目標

このチュートリアルでは、マスター鍵を IBM Cloud® Hyper Protect Crypto Services に保管して、マスター鍵を所有者が完全かつ排他的に管理する方法について説明します。 このためには、Hyper Protect Crypto Services の PKCS #11 統合機能を使用する必要があります。

このチュートリアルでは、次のイラストに示しているセットアップを実装します。

このセットアップでは、Db2 が、マスター鍵を管理するための操作を Hyper Protect Crypto Services の PKCS #11 ライブラリーを使用して呼び出します。 Hyper Protect Crypto Services の PKCS #11 ライブラリーが、Hyper Protect Crypto Services インスタンスと対話し、マスター鍵を保管および管理するための最高クラスのテクノロジーを提供します。

開始前に

このチュートリアルを実行するには、以下の前提条件を満たしていなければなりません。

• IBM Cloud アカウントの登録
• Hyper Protect Crypto Services インスタンスのプロビジョン

タスク・フロー

このソリューションを完成させるには、以下の手順を実行します。

1. Hyper Protect Crypto Services インスタンスを初期設定する
2. Hyper Protect Crypto Services に PKCS #11 ライブラリーをセットアップする
3. Db2 をセットアップして Db2 のネイティブ暗号化を構成する

Hyper Protect Crypto Services インスタンスを初期設定する

1. このチュートリアルでは、まず Hyper Protect Crypto Services インスタンスを初期設定する必要があります。

   Hyper Protect Crypto Services インスタンスの ID と EP11 エンドポイントのアドレスをメモします。 後の手順でこの情報が必要になります。

2. カスタム IAM 役割Discover HPCSを作成します。 この役割は、PKCS #11 ライブラリーに必要な Hyper Protect Crypto Services インスタンスをディスカバーするための非常に限られた権限を提供します。 この役割には、キーまたは EP11 キー・ストアを使用、作成、または管理する権限がありません。

   1. UI で、 「管理」 > 「アクセス (IAM)」 に移動し、 「役割」 を選択してから、 「作成」 をクリックします。
   2. 役割の名前Discover HPCSを入力します。
   3. 役割の ID を入力します。 この ID は CRN の中で使用されます。API を使用してアクセス権限を割り当てるときには、CRN が使用されます。 ロール ID の先頭は大文字で、英数字のみを使用する必要があります (DiscoverHPCS など)。
   4. オプション: アクセス権限を割り当てるユーザーが、役割の割り当てによってユーザーに付与されるアクセス権限のレベルを把握するのに役立つ簡潔な説明を入力します。 この説明は、ユーザーがサービスへのアクセス権限を割り当てたときにも UI に表示されます。
   5. サービスのリストから、Hyper Protect Crypto Services を選択します。
   6. hs-crypto.discovery.listserversアクションに対して追加を選択し、作成をクリックします。

3. PKCS #11 API ユーザー・タイプのセットアップの説明に従って、通常のユーザーと匿名ユーザーのサービス ID と API キーをセットアップします。

   説明に記載されている SO ユーザー・タイプはセットアップしないでください。 また、手順とは対照的に、匿名ユーザーのサービス ID にはKey operatorカスタム役割を割り当てず、代わりにDiscover HPCSカスタム役割を割り当てます。

   このセットアップでは、匿名ユーザーの Hyper Protect Crypto Services インスタンスに対する許可は非常に限られており、キーまたは EP11 キー・ストアを使用、作成、および管理することはできません。

4. 後続のステップのために、通常ユーザーと匿名ユーザーの API キーの値を保存します。

5. 説明に従って、秘密 EP11 キー・ストアを作成し、後続のステップで使用するためにキー・ストア ID をメモします。

Hyper Protect Crypto Services に PKCS #11 ライブラリーをセットアップする

iamcredentialtemplate: &defaultiamcredential
          enabled: true
          endpoint: "https://iam.cloud.ibm.com"
          # The Universally Unique IDentifier (UUID) of your Hyper Protect Crypto Services instance.
          instance: "<instance_ID>"

