Hyper Protect Crypto Services を使用するための前提条件はありますか?

Hyper Protect Crypto Services を使用するには、従量課金 (PAYG) 型またはサブスクリプション型の IBM Cloud アカウントが必要です。

IBM Cloud アカウントがない場合は、最初に IBM Cloud 登録にアクセスしてアカウントを作成します。 アカウント・タイプを確認するには、 IBM Cloud にアクセスし、 「管理」 > 「アカウント」 > 「アカウント設定」 をクリックします。 割引コードを適用することもできます (ある場合)。 IBM Cloud アカウントについて詳しくは、アカウントに関するよくあるご質問を参照してください。

サービス・インスタンスのプロビジョニングの手順に従って、すぐにサービスをプロビジョンできます。 ただし、鍵管理と暗号操作を実行するには、IBM Cloud TKE CLI プラグインまたは管理ユーティリティーを使用して、事前にサービス・インスタンスを初期化しておく必要があります。

Hyper Protect Crypto Services サービス・インスタンスはどのようにして初期設定するのですか?

サービス・インスタンスを初期設定するには、管理者の署名鍵を生成し、インプリント・モードを終了し、マスター鍵をインスタンスにロードする必要があります。 企業のさまざまなセキュリティー要件を満たせるように、IBM はマスター鍵のロード方法として以下の方法を用意しています。

• 最高レベルのセキュリティーを確保するために、IBM Hyper Protect Crypto Services 管理ユーティリティーを使用する。 この方法では、スマート・カードを使用して署名鍵とマスター鍵パーツを保管します。 スマート・カードの外に署名鍵とマスター鍵パーツが露出することは決してありません。

• スマート・カード・リーダーとスマート・カードを調達する必要がない方法として、IBM Cloud TKE CLI プラグインを使用する。 この方法では、サービス・インスタンスを初期化するための 2 つの方法がサポートされています。リカバリー用暗号装置を使用する方法と、鍵パーツ・ファイルを使用する方法です。 リカバリー暗号装置を使用する場合、マスター鍵は暗号装置内で自動的に生成されるため、複数のマスター鍵パーツを作成する必要はありません。 鍵パーツ・ファイルを使用した場合は、ファイルの内容が復号されて、ワークステーションのメモリー内で一時的に平文の状態になります。

詳しくは、サービス・インスタンスの初期設定方法の概要を参照してください。

プロキシーを使用して TKE CLI プラグインを介してサービス・インスタンスを初期化できますか。

プロキシーが HTTPS ポート 443 に構成されている場合は、初期化できます。 TKE CLI を使用すると、例えば /etc/hosts などにワークステーションのローカル・ホスト名マッピングにエントリーを追加できます。 このホスト・マッピング・エントリーで、TKE API エンドポイント tke.<region>.hs-crypto.cloud.ibm.com をプロキシーにマッピングします。 例えば、フランクフルトのインスタンスの場合は、URL は tke.eu-de.hs-crypto.cloud.ibm.comです。

スマート・カードのセットアップ方法に関する推奨事項はありますか?

それぞれのマスター鍵パーツを別々の EP11 スマート・カード上で作成して、別々のユーザーに割り当てることをお勧めします。 すべてのスマート・カードのバックアップ・コピーを作成し、安全な場所に保管する必要があります。 10 個または 12 個のスマート・カードを注文し、次のように初期化することをお勧めします。

• 認証局 (CA) スマート・カードおよびバックアップ認証局スマート・カードを作成します。
• 2 つの管理者署名鍵を保管するために、2 つの EP11 スマート・カードと 2 つのバックアップ EP11 スマート・カードを作成します。 2 つの EP11 スマート・カードで管理者署名鍵を個別に生成し、それらを他の 2 つのバックアップ・スマート・カードにコピーします。
• 2 つのマスター鍵パーツを保管するために 2 つの EP11 スマート・カードと 2 つのバックアップ EP11 スマート・カードを作成するか、3 つのマスター鍵パーツを保管するために 3 つの EP11 スマート・カードと 3 つのバックアップ EP11 スマート・カードを作成します。 マスター鍵をロードするときの鍵パーツの数に応じて、2 つまたは 3 つのスマート・カードで EP11 マスター鍵パーツを別個に生成します。 各鍵パーツの値をバックアップの EP11 スマート・カードにコピーします。

