Hyper Protect Crypto Services 다음으로 전환될 예정입니다. IBM Cloud 달라스의 기존 데이터 센터(DAL ), 워싱턴 D.C (WDC ), 프랑크푸르트(FRA ) 에게 IBM Cloud 각 위치에 있는 Virtual Private Cloud(VPC) 데이터 센터를 통해 VPC가 제공하는 새로운 제품 기능을 활용할 수 있습니다.

현재 사용자에게 미치는 영향:

VPC 데이터 센터로의 전환은 사용자 경험을 그대로 유지하면서 서비스/기술 업그레이드가 될 것입니다. 전환을 완료하려면 최소한의 고객 상호 작용이 필요합니다. 클라이언트에 미치는 영향은 최소화됩니다.

의 지원 IBM 팀은 VPC 데이터 센터에 인스턴스를 성공적으로 배포할 수 있도록 도와드립니다. 현지 영업 담당자에게 문의하거나 이메일을 보내주세요.zaas.client.acceleration@ ibm.com 자세한 내용은.

이번 전환의 주요 날짜:

• DAL 및 WDC 의 기존 인스턴스의 경우 고객 마이그레이션은 2024년 8월 22일- 2025년 1월 31일이 됩니다. 마이그레이션 프로세스 전반에 걸쳐 지원이 중단되지 않습니다. 후에 2025년 1월 31일, 의 서비스 DAL 그리고 WDC 데이터 센터는 폐기되어 더 이상 사용할 수 없게 됩니다. 마이그레이션되지 않은 모든 인스턴스와 기존 데이터가 여전히 DAL 그리고 WDC 이 날짜 이후에는 데이터 센터가 종료됩니다.

• 기존 인스턴스의 경우 FRA, 고객 마이그레이션은 2024년 8월 15일 – 2025년 1월 31일. 마이그레이션 프로세스 전반에 걸쳐 지원이 중단되지 않습니다. 후에 2025년 1월 31일, 의 서비스 FRA 데이터 센터는 폐기되어 더 이상 사용할 수 없게 됩니다. 마이그레이션되지 않은 모든 인스턴스와 기존 데이터가 여전히 FRA 이 날짜 이후에는 데이터 센터가 종료됩니다.

BYOHSM은 로컬 키 관리 기능을 클라우드로 확장하고 규제된 워크로드에 대해 확장 가능하고 통합되며 안전한 하이브리드 클라우드 에코시스템을 작성합니다. 사용자 고유의 HSM을 Hyper Protect Crypto Services 인스턴스에 연결하여 데이터 주권 규정을 충족하도록 키에 대한 완전한 물리적 제어를 수행할 수 있습니다.

다음 주제는 BYOHSM 기능을 시작하는 데 도움이 될 수 있습니다:

• 사용자 소유의 HSM 소개
• IBM Cloud Hyper Protect Crypto Services
• BYOHSM 설정
• BYOHSM을 사용하여 인스턴스 프로비저닝

Hyper Protect Crypto Services 및 Classic의 경우 Hyper Protect Virtual Servers 는 Sydney 의 IBM Cloud 데이터 센터에서 더 이상 사용되지 않습니다. Hyper Protect Services의 새 인스턴스는 더 이상 Sydney 의 IBM Cloud 데이터 센터에서 2023 11월 30일이후에 배치될 수 없으며 시드니의 IBM Cloud 데이터 센터에 있는 기존 Hyper Protect 서비스 및 지원은 2024년 3월 31일에 사용 중지되고 중단됩니다.

이 공지사항은 시드니의 IBM Cloud 데이터 센터에서 실행 중인 기타 서비스 또는 Hyper Protect가 지원되는 기타 데이터 센터에서 실행 중인 기타 Hyper Protect Services (지원 포함) 에 영향을 주지 않습니다.

이 지원 중단에 대한 다음 세부사항을 검토하십시오.

• 2023년 11월 30일부터 Hyper Protect Crypto Services 또는 Hyper Protect Virtual Servers for Classic의 새 인스턴스를 Sydney 에서 프로비저닝할 수 없습니다.
• Classic에 대한 2024 3월 31일, Hyper Protect Crypto Services 및 Hyper Protect Virtual Servers 는 더 이상 지원되지 않으며 서비스는 Sydney 의 IBM Cloud 데이터 센터에서 사용 중지됩니다. 모든 인스턴스와 데이터는 IBM Cloud VPC 데이터 센터로 마이그레이션하는 것이 좋습니다.
• Sydney 의 IBM Cloud 데이터 센터에 여전히 존재하는 Hyper Protect Services 인스턴스 및 데이터는 이 날짜에 중지되고 종료됩니다. 데이터 센터 인프라가 해체되고 데이터 및 서비스를 더 이상 사용할 수 없게 됩니다. 데이터가 유실되는 위험을 방지하려면 서비스가 2024년 3월 31일에 사용 중지되기 전에 필수 데이터의 백업 또는 전송이 수행되는지 확인하십시오.

