暗号メカニズムの有効化

IBM Cloud® Hyper Protect Crypto Services でいくつかの暗号機能とメカニズムを有効にした後、これらの機能とメカニズムの使用を開始するには、まずそれらを暗号装置管理者が Hyper Protect Crypto Services インスタンスで手動で有効にする必要がある場合があります。

HSM ファームウェアはサポートされる IBM Cloud リージョンで更新され、以下に示す機能が使用可能になりました。対応するリージョンで HSM ファームウェア更新がデプロイされた後にプロビジョンされたサービス・インスタンスでは、これらの機能がデフォルトで有効になっています。一方、HSM ファームウェア更新がロールアウトされる前にマスター鍵がセットアップされた既存のサービス・インスタンスでは、これらの機能は必要に応じて手動で有効にする必要があります。

BIP32 決定論的ウォレットの有効化

Bitcoin Improvement Proposal (BIP) は、ビットコインの機能と、プロセスまたは環境を記述したものです。階層決定論的ウォレットでは、ウォレットの秘密鍵および公開鍵を導出する方法を定義するために BIP 0032 (BIP32) 標準が使用されます。

BIP32 を有効にするには、以下の手順を実行します。

ステップ 1: BIP32 が有効になっているかどうかの検証

サービス・インスタンスで BIP32 機能が既に有効になっているかどうかを確認するために、以下の手順を実行します。

この手順を実行する前に、サービス・インスタンスをプロビジョンし、Trusted Key Entry (TKE) コマンド・ライン・インターフェース (CLI) プラグインまたは管理ユーティリティーのいずれかを使用してサービス・インスタンスを初期化してあることを確認してください。

CLI で、以下のコマンドを使用して TKE CLI プラグインを最新バージョンに更新します。
```
ibmcloud plugin update tke
```
BIP32 機能が有効になっているかどうかを確認するために、次のコマンドを実行します。
```
ibmcloud tke cryptounit-compare
```
以下の出力は、表示される内容の例です。 BIP32 機能が有効になっている場合、XCP_CPB_BTC セクションで Set 列に CONTROL POINTS が指定されています。
```
CONTROL POINTS
SERVICE INSTANCE: f410ea28-691a-4708-a580-1f813e0a6d31
CRYPTO UNIT NUM   XCP_CPB_BTC
1                 Set
2                 Set
```
Not Set が表示されている場合は、以下の手順を実行して BIP32 機能を手動で有効にします。

ステップ 2: 手動での BIP32 の有効化

サービス・インスタンスで BIP32 を有効にするために、以下の手順を実行します。

以下のコマンドを使用して、サービス・インスタンス内のすべての暗号装置が選択されていることを確認します。
```
ibmcloud tke cryptounits
```
以下の出力は、表示される内容の例です。選択された暗号装置はすべて、true 列が SELECTED になっています。
```
SERVICE INSTANCE: 482cf2ce-a06c-4265-9819-0b4acf54f2ba
CRYPTO UNIT NUM   SELECTED   LOCATION
1                 true       [us-south].[AZ3-CS3].[02].[03]
2                 true       [us-south].[AZ2-CS2].[02].[03]
```
いずれかの暗号装置が選択されていない場合は、以下のコマンドを実行し、プロンプトに従ってその暗号装置を選択リストに追加します。
```
ibmcloud tke cryptounit-add
```
BIP32 機能を有効にするために、以下のコマンドを実行します。
```
ibmcloud tke cryptounit-cp-btc
```
(オプション) BIP32 機能が有効になっていることを確認するために、ibmcloud tke cryptounit-compare コマンドを再度実行し、出力内のすべての暗号装置の XCP_CPB_BTC が Set になっていることを確認します。

エドワーズ曲線デジタル署名アルゴリズムの有効化

エドワーズ曲線デジタル署名アルゴリズム (EdDSA) は、パフォーマンス最適化楕円曲線に基づく最新のセキュアなデジタル署名アルゴリズムです。

EdDSA を有効にするには、以下の手順を実行します。

ステップ 1: EdDSA が有効になっているかどうかの検証

EdDSA 機能がサービス・インスタンス内で既に有効になっているかどうかを確認するために、以下の手順を実行します。

CLI で、以下のコマンドを使用して TKE CLI プラグインを最新バージョンに更新します。
```
ibmcloud plugin update tke
```
EdDSA 機能が有効になっているかどうかを確認するために、次のコマンドを実行します。
```
ibmcloud tke cryptounit-compare
```
以下の出力は、表示される内容の例です。 EdDSA 機能が有効になっている場合、XCP_CPB_ALG_EC_25519 セクションで Set 列に CONTROL POINTS が指定されています。
```
CONTROL POINTS
SERVICE INSTANCE: f410ea28-691a-4708-a580-1f813e0a6d31
CRYPTO UNIT NUM   XCP_CPB_ALG_EC_25519
1                 Set
2                 Set
```
Not Set が表示されている場合は、以下のステップを実行して EdDSA 機能を手動で有効にします。

