サービス・インスタンスの初期化-標準プラン
IBM Cloud® Hyper Protect Crypto Services を使用して暗号鍵を管理して暗号操作を実行するには、まず、サービス・インスタンスを初期設定する必要があります。
サービス・インスタンスの初期化は、マスター鍵をロードするプロセスです。これにより、 Hyper Protect Crypto Services のクラウド ハードウェア・セキュリティー・モジュール(HSM)A physical appliance that provides on-demand encryption, key management, and key storage as a managed service. の所有権を取得し、暗号鍵の階層全体を暗号化する信頼のルートを所有することができます。
サービス・インスタンスを初期化するには、 暗号装置A single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography. 管理者用の 署名鍵An encryption key that is used by the crypto unit administrator to sign commands that are issued to the crypto unit. を作成し、クォーラム認証しきい値を設定して インプリント・モードAn operational mode in which crypto units are assigned to a user.を終了し、 マスター鍵An encryption key that is used to protect a crypto unit. The master key provides full control of the hardware security module and ownership of the root of trust that encrypts the chain keys, including the root key and standard key. を暗号装置にロードする必要があります。
管理者および署名鍵について
暗号装置は、HSM とその HSM 専用の対応ソフトウェア・スタックで構成されます。 実稼働環境をセットアップする場合は、高可用性を実現するために、Hyper Protect Crypto Services インスタンスの作成時に少なくとも 2 つの暗号装置を割り当てることをお勧めします。 暗号装置は、サービス・インスタンスの作成時に選択した地域内の別々のアベイラビリティー・ゾーンに配置されます。 1 つのサービス・インスタンスに属するすべての暗号装置は、同じ構成内容にする必要があります。 アベイラビリティー・ゾーンの 1 つがアクセス不能になっても、サービス・インスタンス内の他の暗号装置を代わりに使用できます。 暗号装置には、鍵管理の鍵ストア内のルート鍵および標準鍵、EP11 鍵ストア内の Enterprise PKCS #11 (EP11) 鍵などの鍵ストレージの内容を暗号化するマスター鍵が含まれています。
暗号装置に対してコマンドを発行してアクションを実行するには、暗号装置に管理者を割り当てる必要があります。 管理者ごとに、ID 認証用の関連署名鍵が 1 つあります。 以下のフローチャートは、署名鍵を作成して、2 つの暗号装置を使用するサービス・インスタンスにそれを割り当てる方法を示しています。
署名鍵は、以下の手順で作成されて割り当てられます。
- 管理者が署名鍵のペアを作成します。 秘密鍵と公開鍵のパーツは、サービス・インスタンスの初期化方法に応じて、ローカル・ワークステーションまたはスマート・カードに保管されます。
- 署名鍵の公開パーツを暗号装置に割り当てて管理者を追加します。 公開鍵パーツが、ターゲットの暗号装置にインストールされている証明書に配置され、暗号装置の管理者が定義されます。
インプリント・モードおよび最低必要署名数について
暗号装置は、インプリント・モードと呼ばれるクリアな状態で開始されます。 インプリント・モードの暗号装置に対するアクションでは管理者の署名鍵で署名する必要がないため、インプリント・モードの暗号装置の安全性は低くなります。 暗号装置管理者を割り当てた後、最低必要署名数を設定して、コマンドの実行に必要な管理者署名数を制御できます。 インプリント・モードでは、最低必要署名数はゼロに設定されています。 インプリント・モードを終了し、暗号装置をセキュアなものにするには、最低必要署名数をゼロより大きい値に設定します。
暗号装置には、2 つのタイプの最低必要署名数があります。 メインの最低必要署名数は、ほとんどの管理コマンドの実行に必要な署名数を制御します。 取り消しの最低必要署名数は、管理者の削除に必要な署名数を制御します。 最低必要署名数の設定にかかわらず、署名を 1 つしか必要としないコマンドもあります。