tokens:
  0:
    grep11connection:
      # The EP11 endpoint address starting from 'ep11'. For example: "<instance_ID>.ep11.us-south.hs-crypto.appdomain.cloud"
      address: "<EP11_endpoint_URL>"
      port: "<EP11_endpoint_port_number>" # The EP11 endpoint port number
      tls:
        enabled: true # EP11 requires TLS connection.
        mutual: false
    storage:
      remotestore:
        enabled: true
    users:
       # The Security Officer (SO) user
      0: # The index of the Security Officer (SO) user MUST be 0.
        # The name for the Security Officer (SO) user. For example: "Administrator":
        name: "Administrator"
        iamauth: *defaultiamcredential
      # The normal user
      1: # The index of the normal user MUST be 1.
        # The name for the normal user. For example: "Normal user":
        name: "Normal user"
        # The 128-bit UUID of the private keystore which you created previously
        tokenspaceID: "<private_keystore_id>"
        iamauth: *defaultiamcredential
      # The anonymous user
      2: # The index of the anonymous user MUST be 2.
        # The name for the anonymous user. For example: "Anonymous":
        name: "Anonymous"
        # The public keystore will not be used with this setup.
        # Specify an arbitrary 128-bit UUID below, e.g.:
        tokenspaceID: "12345678-1234-1234-1234-1234567890AB"
        iamauth:
          <<: *defaultiamcredential
          # Provide the API key for the Anonymous user.
          apikey: "<anonymous_user_api_key>"
logging:
  # Set the logging level.
  # The supported levels, in an increasing order of verboseness: 'panic', 'fatal', 'error', 'warning'/'warn', 'info', 'debug', 'trace'. The Default value is 'warning'.
  loglevel: "info"
  logpath: "/tmp/grep11client.log" # The full path of your logging file.

Db2 のネイティブ暗号化をセットアップする

ここで、Db2 ネイティブ暗号化をセットアップします。 これを行うには、すべてのデータベース管理者特権を持っていることを確認してください。

1. 次の内容のファイル /pkcs11/keystore.conf を作成します。

   VERSION=1
   PRODUCT_NAME=Other
   ALLOW_KEY_INSERT_WITHOUT_KEYSTORE_BACKUP=true
   LIBRARY=/pkcs11/pkcs11-grep11.so
   SLOT_ID=0
   NEW_OBJECT_TYPE=PRIVATE
   KEYSTORE_STASH=/pkcs11/pkcs11_pw.sth
   

2. root として以下のコマンドを実行して、/pkcs11/keystore.conf ファイルの所有権と許可を更新します。

   chown -R db2inst1:db2iadm1 /pkcs11/keystore.conf
   chmod ug+rw /pkcs11/keystore.conf
   

3. パスワード・スタッシュ・ファイルを作成するには、以下のコマンドを実行します。<normal_user_api_key>は、作成した通常ユーザーの API キーに置き換えてください。

   su - db2inst1
   db2credman -stash -password "<normal_user_api_key>" -to /pkcs11/pkcs11_pw.sth
   

4. Db2 構成を更新するために、以下のコマンドをユーザー db2inst1 として実行します。

   db2 update dbm cfg using keystore_location /pkcs11/keystore.conf  keystore_type pkcs11
   

5. 環境変数 DB2_DEK_MAC_TYPE を設定するために、以下のコマンドをユーザー db2inst1 として実行し、DB2 を再起動します。

   db2 terminate
   db2stop
   export DB2_DEK_MAC_TYPE=HMAC
   db2start
   

   Db2 を起動する前に、環境変数 DB2_DEK_MAC_TYPE=HMAC を指定する必要があります。 Windows で Db2 を使用する場合には、以下のコマンドで Db2 プロファイル変数を設定しなければなりません。

   db2set -g DB2_DEK_MAC_TYPE=HMAC
   

6. 暗号化データベースを作成するために、以下のコマンドを実行します。

   db2 create db cryptdb1 encrypt
   

   このコマンドを実行すると、以下の情報が出力されます。

   DB20000I  The CREATE DATABASE command completed successfully.
   

7. 暗号化データベースをテストするために、以下のコマンドを実行します。

   db2 connect to cryptdb1
   db2 "create table test (id int not null, data varchar(100))"
   db2 "insert into test values (1, 'This is a secret text')"
   db2 "select * from test"
   

   このコマンドを実行すると、以下の情報が出力されます。

   ID          DATA
   ----------- ----------------------------------------------------------------------------------------------------
         1 This is a secret text
   
   1 record(s) selected.
   

次のステップ

これで、暗号化されたストレージに機密データが安全に保管されるようになりました。 また、マスター鍵は、非常に安全で、改ざん不能な方法によって Hyper Protect Crypto Services に保管されています。

このチュートリアルでは、Hyper Protect Crypto Services を使用して Db2 のネイティブ暗号化をセットアップする方法について学習しました。

• PKCS #11 についてさらに学習する。
• PKCS #11 の API についてさらに学習する。
• PKCS #11 の API の使用を開始する。