기존 고객의 경우, IBM Cloud VPC 데이터 센터로의 마이그레이션을 권장합니다:

• Hyper Protect Crypto Services를 계속 사용하려면 IBM Cloud VPC 데이터 센터로 마이그레이션하는 것이 좋습니다. APAC내의 마이그레이션에 권장되는 리젼은 Tokyo 입니다.
• 클래식 인스턴스의 경우 Hyper Protect Virtual Servers 데이터 센터로 마이그레이션하고 최신 버전의 서비스를 배포하는 것이 좋습니다(Hyper Protect Virtual Servers for VPC(Hyper Protect Virtual Servers for Classic은 IBM Cloud VPC 데이터 센터에서 사용할 수 없음). APAC내의 마이그레이션에 권장되는 리젼은 Tokyo 입니다.
• IBM Cloud VPC 데이터 센터로 마이그레이션하려면 IBM 팀으로부터 지원을 받을 수 있습니다. 자세한 정보는 로컬 영업 담당자에게 문의하거나 zaas.client.acceleration@ibm.com 으로 이메일을 보내십시오.

다음 표에는 Hyper Protect Crypto Services 및 Hyper Protect Virtual Servers for Classic에 대해 지원되는 IBM Cloud VPC 데이터 센터가 나열되어 있습니다.

표 1. 지원되는 IBM Cloud VPC 데이터 센터

데이터 센터	Hyper Protect Crypto Services	Hyper Protect Virtual Servers 클래식용
도쿄 (APAC내 권장 지역) jp-tok
상파울루 br-sao
런던 eu-gb
토론토 ca-tor
마드리드 eu-es
워싱턴 DC us-east	해당사항 없음

이제 작성할 관리 키의 특성을 지정하는 키 템플리트를 작성할 수 있습니다. 키 템플리트를 작성한 후에는 키 템플리트에 정의된 것과 동일한 키 특성을 사용하여 관리 키 그룹을 작성할 수 있습니다.

다음 주제는 주요 템플릿을 시작하는 데 도움이 될 수 있습니다:

• 키 템플리트 작성
• 키 템플리트 목록 보기
• 키 템플리트 세부사항 편집
• 키 템플리트 아카이브 및 아카이브 해제
• 키 템플리트 삭제
• 키 템플리트와 키 다시 정렬

Unified Key Orchestrator에 대한 가격 책정 플랜이 업데이트되었습니다. 서비스 카탈로그 페이지에서 세부사항을 찾을 수 있습니다.

자세한 가격 책정 샘플은 Unified Key Orchestrator에서 Hyper Protect Crypto Services 를 사용하는 데 비용이 청구되는 방법 을 참조하십시오.

이제 지원되는 모든 지역에서 EP11 키 저장소가 사용되는 서비스 인스턴스 또는 Unified Key Orchestrator 서비스 계획을 사용하는 경우 마스터 키를 순환할 수 있습니다. 이전에는 독일 프랑크푸르트에서만 사용할 수 있었습니다.

지원되는 지역 목록은 지역 및 위치를 참조하십시오. 마스터 키 회전 작동 방법에 대한 자세한 정보는 마스터 키 회전 소개 를 참조하십시오.

Hyper Protect Crypto Services 키 관리 서비스 API가 22.11 버전으로 업데이트되었습니다. 다음과 같은 기능이 추가되었습니다.

• 정렬을 통해 키 나열 포함하는lastRotateDate 정렬.
• 고급 필터링으로 키 나열 포함하는 것lastRotateDate 필터링.
• 정책 대체를 사용하여 키 작성-관리자 역할을 가진 사용자가 단일 호출로 정책을 사용하여 키를 작성하고 인스턴스 레벨 정책을 대체할 수 있습니다.
• 키 순환 정책 사용 안함-자동 키 순환 정책을 임시로 일시정지할 수 있습니다.

이벤트에 관한 히스토리 정보 에서 최신 이벤트 이름 및 맵핑을 찾으십시오.

