizzate nei file parte della chiave. Questo approccio può essere utilizzato indipendentemente dal fatto che la tua istanza del servizio abbia o meno unità di crittografia di ripristino. Utilizzando questo metodo, si esegue una serie di comandi per generare chiavi di firma e parti di chiave principale, aggiungere amministratori, impostare soglie di firma e caricare i registri di chiave principale. Per ulteriori informazioni, vedi Inizializzazione delle istanze del servizio utilizzando i file parte chiave.

È necessario disporre del ruolo appropriato per eseguire le operazioni del plug-in CLI TKE. Per ulteriori informazioni sui ruoli di accesso al servizio disponibili, consulta Ruoli di accesso al servizio.

Per un elenco completo dei comandi disponibili nel plugin CLI TKE, consulta IBM Cloud Trusted Key Entry CLI plug-in reference.

Comprensione delle unità di crittografia operative

Le unità di crittografia operative vengono utilizzate per gestire le chiavi di crittografia ed eseguire operazioni di crittografia. Le unità di crittografia operative sono le unità di crittografia a cui invii richieste API. Quando crei un'istanza del servizio, il numero di unità di crittografia che specifichi è il numero di unità di crittografia operative. Le unità di crittografia operative si trovano in diverse aree di disponibilità della stessa regione in cui risiede la tua istanza.

Informazioni sulle unità di crittografia di recupero

Due unità di recupero vengono assegnate automaticamente all'istanza del servizio senza costi aggiuntivi. Un'unità di recupero è allocata nella stessa regione delle unità di crittografia operative e l'altra è allocata in una regione di backup. Quando esegui il comando ibmcloud tke auto-init o ibmcloud tke auto-mk-rotate, viene generato un valore della chiave master casuale in una delle unità di crittografia di ripristino e quindi esportato in modo sicuro nelle altre unità di crittografia (incluse le eventuali unità di crittografia di failover) per l'istanza del servizio.

L'unico scopo delle unità di crittografia di ripristino è salvare una copia di backup del valore della chiave master. Le unità di crittografia di recupero non vengono utilizzate quando si eseguono carichi di lavoro operativi. Se il valore della chiave principale corrente viene perso o distrutto, è possibile recuperare il valore della chiave principale da una delle unità di crittografia di ripristino utilizzando il comando ibmcloud tke auto-mk-recover. Questo comando copia il valore nel registro della chiave master corrente di un'unità di crittografia di ripristino nel registro della chiave master corrente di altre unità di crittografia.

Attualmente, le istanze del servizio nella regione eu-es non supportano le unità di crittografia di ripristino, il che significa che, quando viene eseguito il provisioning di un'istanza del servizio in qualsiasi altra regione supportata, per impostazione predefinita sei abilitato con l'opzione di eseguire il backup delle tue chiavi master nelle unità di crittografia di ripristino ubicate nella regione di ripristino di emergenza. Per ulteriori informazioni sulle regioni supportate, vedi Regioni e ubicazioni.

Per istruzioni dettagliate sul recupero della chiave principale, consultare Ripristino di una chiave principale da un'unità di crittografia di ripristino.

Informazioni sulle parti della chiave principale

In questo approccio, la chiave principale è costituita da diverse parti della chiave principale che è necessario utilizzare il plugin CLI TKE per la creazione. Per motivi di sicurezza, ciascuna parte della chiave può essere di proprietà di una diversa persona denominata custode della chiave principale. Le parti chiave sono memorizzate nei file della workstation e sono protette da password. Il custode della chiave principale deve assicurarsi che i file della chiave siano salvati correttamente e che nessun altro conosca la parola d'ordine.

Il plug-in della CLI TKE fornisce una serie di comandi per completare l'inizializzazione, inclusa la creazione di chiavi di firma e parti della chiave principale, l'aggiunta di amministratori e il caricamento della chiave principale. Per i passi dettagliati, vedi Inizializzazione delle istanze del servizio utilizzando i file parte chiave.