使用智能卡和管理实用程序旋转主密钥

使用“管理实用程序”创建的主密钥可以通过使用存储主密钥部件的智能卡进行旋转。 在轮换主密钥之前，需要创建要使用的密钥部件。

您可以使用 2 或 3 密钥部件来创建新的主密钥值。 为了能够轮换主密钥，当前主密钥寄存器必须处于具有相同验证模式的 Valid 状态，并且新的主密钥寄存器必须为 Empty。

您可以使用“管理实用程序”来轮换主密钥，而不管您的服务实例是否具有分配给它的恢复加密单元。

以下流程显示主密钥轮换在此方式下的工作方式:

1. 通过单击“可信密钥输入”应用程序中的 装入 按钮来装入新的主密钥寄存器。 新的主密钥寄存器的状态已从 Empty 更改为 Full uncommitted。
2. 通过单击“可信密钥输入”应用程序中的 落实 按钮来落实新的主密钥值。 新的主密钥注册状态将更改为 Full committed。
3. 通过单击“可信密钥输入”应用程序中的 旋转 按钮，重新加密密钥存储器并激活新的主密钥:
   1. 使用当前主密钥寄存器中的值对密钥存储器中的加密密钥进行解密，然后使用新主密钥寄存器中的值进行重新加密。 重新包装在硬件安全模块 (HSM) 内进行，因此是安全的。
   2. 将激活新的主密钥并将其装入到处于 Valid 状态的当前主密钥寄存器，并且将清除新的主密钥寄存器并将其恢复到 Empty 状态。

有关详细指示信息，请参阅 使用智能卡和管理实用程序旋转主密钥。

使用恢复加密单元旋转主密钥

如果服务实例分配了恢复加密单元，那么除了使用工作站文件外，还可以使用 ibmcloud tke auto-mk-rotate 命令来轮换主密钥。 使用此命令，将在服务实例的其中一个恢复加密单元中生成随机的新主密钥值，并将其安全地移至服务实例中的其他加密单元。

在主密钥轮换之前，您不需要准备新的主密钥。 在可以使用 IBM TKE CLI 插件来轮换主密钥之前，操作加密单元 和 恢复加密单元 中的所有当前主密钥寄存器都需要处于 Valid 状态，并且当前主密钥已装入，并且所有新的主密钥寄存器都需要为空。

与从本地工作站文件装入新的主密钥值的选项相比，此方式的主要区别在于，首先在恢复加密单元中随机生成新的主密钥值，然后将其导出到其他加密单元。

以下流程显示主密钥轮换在此方式下的工作方式:

1. 在分配给服务实例的恢复加密单元的新主密钥寄存器中生成新的随机主密钥值。 新的主密钥寄存器的状态已从 Empty 更改为 Full uncommitted。
2. 新的主密钥值将复制到分配给服务实例的加密单元以及服务实例的其他恢复加密单元的新主密钥寄存器。 所有新的主密钥寄存器现在都处于 Full uncommitted 状态。
3. 将落实新的主密钥，并且所有新的主密钥寄存器状态都将更改为 Full committed。
4. 密钥存储器已重新加密。 在服务实例中管理的加密密钥将使用当前主密钥寄存器中的当前主密钥进行解密，并使用新主密钥寄存器中的新主密钥进行重新加密。
5. 新的主密钥将装入到处于 Valid 状态的服务实例的操作和恢复加密单元的当前主密钥寄存器中，并且新的主密钥寄存器将被清除并返回到 Empty 状态。

有关如何使用恢复加密单元轮换主密钥的详细指示信息，请参阅 使用恢复加密单元轮换主密钥。

使用工作站文件旋转主密钥

可以使用 TKE CLI 插件来轮换从工作站文件创建的主密钥。 轮换主密钥时，主密钥部件将存储在本地工作站上的文件中。

与使用管理实用程序类似，您需要首先创建要使用的 2 或 3 关键部件。 为了能够轮换主密钥，当前主密钥寄存器必须处于具有相同验证模式的 Valid 状态，并且新的主密钥寄存器必须为 Empty。

无论服务实例是否分配了恢复加密单元，都可以使用 TKE CLI 插件来轮换主密钥。

以下流程显示主密钥轮换在此方式下的工作方式:

1. 使用 cryptounit-mk-load 命令装入新的主密钥寄存器。 新的主密钥寄存器的状态已从 Empty 更改为 Full uncommitted。
2. 使用 cryptounit-mk-commit 命令落实新的主密钥值。 新的主密钥注册状态将更改为 Full committed。
3. 使用 cryptounit-mk-rotate 命令重新加密密钥存储器并激活新的主密钥:
   1. 使用当前主密钥寄存器中的值对密钥存储器中的加密密钥进行解密，然后使用新主密钥寄存器中的值进行重新加密。 重新包装在 HSM 内进行，因此是安全的。
   2. 将激活新的主密钥并将其装入到处于 Valid 状态的当前主密钥寄存器，并且将清除新的主密钥寄存器并将其恢复到 Empty 状态。