스마트카드를 사용하여 마스터 키를 관리하기 위해, 이제 이미 지원되는 Red Hat Enterprise Linux 8.0 운영 체제 외에도 Red Hat Enterprise Linux 9.0 및 Ubuntu 22.04.1 LTS에 스마트카드 리더 드라이버 Identiv SPR332 V2 를 설치할 수 있습니다. 자세한 단계는 스마트카드 리더 드라이버 설치 를 참조하십시오.

You can also find the latest Management Utilities installation files in Github.

이제 Go 소프트웨어 개발 킷 (SDK) 이 사용으로 설정된 Unified Key Orchestrator API를 사용하여 키를 관리할 수 있습니다. Go의 추가 코드 예는 Unified Key Orchestrator API 참조 를 참조하십시오.

Unified Key Orchestrator에 대한 Terraform 지원을 사용하면 이제 Terraform을 사용하여 저장소, 키 저장소, 키 템플리트 및 키 관리와 같은 조치를 자동화할 수 있습니다. 자세한 정보는 Unified Key Orchestrator을 사용하여 Hyper Protect Crypto Services 에 대한 Terraform 설정 을 참조하십시오.

이제 Hyper Protect Crypto Services 표준 플랜의 가격 산정 모델이 월별 청구에서 시간별 청구로 변경되며 각 암호화 장치는 시간당 미화 2.13달러의 비용이 청구됩니다.

KMS 키 링 및 EP11 키 저장소를 포함하여 처음 다섯 개의 키 저장소는 무료입니다. 각 추가 키 링 또는 EP11 키 저장소에는 매월 미화 225달러부터 시작하는 계층화된 가격 책정이 부과됩니다. 한 달 미만 동안 작성되거나 연결된 키 저장소의 경우 비용이 해당 월 내의 실제 날짜를 기준으로 비례 배분됩니다.

자세한 내용은 요금제를 참조하세요. 청구 예제 도 참조할 수 있습니다.

스마트 카드 및 스마트 카드 리더를 주문하기 위해 이제 zcat@ibm.com@ibm.com(으)로 IBM에 이메일을 보내고 필요한 정보를 제공할 수 있습니다. 자세한 단계는 스마트 카드 및 관리 유틸리티 설정을 참조하십시오.

Unified Key Orchestrator은(는) 멀티클라우드 및 하이브리드 클라우드 키 오케스트레이션을 위한 공용 클라우드 제어 플레인입니다. 이 제어 플레인은 IBM Cloud® Hyper Protect Crypto Services의 일부로서 NIST 권장사항에 따라 키 라이프사이클 관리를 제공하며 키를 서비스 인스턴스의 내부 키 저장소 또는 외부 키 저장소로 안전하게 전송합니다.

Unified Key Orchestrator을(를) 사용하여 서비스 인스턴스를 IBM Cloud 및 써드파티 클라우드 제공자의 키 저장소에 연결하고, 통합 시스템을 사용하여 키를 백업 및 관리하고, 복수의 클라우드에서 키를 조정할 수 있습니다.

다음 주제는 Unified Key Orchestrator을(를) 시작하는 데 도움이 됩니다.

• Unified Key Orchestrator 소개
• FAQ: Hyper Protect Crypto Services with Unified Key Orchestrator
• Hyper Protect Crypto Services
• Unified Key Orchestrator에서 암호화 키의 라이프사이클 모니터링
• 저장소 작성
• 내부 키 저장소 작성
• 외부 키 저장소에 연결
• 관리 키 작성 및 설치

Unified Key Orchestrator은(는) 멀티클라우드 및 하이브리드 클라우드 키 오케스트레이션을 위한 공용 클라우드 제어 플레인입니다. 이 제어 플레인은 IBM Cloud® Hyper Protect Crypto Services의 일부로서 NIST 권장사항에 따라 키 라이프사이클 관리를 제공하며 키를 서비스 인스턴스의 내부 키 저장소 또는 외부 키 저장소로 안전하게 전송합니다.

Unified Key Orchestrator을(를) 사용하여 서비스 인스턴스를 IBM Cloud 및 써드파티 클라우드 제공자의 키 저장소에 연결하고, 통합 시스템을 사용하여 키를 백업 및 관리하고, 복수의 클라우드에서 키를 조정할 수 있습니다.

다음 주제는 Unified Key Orchestrator을(를) 시작하는 데 도움이 됩니다.

