Recuperación de una clave maestra de una unidad criptográfica de recuperación

Si la instancia de servicio incluye unidades criptográficas de recuperación, se puede utilizar el valor de clave maestra actual en una unidad criptográfica de recuperación como valor de copia de seguridad para las unidades criptográficas operativas. Si inicializa instancias de servicio utilizando unidades criptográficas de recuperación (con el mandato ibmcloud tke auto-init) o rota las claves maestras utilizando unidades criptográficas de recuperación (con el mandato ibmcloud tke auto-mk-rotate), este es el único valor de copia de seguridad de la clave maestra que existe para la instancia de servicio.

El valor del registro de clave maestra actual de una unidad criptográfica de recuperación se puede transferir de forma segura a otros registros de clave maestra actuales en instancias de servicio que se asignan al grupo de recursos actual utilizando el mandato ibmcloud tke auto-mk-recover.

Es posible que tenga que utilizar el mandato para recuperar el valor de clave maestra en las situaciones siguientes:

  • Accidentalmente, ha puesto a cero una unidad criptográfica y necesita reinicializarla.
  • Accidentalmente ha deseleccionado el registro de clave maestra actual en una unidad criptográfica.
  • El hardware falla y se debe sustituir una unidad criptográfica.
  • Necesita varias instancias de servicio en el mismo grupo de recursos para utilizar el mismo valor de clave maestra.

Actualmente, las instancias de servicio de la región eu-es no dan soporte a las unidades criptográficas de recuperación y no pueden utilizar este mandato. Para obtener más información sobre las regiones soportadas, consulte Regiones y ubicaciones.

Antes de empezar

Para utilizar el mandato, debe asegurarse de que la unidad criptográfica de recuperación y todas las unidades criptográficas de destino cumplen los requisitos siguientes:

  • No están en modalidad de impresión.
  • Tienen el mismo valor de umbral de firma.
  • Se añade un conjunto común de administradores a la unidad criptográfica de recuperación y todas las unidades criptográficas de destino, que pueden cumplir el valor de umbral de firma.

Para comprobar que se cumplen las condiciones iniciales, seleccione las unidades criptográficas de origen y de destino utilizando el mandato ibmcloud tke cryptounit-add y, a continuación, ejecute el mandato ibmcloud tke cryptounit-compare.

Recuperación de claves maestras

Ejecute el mandato siguiente para recuperar un valor de clave maestra de una unidad criptográfica de recuperación:

ibmcloud tke auto-mk-recover

Con este mandato, puede transferir el valor del registro de clave maestra actual de una unidad criptográfica de recuperación a los registros de clave maestra actuales de cualquier otra unidad criptográfica del mismo grupo de recursos. Estas pueden ser unidades criptográficas operativas u otras unidades criptográficas de recuperación. Con este mandato, puede utilizar el mismo valor de clave maestra en varias instancias de servicio si están en el mismo grupo de recursos.

Para obtener más información sobre los grupos de recursos, consulte Gestión de grupos de recursos.

Qué hacer a continuación

Para obtener una referencia completa de mandatos de plugin de CLI TKE, consulte CLI TKE deIBM Cloud.