最低必要署名数を 1 より大きい値に設定すると、機密性の高い操作では、複数人の管理者によるクォーラム認証が有効になります。 最低必要署名数および取り消しの最低必要署名数として設定できる最大値は 8 です。これは、暗号装置に追加できる管理者の最大数でもあります。
暗号装置を構成すると、操作タイプと、暗号装置がインプリント・モードであるかどうかに基づいて、必要な数の署名を求めるプロンプトが自動的に出されます。 参照用に、以下の表には、各操作に必要な数のシグニチャーが含まれています。
| 操作 | コマンド | インプリント・モードで必要な署名 | インプリント・モードを終了した後に必要な署名 |
|---|---|---|---|
| 管理者の | |||
| 追加 | tke cryptounit-admin-add |
署名は必要ありません。 | 現在の最低必要署名数の値。 |
| 管理者の削除 | tke cryptounit-admin-rm |
署名は必要ありません。 | 現在の取り消ししきい値。 |
| 最低必要署名数の設定 | tke cryptounit-thrhld-set |
インプリント・モードを終了するときに、新しい最低必要署名数の値。 | 現在の最低必要署名数の値。 |
| 新規マスター鍵レジスターのクリア | tke cryptounit-mk-clrnew |
許可されない | 1 つの署名。 |
| 現行マスター鍵レジスターのクリア | tke cryptounit-mk-clrcur |
許可されない | 1 つの署名。 |
| 新規マスター鍵 | |||
| レジスターへの | |||
| ロード | tke cryptounit-mk-load |
許可されない | 鍵パーツごとに 1 つの署名。 このコマンドはインポーター鍵を生成しますが、これも 1 つの署名を必要とします。 すべての署名に同じ管理者を使用できます。 |
| 新規マスター鍵レジスターのコミット | tke cryptounit-mk-commit |
許可されない | 現在の最低必要署名数の値。 |
| 即時設定 (マスター鍵レジスターのファイナライズ) | tke cryptounit-mk-setimm |
許可されない | 1 つの署名。 |
| 制御点の設定 | tke cryptounit-cp-btc tke cryptounit-cp-eddsa tke cryptounit-cp-sig-other |
許可されない | 現在の最低必要署名数の値。 |
| 暗号装置のゼロ化 | tke cryptounit-zeroize | 署名は必要ありません。 | 1 つの署名。 |
マスター鍵について
暗号装置のインプリント・モードを終了した後、暗号装置にマスター鍵をロードできます。 マスター鍵は、鍵ストレージ内のデータを暗号化するために使用されます。 マスター鍵を使用することにより、鍵管理の鍵ストア内のルート鍵および標準鍵、EP11 鍵ストア内の Enterprise PKCS #11 (EP11) 鍵などの鍵階層全体を暗号化する Root of Trust (信頼の基点) を所有します。 マスター鍵はサービス・インスタンスごとに 1 つのみ存在します。
マスター鍵をロードするために、各暗号装置には、新規マスター鍵レジスターと現行マスター鍵レジスターという 2 つのマスター鍵レジスターがあります。 現行マスター鍵レジスターの値により、ユーザーの鍵ストレージの内容は暗号化されています。 新規マスター鍵レジスターは、マスター鍵のローテーション用に現行マスター鍵レジスターの値を変更するために使用されます。
次のフローチャートは、マスター鍵レジスターの状態がどのように変化するか、およびマスター鍵がどのようにロードされるかを示しています。
図では、以下の手順でマスター鍵が各暗号装置にロードされています。
- 新規マスター鍵レジスターにマスター鍵をロードします。 マスター鍵がロードされると、新しいマスター鍵レジスターは
Full uncommitted状態になります。 - 新規マスター鍵レジスターをコミットします。 コミットされると、新規マスター鍵レジスターは
Full committed状態になります。 - 現行マスター鍵レジスターをアクティブ化します。 それにより、新規マスター鍵レジスターの値が現行マスター鍵レジスターにコピーされ、新規マスター鍵レジスターがクリアされます。
次の作業
ビジネス・ニーズとセキュリティー要件に応じて、Hyper Protect Crypto Services には、サービス・インスタンスを初期設定するための 2 つのツールと 3 つのオプションが用意されています。 詳しくは、サービス・インスタンスの初期設定方法の概要を参照してください。