• Unified Key Orchestrator 소개
• FAQ: Hyper Protect Crypto Services with Unified Key Orchestrator
• Hyper Protect Crypto Services
• Unified Key Orchestrator에서 암호화 키의 라이프사이클 모니터링
• 저장소 작성
• 내부 키 저장소 작성
• 외부 키 저장소에 연결
• 관리 키 작성 및 설치

1. 삭제된 키 제거: 기본적으로 삭제된 키는 삭제 90일 후 자동으로 제거됩니다. 이제 90일 이전에 인스턴스에서 키를 영구적으로 제거하기 위해 키를 수동으로 제거할 수 있습니다. 키가 삭제된 후 조치를 수행할 수 있게 될 때까지 최대 4시간의 대기 시간이 존재합니다. 키를 제거하기 전에 KMS 키 제거 역할이 지정되어 있는지 확인하십시오. 자세한 정보는 수동으로 키 제거를 참조하십시오.
2. 키의 키 링 업데이트: 키를 작성한 후 키를 다른 키 링으로 이동할 수 있습니다. 자세한 정보는 키를 다른 키 링으로 전송을 참조하십시오.

키 파트 파일을 사용하거나 복구 암호화 장치를 사용하여 마스터 키를 순환시키는 방법 외에도 이제 스마트 카드 및 관리 유틸리티를 사용하여 마스터 키를 순환시킬 수 있습니다.

자세한 지시사항은 스마트 카드 및 관리 유틸리티를 사용하여 마스터 키 순환을 참조하십시오. 마스터 키 순환이 작동하는 방법에 대한 자세한 정보는 키 파트 파일을 사용하여 마스터 키 순환을 참조하십시오.

이제 키 자료를 제공하지 않고도 30일 이내에 삭제된 키를 복원할 수 있습니다. Hyper Protect Crypto Services에서 생성되었는지 또는 사용자가 가져왔는지 여부에 관계 없이 모든 루트 키 및 표준 키를 복원할 수 있습니다. 자세한 정보는 키 복원을 참조하십시오.

이제 키 링을 작성하여 Hyper Protect Crypto Services 인스턴스에서 키를 그룹화할 수 있습니다. 이 경우 키 링 레벨에서 키 및 제어 액세스를 관리할 수 있습니다. 키 링을 사용하는 방법은 키 링 관리를 참조하십시오.

스마트 카드 및 Hyper Protect Crypto Services 관리 유틸리티와 키 파트 파일을 사용하는 것 이외에 댈러스(us-south) 및 워싱턴 DC(us-east) 지역에서 복구 암호화 장치를 사용하여 서비스 인스턴스를 초기화할 수도 있습니다.

댈러스 또는 워싱턴 DC 지역 중 하나에서 서비스 인스턴스를 프로비저닝하는 경우 두 개의 복구 장치가 추가 비용 없이 자동으로 지정됩니다.랜덤 마스터 키 값은 복구 암호화 장치에서 자동으로 생성되어 해당 서비스 인스턴스에 대한 다른 암호화 장치에 복사됩니다. HSM 외부에서는 절대 마스터 키 값이 표시되지 않습니다.

서비스 인스턴스 초기화 접근법 간의 차이점에 대한 자세한 정보는 서비스 인스턴스 초기화 접근법 소개를 참조하십시오.

자세한 지시사항은 복구 암호화 장치를 사용하여 서비스 인스턴스 초기화를 참조하십시오.

마스터 키를 순환시키려면 복구 암호화 장치를 사용하여 마스터 키 순환을 참조하십시오.

PKCS #11 API 를 사용하여 Enterprise PKCS #11(EP11) 키스토어 및 키를 관리하는 것 외에도 이제 UI를 사용하여 EP11 키스토어 및 키를 보고, 만들고, 삭제할 수 있습니다. 자세한 내용은 UI로 EP11 키 저장소 관리하기 및 UI로 EP11 키 관리하기 문서를 참조하세요.

키 별명은 키를 식별하기 위해 사용할 수 있으며 사용자가 읽을 수 있는 고유한 이름입니다. 이제 쉽게 인식할 수 있도록 최대 5개의 별명을 작성할 수 있습니다. 키 별명을 사용하는 방법은 키 별명 관리를 참조하십시오.

루트 키 상태가 변경되면 루트 키와 연관된 보호된 리소스에 키 라이프사이클 이벤트에 대한 알림을 전송하고 이에 응답하도록 권장합니다. 해당 리소스에서 키 라이프사이클 알림에 응답하지 않을 경우 이제 연관된 클라우드 서비스에 대한 다시 알림을 수동으로 시작할 수 있습니다. 자세한 정보는 연관된 리소스 동기화를 참조하십시오.

