起始設定服務實例-標準方案
您必須先起始設定服務實例，才能使用 IBM Cloud® Hyper Protect Crypto Services 來管理加密金鑰並執行加密作業。
服務實例起始設定是載入主要金鑰的程序，因此您可以取得 Hyper Protect Crypto Services 之雲端 硬體安全模組(HSM)A physical appliance that provides on-demand encryption, key management, and key storage as a managed service. 的所有權，並擁有加密整個加密金鑰階層的信任根。
若要起始設定服務實例，您需要為 加密單位A single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography. 管理者建立 簽章金鑰An encryption key that is used by the crypto unit administrator to sign commands that are issued to the crypto unit.，設定仲裁鑑別臨界值以結束 印記模式An operational mode in which crypto units are assigned to a user.，並將 主要金鑰An encryption key that is used to protect a crypto unit. The master key provides full control of the hardware security module and ownership of the root of trust that encrypts the chain keys, including the root key and standard key. 載入加密單位。
瞭解管理者及簽章金鑰
加密單位由 HSM 及 HSM 專用的對應軟體堆疊組成。 如果您正在設定正式作業環境，建議在建立 Hyper Protect Crypto Services 實例時至少指派兩個加密單位以取得高可用性。 加密單位位於您建立服務實例時所選取地區內的不同可用性區域中。 服務實例中的所有加密單位都需要配置相同。 如果無法存取一個可用性區域，則可以交換使用服務實例中的加密單位。 加密單位包含加密金鑰儲存體內容的主要金鑰，包括金鑰管理金鑰儲存庫中的根金鑰和標準金鑰，以及 EP11 金鑰儲存庫中的企業 PKCS #11 (EP11) 金鑰。
若要對加密單位發出指令以執行動作，您需要將管理者指派給加密單位。 每一個管理者都有用於身分鑑別的相關聯簽章金鑰。 下列流程圖顯示如何建立簽章金鑰，並將其指派給具有兩個加密單位的服務實例。
簽章金鑰是透過下列程序來建立及指派:
- 管理者會建立簽章金鑰組。 私密及公開金鑰組件儲存在本端工作站或智慧卡上，視您起始設定服務實例的方式而定。
- 透過將公開簽章金鑰部分指派給加密單位來新增管理者。 公開金鑰組件放置在安裝在目標加密單位中的憑證中，以定義加密單位管理者。
瞭解印記模式及簽章臨界值
加密單位以稱為「印記模式」的明碼狀態啟動。 處於印記模式的加密單位較不安全，因為對處於印記模式的加密單位所採取的動作不需要以任何管理者簽章金鑰來簽署。 指派加密單位管理者之後，您可以設定簽章臨界值，以控制執行指令所需的管理者簽章數目。 在印記模式中，簽章臨界值設為零。 若要結束印記模式並保護加密單位的安全，請將簽章臨界值設為大於零的值。
加密單位有兩種類型的簽章臨界值。 主要簽章臨界值控制執行大部分管理指令所需的簽章數目。 撤銷簽章臨界值可控制移除管理者所需的簽章數目。 部分指令只需要一個簽章，無論如何設定簽章臨界值。
將簽章臨界值設為大於 1 的值，可讓多個管理者對機密作業進行仲裁鑑別。 您可以設定簽章臨界值及撤銷簽章臨界值的上限值為 8，這也是可以新增至加密單位的管理者數目上限。
當您配置加密單位時，系統會根據作業類型以及加密單位是否處於印記模式，自動提示您輸入所需的簽章數目。 下表包含每一個作業所需的簽章數目，以供參考。
| 作業 | 指令 | 在印記模式中需要的簽章 | 離開印記模式之後所需的簽章 |
|---|---|---|---|
| 新增管理者 | tke cryptounit-admin-add |
不需要簽章。 | 現行簽章臨界值。 |
| 移除管理者 | tke cryptounit-admin-rm |
不需要簽章。 | 現行撤銷臨界值。 |
| 設定簽章臨界值 | tke cryptounit-thrhld-set |
離開印記模式時，新的簽章臨界值。 | 現行簽章臨界值。 |
| 清除新的主要金鑰登錄 | tke cryptounit-mk-clrnew |
不容許。 | 一個簽名 |
| 清除現行主要金鑰登錄 | tke cryptounit-mk-clrcur |
不容許。 | 一個簽名 |
| 載入新的主要金鑰登錄 | tke cryptounit-mk-load |
不容許。 | 每個金鑰部分一個簽章。 這個指令會產生一個匯入器金鑰，它也需要一個簽章。 相同的管理者可以用於所有簽章。 |
| 確定新的主要金鑰登錄 | tke cryptounit-mk-commit |
不容許。 | 現行簽章臨界值。 |
| 立即設定 (終結主要金鑰登錄) | tke cryptounit-mk-setimm |
不容許。 | 一個簽名 |
| 設定控制點 | tke cryptounit-cp-btc tke cryptounit-cp-eddsa tke cryptounit-cp-sig-other |
不容許。 | 現行簽章臨界值。 |
| 將加密單位歸零 | tke cryptounit-zeroize | 不需要簽章。 | 一個簽名 |
瞭解主要金鑰
在加密單位結束印記模式之後，您可以將主要金鑰載入加密單位。 主要金鑰用來加密金鑰儲存體中的資料。 使用主要金鑰，您擁有可加密整個金鑰階層的信任根，包括金鑰管理金鑰儲存庫中的根金鑰和標準金鑰，以及 EP11 金鑰儲存庫中的企業 PKCS #11 (EP11) 金鑰。 每一個服務實例都只有一個主要金鑰。
若要載入主要金鑰，每一個加密單位都有兩個主要金鑰暫存器: 新的主要金鑰暫存器及現行主要金鑰暫存器。 現行主要金鑰登錄中的值用於加密使用者的金鑰儲存空間內容。 新的主要金鑰登錄是用來變更 主要金鑰輪替 的現行主要金鑰登錄中的值。
下列流程圖說明主要金鑰登錄狀態如何變更，以及如何載入主要金鑰。
在圖表中，每一個加密單位都會使用下列步驟載入主要金鑰:
- 使用主要金鑰載入新的主要金鑰登錄。 載入主要金鑰之後，新的主要金鑰登錄會處於
Full uncommitted狀態。 - 確定新的主要金鑰登錄。 確定之後，新的主要金鑰登錄會處於
Full committed狀態。 - 啟動現行主要金鑰登錄。 這樣做會將新的主要金鑰登錄值複製到現行主要金鑰登錄，並清除新的主要金鑰登錄。
下一步
視您的商業需求和安全需求而定，Hyper Protect Crypto Services 提供兩個工具和三個選項來起始設定服務實例。 如需相關資訊，請參閱 服務實例起始設定方法簡介。