必要なスマート・カードの数を計算するには、以下の数式を参照できます。

バックアップの認証局スマート・カードは、スマート・カード・ユーティリティー・プログラムを使用して作成できます。メニューから**「CA スマート・カード (CA Smart Card)」>「CA スマート・カードのバックアップ (Backup CA smart card)」**を選択し、プロンプトに従ってください。

EP11 スマート・カードのコンテンツは、Trusted Key Entry アプリケーションを使用して、同じスマート・カード・ゾーンに作成された別の EP11 スマート・カードにコピーできます。**「スマート・カード (Smart card)」タブで、「スマート・カードのコピー (Copy smart card)」**をクリックし、プロンプトに従います。

セキュリティーを強化するために、追加の EP11 スマート・カードに管理者署名鍵を生成し、暗号装置の最低必要署名数を 1 より大きい値に設定することができます。 暗号装置に最大 8 つの管理者をインストールし、一部の管理コマンドに最大 8 つの署名を必須にすることを指定することができます。

スマート・カードなどの管理ユーティリティー・コンポーネントを調達してセットアップする方法について詳しくは、スマート・カードと管理ユーティリティーのセットアップを参照してください。

スマート・カードとスマート・カード・リーダーを調達するにはどうすればよいですか?

スマート・カードおよびスマート・カード・リーダーを調達するには、スマート・カードおよびスマート・カード・リーダーの注文の手順に従ってください。

サービス・インスタンスには暗号装置を何台セットアップする必要がありますか?

高可用性を実現するには、少なくとも 2 つの暗号化ユニットをセットアップする必要があります。Hyper Protect Crypto Services は、暗号化ユニットの上限を 3 に設定します。

他の Hyper Protect Crypto Services サービスでも IBM Cloud を使用できますか?

はい。Hyper Protect Crypto Services は、IBM Cloud Object Storage、IBM Cloud for VMware Solutions、IBM Cloud Kubernetes Service、Red Hat OpenShift on IBM Cloud など、多くの IBM Cloud サービスと統合できます。 サービスの完全なリストと統合手順については、サービスの統合を参照してください。

アプリケーションを Hyper Protect Crypto Services サービス・インスタンスに接続するにはどうすればよいですか?

Hyper Protect Crypto Services には、ユーザーが利用できるように標準的な API が備えられています。 それらの API を使用して、パブリック・インターネットから直接、アプリケーションを Hyper Protect Crypto Services サービス・インスタンスに接続できます。 より安全で分離された接続が必要な場合は、プライベート・エンドポイントを使用することもできます。 IBM Cloud プライベート・ネットワークで IBM Cloud サービス・エンドポイントを使用してサービス・インスタンスに接続できます。

オンプレミスでマスター鍵を生成し、スマート・カードにそのマスター鍵のパーツを保管できますか?

オンプレミスでのマスター鍵の生成は、サポートされていません。

オンプレミスの HSM からルート鍵をインポートできますか?

オンプレミスの HSM からのルート鍵のインポートは、サポートされていません。

Hyper Protect Crypto Services を暗号操作にのみ使用して、鍵管理には IBM Cloud などの他の Key Protect サービスを使用することはできますか?

はい。Hyper Protect Crypto Services は、Key Protect とキー管理に併用できます。 この方法では、Hyper Protect Crypto Services は暗号操作のみを行い、Key Protect が、FIPS 140-2 レベル 3 認定のクラウド・ベースのマルチテナント HSM で保護された鍵管理サービスを提供します。

AWS、Azure、GCP などの他のクラウド・サービス・プロバイダーでホストされているアプリケーションに Hyper Protect Crypto Services を使用できますか。

はい。 Unified Key Orchestrator を使用した Hyper Protect Crypto Services は、マルチクラウド鍵管理機能を提供します。 詳しくは、 Introducing Unified Key Orchestrator を参照してください。

採用した IBM Cloud サービスが鍵暗号化のために Hyper Protect Crypto Services と統合できるかどうかを知るにはどうすればよいですか?

Hyper Protect Crypto Services と統合できる IBM Cloud サービスのリストについては、 IBM Cloud サービスと Hyper Protect Crypto Services を参照してください。

また、このトピックに含まれている 統合手順 のリンクで、サービス・レベルの処置を実行する方法についての詳細な説明を参照することもできます。