이제 IBM Cloud VPC(Virtual Private Cloud) 인스턴스용 가상 사설 엔드포인트(VPE)를 작성하여 VPC 네트워크 내에서 Hyper Protect Crypto Services에 액세스할 수 있습니다. 자세한 정보는 VPC용 가상 사설 엔드포인트 사용을 참조하십시오.

서명 키를 생성하는 암호화 알고리즘이 리베스트-샤미르-아들만 2048(RSA 2048)에서 타원 곡선(P521 EC)으로 업데이트되었습니다. P521 EC 키의 암호화 강도는 RSA 15360과 동일하며, 이는 업데이트된 서명 키가 이전 서명 키와 비교하여 더 높은 수준의 보안을 제공할 수 있음을 의미합니다. 이전 RSA 2048 서명 키는 여전히 유효하며 사용할 수 있습니다.

PKCS #11 API를 사용하여 Hyper Protect Crypto Services 인스턴스에 저장된 키에 대한 변조가 발생하지 않았는지 확인하기 위해 이제 Hyper Protect Crypto Services에 저장된 키 오브젝트를 검사하는 키 검증 메커니즘이 제공됩니다. 키 오브젝트를 검증하는 방법에 대한 지시사항은 키가 암호화 장치를 통해 보호되는지 검증을 참조하십시오.

키 체크섬 검증과 함께 AES, DES2 및 DES3 키의 체크섬 값을 검색하는 방법에 대한 예는 코드 샘플를 참조하세요.

이제 Hyper Protect Crypto Services에서 디지털 서명을 생성하기 위한 서명 스킴으로 사용할 수 있는 Schnorr 알고리즘이 지원됩니다. 이 알고리즘은 비트코인 시스템에서 암호화 서명을 위한 ECDSA(Elliptic Curve Digital Signature Algorithm)의 대체 알고리즘으로 제안됩니다. Schnorr 알고리즘을 사용하려면 먼저 Schnorr 알고리즘 사용의 지시사항에 따라 이 기능을 사용으로 설정해야 합니다.

Hyper Protect Crypto Services 인스턴스를 설정한 후 키 작성 및 가져오기 액세스 정책을 사용으로 설정하고 업데이트하여 루트 키와 표준 키에 대한 조치 권한을 제어할 수 있습니다. 자세한 정보는 키 작성 및 가져오기 액세스 정책 관리를 참조하십시오.

보안 강화를 위해 이제 서비스 인스턴스에 대한 네트워크 액세스를 사설 전용 네트워크로 제한할 수 있습니다. 서비스 인스턴스를 프로비저닝할 때 허용된 네트워크를 선택하거나 인스턴스 설정 후 네트워크 액세스 정책을 업데이트할 수 있습니다.

네트워크 액세스 정책을 업데이트하려면 먼저 서비스 인스턴스를 초기화해야 합니다. IBM Cloud TKE CLI 플러그인을 사용하여 서비스 인스턴스 초기화 또는 스마트 카드 및 관리 유틸리티를 사용하여 서비스 인스턴스 초기화의 지시사항을 참조하십시오.

이제 GREP11 API에서 원래 키로 데이터를 복호화한 후 클라우드 HSM 내의 단일 호출에서 다른 키로 원시 데이터를 암호화할 수 있는 ReencryptSingle 기능이 지원됩니다. 이 단일 호출은 대용량의 데이터가 다른 키로 다시 암호화되어야 하고, 다시 암호화되어야 하는 데이터 항목마다 DecryptSingle과 EncryptSingle 함수의 조합을 수행하지 않아도 되는 실행 가능한 옵션입니다. 자세한 정보는 GREP11 API 참조 - ReencryptSingle 함수를 참조하십시오.

이제 사설 네트워크를 통해 IBM Cloud을(를) 사용하여 키를 관리할 수 있도록 가상 사설 엔드포인트(VPE) 게이트웨이를 통해 Hyper Protect Crypto Services VPC(Virtual Private Cloud) 인스턴스를 Hyper Protect Crypto Services 인스턴스에 연결할 수 있습니다. 자세한 정보는 VPC에 대한 가상 사설 엔드포인트를 사용하여 Hyper Protect Crypto Services에 개인적으로 연결을 참조하십시오.

Hyper Protect Crypto Services는 이제 개인용 및 공용 키 쌍을 파생시키기 위해 계층 구조의 결정적 지갑에 대한 SLIP10 메커니즘을 지원합니다. 또한 디지털 서명에 대한 Edwards 곡선(ED) 25519 알고리즘도 지원됩니다. ED 알고리즘을 사용하려면 먼저 Edwards 곡선 디지털 서명 알고리즘 사용의 지시사항에 따라 이 기능을 사용으로 설정해야 합니다.