ステップ 2: 手動での EdDSA の有効化

サービス・インスタンスで EdDSA を有効にするために、以下の手順を実行します。

以下のコマンドを使用して、サービス・インスタンス内のすべての暗号装置が選択されていることを確認します。
```
ibmcloud tke cryptounits
```
以下の出力は、表示される内容の例です。選択された暗号装置はすべて、true 列が SELECTED になっています。
```
SERVICE INSTANCE: 482cf2ce-a06c-4265-9819-0b4acf54f2ba
CRYPTO UNIT NUM   SELECTED   LOCATION
1                 true       [us-south].[AZ3-CS3].[02].[03]
2                 true       [us-south].[AZ2-CS2].[02].[03]
```
いずれかの暗号装置が選択されていない場合は、以下のコマンドを実行し、プロンプトに従ってその暗号装置を選択リストに追加します。
```
ibmcloud tke cryptounit-add
```
EdDSA 機能を有効にするために、以下のコマンドを実行します。
```
ibmcloud tke cryptounit-cp-eddsa
```
(オプション) EdDSA 機能が有効になっていることを確認するために、ibmcloud tke cryptounit-compare コマンドを再度実行し、出力内のすべての暗号装置の XCP_CPB_ALG_EC_25519 が Set になっていることを確認します。

Schnorr アルゴリズムの有効化

Schnorr アルゴリズムは、デジタル署名を生成するための署名スキームとして使用できます。これは、Bitcoin システムにおける暗号署名用の楕円曲線 DSA (ECDSA: Elliptic Curve Digital Signature Algorithm) の代替アルゴリズムとして提案されています。 Schnorr 署名は、シンプルかつ効率的であることで知られています。

Schnorr アルゴリズムを有効にするために、以下の手順を実行します。

ステップ 1: Schnorr アルゴリズムが有効になっているかどうかの確認

Schnorr アルゴリズムがサービス・インスタンス内で既に有効になっているかどうかを確認するために、以下の手順を実行します。

CLI で、以下のコマンドを使用して TKE CLI プラグインを最新バージョンに更新します。
```
ibmcloud plugin update tke
```
Schnorr アルゴリズムが有効になっているかどうかを確認するために、次のコマンドを実行します。
```
ibmcloud tke cryptounit-compare
```
以下の出力は、表示される内容の例です。 Schnorr アルゴリズムが有効になっている場合は、XCP_CPB_ECDSA_OTHER セクションで Set 列に CONTROL POINTS が指定されています。
```
CONTROL POINTS
SERVICE INSTANCE: f410ea28-691a-4708-a580-1f813e0a6d31
CRYPTO UNIT NUM   XCP_CPB_ECDSA_OTHER
1                 Set
2                 Set
```
Not Set が表示されている場合は、以下のステップを実行して Schnorr アルゴリズムを手動で有効にします。

ステップ 2: Schnorr アルゴリズムの手動による有効化

Schnorr アルゴリズムをサービス・インスタンスに対して有効にするために、以下の手順を実行します。

以下のコマンドを使用して、サービス・インスタンス内のすべての暗号装置が選択されていることを確認します。
```
ibmcloud tke cryptounits
```
以下の出力は、表示される内容の例です。選択された暗号装置はすべて、true 列が SELECTED になっています。
```
SERVICE INSTANCE: 482cf2ce-a06c-4265-9819-0b4acf54f2ba
CRYPTO UNIT NUM   SELECTED   LOCATION
1                 true       [us-south].[AZ3-CS3].[02].[03]
2                 true       [us-south].[AZ2-CS2].[02].[03]
```
いずれかの暗号装置が選択されていない場合は、以下のコマンドを実行し、プロンプトに従ってその暗号装置を選択リストに追加します。
```
ibmcloud tke cryptounit-add
```
Schnorr アルゴリズムを有効にするために、次のコマンドを実行します。
```
ibmcloud tke cryptounit-cp-sig-other
```
(オプション) Schnorr アルゴリズムが有効になっていることを確認するために、ibmcloud tke cryptounit-compare コマンドを再度実行し、出力内のすべての暗号装置の XCP_CPB_ECDSA_OTHER が Set になっていることを確認します。

次の作業

これで、PKCS #11 API または GREP11 API を使用して暗号操作を実行し、決定論的ウォレットを保護することを開始できます。

TKE CLI コマンドについて詳しくは、TKE CLI リファレンスを参照してください。
PKCS #11 API について詳しくは、PKCS #11 の概要および PKCS #11 API リファレンスを参照してください。
GREP11 API について詳しくは、EP11 over gRPC の概要および GREP11 API リファレンスを参照してください。
PKCS #11 および GREP11 API の違いと相互の関係について詳しくは、クラウド HSM の概要を参照してください。