Masterschlüssel von einer Recovery-Verschlüsselungseinheit wiederherstellen

Wenn Ihre Serviceinstanz Recovery-Verschlüsselungseinheiten enthält, kann der aktuelle Masterschlüsselwert in einer Recovery-Verschlüsselungseinheit als Sicherungswert für Ihre operativen Verschlüsselungseinheiten verwendet werden. Wenn Sie Serviceinstanzen mithilfe von Wiederherstellungsverschlüsselungseinheiten initialisieren (mit dem Befehl ibmcloud tke auto-init) oder Masterschlüssel mithilfe von Wiederherstellungsverschlüsselungseinheiten rotieren (mit dem Befehl ibmcloud tke auto-mk-rotate), ist dies der einzige Sicherungswert des Masterschlüssels, der für Ihre Serviceinstanz vorhanden ist.

Der Wert im aktuellen Masterschlüsselregister einer Wiederherstellungsverschlüsselungseinheit kann mit dem Befehl ibmcloud tke auto-mk-recover sicher in andere aktuelle Masterschlüsselregister in Serviceinstanzen übertragen werden, die der aktuellen Ressourcengruppe zugeordnet sind.

Unter Umständen müssen Sie den Befehl zum Wiederherstellen des Masterschlüsselwerts in den folgenden Situationen verwenden:

  • Sie füllen eine Verschlüsselungseinheit versehentlich mit Nullen und müssen sie reinitialisieren.
  • Sie löschen versehentlich das Register mit dem aktuellen Masterschlüssel in einer Verschlüsselungseinheit.
  • Ihre Hardware schlägt fehl und eine Verschlüsselungseinheit muss ersetzt werden.
  • Sie benötigen verschiedene Serviceinstanzen in derselben Ressourcengruppe, um denselben Masterschlüsselwert zu verwenden.

Momentan unterstützen Serviceinstanzen in der eu-es-Region keine Wiederherstellungsverschlüsselungseinheiten und können diesen Befehl nicht verwenden. Weitere Informationen zu unterstützten Regionen finden Sie unter Regionen und Standorte.

Vorbereitende Schritte

Um den Befehl verwenden zu können, müssen Sie sicherstellen, dass die Recovery-Verschlüsselungseinheit und alle Zielverschlüsselungseinheiten die folgenden Voraussetzungen erfüllen:

  • Sie befinden sich nicht im Imprint-Modus.
  • Sie haben denselben Signaturschwellenwert.
  • Eine allgemeine Gruppe von Administratoren wird der Wiederherstellungsverschlüsselungseinheit und allen Zielverschlüsselungseinheiten hinzugefügt, die den Signaturschwellenwert erfüllen können.

Um zu überprüfen, ob die Ausgangsbedingungen erfüllt sind, wählen Sie die Quellen- und Zielverschlüsselungseinheiten mit dem Befehl ibmcloud tke cryptounit-add aus und führen Sie anschließend den Befehl ibmcloud tke cryptounit-compare aus.

Masterschlüssel wiederherstellen

Führen Sie den folgenden Befehl aus, um einen Masterschlüsselwert von einer Recovery-Verschlüsselungseinheit wiederherzustellen:

ibmcloud tke auto-mk-recover

Mit diesem Befehl können Sie den Wert im Register für den aktuellen Masterschlüssel einer Recovery-Verschlüsselungseinheit in die Register für die aktuellen Masterschlüssel aller anderen Verschlüsselungseinheiten in derselben Ressourcengruppe übertragen. Dies können operative Verschlüsselungseinheiten oder andere Recovery-Verschlüsselungseinheiten sein. Mit diesem Befehl können Sie denselben Masterschlüsselwert in mehreren Serviceinstanzen verwenden, wenn sie sich in derselben Ressourcengruppe befinden.

Weitere Informationen zu Ressourcengruppen finden Sie im Abschnitt zum Verwalten von Ressourcengruppen.

Nächste Schritte

Eine vollständige Befehlsreferenz für das TKE-CLI-Plug-in finden Sie unter IBM Cloud TKE CLI.