Terraform은 클라우드 리소스 프로비저닝 및 관리를 구성하고 자동화하는 오픈 소스 소프트웨어입니다. 이제 Terraform CLI 및 Hyper Protect Crypto Services 제공자 플러그인을 사용하여 루트 키 및 표준 키를 관리할 뿐만 아니라 IBM Cloud 인스턴스를 프로비저닝하고 초기화할 수 있습니다. 자세한 정보는 Terraform을 사용하여 키 관리 서비스 리소스 관리 및 Hyper Protect Crypto Services 용 샘플 Terraform 템플리트의 내용을 참조하십시오.

Hyper Protect Crypto Services 키 관리 서비스 API가 다음과 같은 변경사항으로 업데이트되었습니다.

• 업데이트됨: 이제 다음과 같은 키 조치를 위한 API 메소드가 개별 요청 경로로 전송됩니다. 일반 경로 형식(키 복원 조치 제외)은 /api/v2/keys/<key_ID>/actions/<action>입니다. 여기서 key_ID은(는) 키의 UUID이고 action은(는) 실행할 조치 이름입니다.

  • 키 랩핑.
  • 키 랩핑 해제.
  • 키 다시 랩핑.
  • 키 순환.
  • 이중 권한 정책을 사용하여 키 삭제 권한 부여.
  • 이중 권한 정책을 사용하여 키에 대한 권한 제거.
  • 특정 키에 대한 조작 사용.
  • 특정 키에 대한 조작 사용 안함.
  • 키 복원.

• 업데이트됨: 다음 두 가지 방법을 사용하여 허용된 네트워크 정책과 키 작성 및 가져오기 액세스 정책을 관리할 수 있습니다.

  • 인스턴스 정책 설정.
  • 인스턴스 정책 나열.

• 더 이상 사용되지 않음: 키에 대한 조치 호출.

  이 방법은 원래 랩핑, 랩핑 해제 및 순환과 같은 키에 대한 조치를 수행하는 데 사용됩니다. 이제 조치마다 개별 요청 경로로 대체됩니다.

API 업데이트에 대한 자세한 내용은 Hyper Protect Crypto Services 키 관리 서비스 API 참조를 참조하세요.

산업 표준 및 암호화 우수 사례를 충족시키기 위해 이제 요청 시 IBM Cloud® Trusted Key Entry CLI 플러그인을 사용하여 마스터 키를 순환할 수 있습니다. 이 기능이 작동하는 방법에 대한 자세한 정보는 마스터 키 순환 소개를 참조하십시오.

자세한 지시사항은 마스터 키 순환을 참조하십시오.

Hyper Protect Crypto Services는 이제 표준 PKCS(Public-Key Cryptography Standards) #11 API를 사용한 암호화 오퍼레이션 수행을 지원합니다.

PKCS #11 API의 지원을 받으면, PKCS #11 표준을 사용하는 기존 애플리케이션을 Hyper Protect Crypto Services 클라우드 HSM 환경에서 실행되도록 변경할 필요가 없습니다. PKCS #11 라이브러리는 애플리케이션의 PKCS #11 API 요청을 허용하고 원격으로 클라우드 HSM에 액세스하여 해당 암호화 기능을 실행합니다.

PKCS #11 API 유스 케이스에 대한 자세한 정보는 PKCS #11 HSM으로 Hyper Protect Crypto Services 사용을 참조하십시오.

PKCS #11 API에 대해 자세히 알아보려면 PKCS #11 소개 및 PKCS #11 API 참조를 참조하십시오.

작성자 또는 관리자 액세스 권한이 있으면 이제 가져오기 토큰을 작성하여 Hyper Protect Crypto Services에 업로드하는 암호화 키에 대해 추가된 보안을 사용으로 설정할 수 있습니다.

키 가져오기 옵션에 대해 자세히 알아보려면 가져오기 토큰 작성을 확인하십시오. 설명된 튜토리얼은 튜토리얼: 암호화 키 작성 및 가져오기를 참조하십시오.

FIPS 140-2 레벨 4 호환 HSM에서 빌드된 Hyper Protect Crypto Services는 이제 Key Protect와 동일한 레벨의 키 관리 기능을 지원합니다. 추가된 함수는 다음과 같습니다.

