Récupération d'une clé principale à partir d'une unité de chiffrement de récupération

Si votre instance de service inclut des unités de chiffrement de récupération, la valeur de la clé principale acutelle dans une unité de chiffrement de récupération peut être utilisée comme valeur de sauvegarde pour vos unités de chiffrement opérationnelles. Si vous initialisez des instances de service en utilisant des unités de chiffrement de récupération (avec la commande ibmcloud tke auto-init ) ou en faisant pivoter les clés maître à l'aide des unités de chiffrement de récupération (avec la commande ibmcloud tke auto-mk-rotate ), il s'agit de la seule valeur de sauvegarde de la clé principale qui existe pour votre instance de service.

La valeur figurant dans le registre de clés maître en cours d'une unité de chiffrement de récupération peut être transférée en toute sécurité à d'autres registres de clés maître en cours dans les instances de service affectées au groupe de ressources en cours à l'aide de la commande ibmcloud tke auto-mk-recover.

Vous pouvez avoir besoin d'utiliser la commande pour récupérer la valeur de la clé principale dans les situations suivantes :

  • Vous avez par inadvertance remis à zéro une unité de chiffrement et vous devez la réinitialiser.
  • Vous avez effacé par inadvertance le registre de la clé principale en cours dans une unité de chiffrement.
  • Votre matériel tombe en panne et une unité de chiffrement doit être remplacée.
  • Il faut que différentes instances de service dans le même groupe de ressources utilisent la même valeur de clé principale.

Actuellement, les instances de service de la région eu-es ne prennent pas en charge les unités de chiffrement de reprise et ne peuvent pas utiliser cette commande. Pour plus d'informations sur les régions prises en charge, voir Régions et emplacements.

Avant de commencer

Pour utiliser la commande, vous devez vous assurer que l'unité de chiffrement de récupération et toutes les unités de chiffrement cible répondent aux exigences suivantes :

  • Elles ne sont pas en mode imprint.
  • Elles ont la même valeur de seuil de signature.
  • Un ensemble commun d'administrateurs est ajouté à l'unité de chiffrement de récupération et à toutes les unités de chiffrement cible, qui peuvent atteindre la valeur de seuil de signature.

Pour vérifier que les conditions initiales sont remplies, sélectionnez les unités de chiffrement source et cible à l'aide de la commande ibmcloud tke cryptounit-add, puis exécutez la commande ibmcloud tke cryptounit-compare.

Récupération des clés principales

Exécutez la commande suivante pour récupérer une valeur de clé principale à partir d'une unité de chiffrement de récupération :

ibmcloud tke auto-mk-recover

Avec cette commande, vous pouvez transférer la valeur du registre de la clé principale en cours d'une unité de chiffrement de récupération vers les registres de la clé principale en cours de toutes les autres unités de chiffrement du même groupe de ressources. Il peut s'agir d'unités de chiffrement opérationnelles ou d'autres unités de chiffrement de récupération. Avec cette commande, vous pouvez utiliser la même valeur de clé principale dans plusieurs instances de service s'ils se trouvent dans le même groupe de ressources.

Pour plus d'informations sur les groupes de ressources, voir Gestion des groupes de ressources.

Etapes suivantes

Pour une référence complète à la commande du plug-in d'interface de ligne de commande TKE, voir Interface de ligne de commande TKEIBM Cloud.