• 정책 기반 키 순환.
• 루트 키 버전 보기.
• 루트 키 사용 및 사용 안함.
• Hyper Protect Crypto Services인스턴스 및 키에 대한 이중 권한 정책.
• 암호화 키에 대한 세부사항 보기.
• 루트 키와 IBM Cloud 리소스 간의 연관 보기.
• 삭제된 키 복원.

이제 워싱턴(미국 동부) 지역에서 Hyper Protect Crypto Services 리소스를 작성할 수 있습니다. 자세한 정보는 지역 및 위치를 참조하십시오.

IBM Cloud TKE(Trusted Key Entry) 명령행 인터페이스(CLI) 플러그인 및 Hyper Protect Crypto Services 관리 유틸리티는 이제 쿼럼 인증을 지원합니다.

쿼럼 인증은 정해진 수의 암호화 단위 관리자가 오퍼레이션을 승인하는 방법입니다. 일부 민감한 오퍼레이션은 충분한 수의 암호화 단위 관리자가 인증 정보를 입력해야 합니다. 서명 임계값을 1보다 큰 값으로 설정하면 쿼럼 인증을 사용할 수 있습니다.

TKE CLI를 사용하여 서비스 인스턴스를 초기화하고 쿼럼 인증을 사용으로 설정하는 방법에 대한 자세한 정보는 IBM Cloud TKE CLI 플러그인을 사용하여 서비스 인스턴스 초기화를 참조하십시오.

관리 유틸리티를 사용하여 서비스 인스턴스를 초기화하고 쿼럼 인증을 사용으로 설정하는 방법에 대한 자세한 정보는 스마트 카드 및 관리 유틸리티 설정 및 스마트 카드 및 관리 유틸리티를 사용하여 서비스 인스턴스 초기화를 참조하십시오.

이제 Enterprise PKCS #11 서비스에 적합한 사설 엔드포인트를 대상으로 지정하여 Hyper Protect Crypto Services 사설 네트워크를 통해 IBM Cloud에 연결할 수 있습니다.

시작하려면 인프라 계정에 대해 가상 라우팅 및 전달(VRF)및 서비스 엔드포인트를 사용 설정하세요. 자세한 정보는 사설 엔드포인트 사용을 참조하십시오.

Hyper Protect Crypto Services는 이제 서비스 인스턴스 초기화를 위해 스마트 카드에서의 마스터 키 파트 및 서명 키 로드를 지원합니다. 그러면 마스터 키 파트 및 서명 키에 대한 가장 높은 보호 레벨이 보장됩니다.

관리 유틸리티는 서비스 인스턴스를 구성하는 데 스마트 카드를 사용하는 두 개의 애플리케이션입니다. 스마트 카드 유틸리티 프로그램은 사용되는 스마트 카드를 설정하고 관리합니다. TKE(Trusted Key Entry) 애플리케이션은 이러한 스마트 카드를 사용하여 서비스 인스턴스를 구성합니다. 관리 유틸리티를 사용하려면 IBM에서 지원하는 스마트 카드 및 스마트 카드 리더를 주문해야 합니다.

자세한 정보는 관리 유틸리티에 대한 정보와 스마트 카드 및 관리 유틸리티를 사용하여 서비스 인스턴스 초기화를 참조하십시오.

이제 Hyper Protect Crypto Services을(를) 더 많은 IBM Cloud 서비스와 통합할 수 있습니다.

• Hyper Protect DBaaS for MongoDB
• Hyper Protect DBaaS for PostgreSQL
• HyTrust DataControl
• IBM Cloud Kubernetes Service
• Red Hat OpenShift on IBM Cloud

자세한 정보는 서비스 통합을 참조하십시오.

이제 서비스에 적합한 사설 엔드포인트를 대상으로 지정하여 Hyper Protect Crypto Services 사설 네트워크를 통해 IBM Cloud에 연결할 수 있습니다.

시작하려면 인프라 계정에 대해 가상 라우팅 및 전달(VRF)및 서비스 엔드포인트를 사용 설정하세요. 자세한 정보는 서비스 엔드포인트를 사용하여 Hyper Protect Crypto Services에 개인적으로 연결을 참조하십시오.

관리 클라우드 하드웨어 보안 모듈(HSM)에서는 애플리케이션이 EP11(Enterprise PKCS #11) API를 통해 디지털 서명 및 유효성 검증과 같은 암호화 조작을 통합할 수 있도록 엔터프라이즈 공개 키 암호화 표준(PKCS) #11이 지원됩니다. EP11 라이브러리는 산업 표준 PKCS #11 API와 유사한 인터페이스를 제공합니다.

Hyper Protect Crypto Services는 모든 암호화 기능이 클라우드의 HSM(Hardware Security Module)에서 실행되는 gRPC API 호출(GREP11이라고도 함)을 통해 Enterprise PKCS #11(EP11) 세트를 제공합니다. GREP11은 클라우드 프로그램에 적합한 Stateless 인터페이스입니다.

GREP11 API에 대한 자세한 정보는 gRPC를 통한 EP11 소개 및 GREP11 API 참조를 참조하십시오.

이제 프랑크푸르트 지역에 Hyper Protect Crypto Services 리소스를 작성할 수 있습니다. 자세한 정보는 지역 및 위치를 참조하십시오.

Hyper Protect Crypto Services는 이제 다음 IBM Cloud 서비스와 통합될 수 있습니다.

• IBM Cloud Object Storage
• IBM Cloud Block Storage for Classic for Virtual Private Cloud
• IBM Cloud Virtual Servers for Virtual Private Cloud
• IBM Cloud의 KMIP(Key Management Interoperability Protocol) for VMware®

자세한 정보는 서비스 통합을 참조하십시오.

2019년 3월 29일부터 새 Hyper Protect Crypto Services 베타 인스턴스를 더 이상 프로비저닝할 수 없습니다. 기존 인스턴스는 베타 지원 종료일(2019년 4월 30일)까지 지원됩니다.

Hyper Protect Crypto Services 오퍼링에 대한 자세한 정보는 IBM Cloud Hyper Protect Crypto Services 홈 페이지를 참조하십시오.

IBM Cloud Hyper Protect Crypto Services는 이제 선택한 지역에서 세 개의 가용성 구역을 지원하며 애플리케이션을 안전하고 작동 가능한 상태로 유지하는 데 도움이 되는 자동 기능을 갖춘 고가용성 서비스입니다.

Hyper Protect Crypto Services 요청이 처리되는 지리적 영역을 나타내는 지원되는 IBM Cloud 지역에서 Hyper Protect Crypto Services 리소스를 작성할 수 있습니다. 각 IBM Cloud 지역에는 로컬 액세스, 짧은 대기 시간 및 지역에 대한 보안 요구사항을 충족시키기 위한 다중 가용성 구역이 포함됩니다.

자세한 정보는 고가용성 및 재해 복구를 참조하십시오.

서비스 인스턴스는 성능 요구사항을 충족시키기 위해 최대 6개의 암호화 단위로 스케일 확장될 수 있습니다. 프로덕션 환경에서는 고가용성을 사용하기 위해 두 개 이상의 암호화 장치를 선택하는 것이 좋습니다. 3개 이상의 암호화 단위를 선택하면 이 암호화 단위가 선택한 지역의 3개의 가용성 구역에 분배됩니다.

자세한 정보는 서비스 프로비저닝을 참조하십시오.

Hyper Protect Crypto Services 베타 버전이 릴리스되었습니다. 이제 직접 카탈로그 > 보안을 통해 Hyper Protect Crypto Services 서비스에 액세스할 수 있습니다.

2019년 2월 5일부터 새 Hyper Protect Crypto Services 시범 인스턴스를 더 이상 프로비저닝할 수 없습니다. 기존 인스턴스는 시범 지원 날짜(2019년 3월 5일) 종료 시까지 지원됩니다.

이제 키를 생성하고 보호하기 위해 Key Protect API가 Hyper Protect Crypto Services와 통합됩니다. Key Protect를 통해 직접 Hyper Protect Crypto Services API를 호출할 수 있습니다.

자세한 정보는 키 관리 서비스 API 설정 및 Hyper Protect Crypto Services 키 관리 서비스 API 참조를 참조하십시오.

이제 Hyper Protect Crypto Services는 보존, 제어 및 관리할 수 있는 암호화 키를 사용하여 데이터에 대한 제어 및 권한을 더 강화할 수 있도록 KYOK(Keep Your Own Key)를 지원합니다. IBM Cloud® 명령행 인터페이스(CLI)를 사용하여 서비스 인스턴스를 초기화하고 관리할 수 있습니다.

자세한 정보는 키 스토리지를 보호하기 위해 서비스 인스턴스 초기화를 참조하십시오.

현재 단계에서 ACSP(Advanced Cryptography Service Provider) 클라이언트를 통한 Hyper Protect Crypto Services 액세스는 더 이상 지원되지 않습니다. 이전 서비스 인스턴스를 사용 중인 경우 여전히 ACSP를 사용하여 Hyper Protect Crypto Services를 탐색할 수 있습니다.