Recupero di una chiave principale da una unità di cripto di recupero

Se la tua istanza di servizio include cripto unità di recupero, l'attuale valore chiave principale in un'unità crittografata di recupero può essere utilizzato come valore di backup per le proprie unità di crittografia operativa. Se si inizializzano le istanze di servizio utilizzando le unità di crittografia di recupero (con il comando ibmcloud tke auto-init ) o ruotano i tasti master utilizzando le unità crittografate di recupero (con il comando ibmcloud tke auto-mk-rotate ), questo è l'unico valore di backup della chiave principale che esiste per la tua istanza di servizio.

Il valore nel registro chiave principale corrente di un'unità crittografata di recupero può essere correttamente trasferito ad altri registri chiave master in corso di istanze di servizio che vengono assegnati al gruppo di risorse corrente utilizzando il comando ibmcloud tke auto-mk-recover.

Potrebbe essere necessario utilizzare il comando per recuperare il valore chiave principale nelle seguenti situazioni:

  • Azzerate inavvertitamente una unità di cripto e avete bisogno di reinizializzarla.
  • Si è inavvertitamente chiaro l'attuale registro chiave principale in una unità di crittografia.
  • Il tuo hardware fallisce e un'unità crittografata deve essere sostituita.
  • Sono necessarie diverse istanze di servizio nello stesso gruppo di risorse per utilizzare lo stesso valore chiave principale.

Al momento, le istanze del servizio nella regione eu-es non supportano le unità di crittografia di recupero e non possono utilizzare questo comando. Per ulteriori informazioni sulle regioni supportate, vedi Regioni e ubicazioni.

Prima di iniziare

Per utilizzare il comando è necessario assicurarsi che l'unità di cripto di recupero e tutte le unità di crittografia di destinazione soddisfino i seguenti requisiti:

  • Non sono in modalità di imprinting.
  • Hanno lo stesso valore di soglia di firma.
  • Una serie comune di amministratori viene aggiunta all'unità di cripto di recupero e a tutte le unità di cripto di destinazione, che possono soddisfare il valore di soglia della firma.

Per verificare che le condizioni iniziali siano soddisfatte, selezionare le unità di crittografia di origine e di destinazione utilizzando il comando ibmcloud tke cryptounit-add, quindi eseguire il comando ibmcloud tke cryptounit-compare.

Recupero delle chiavi principali

Eseguire il seguente comando per recuperare un valore chiave principale da una unità di codifica di recupero:

ibmcloud tke auto-mk-recover

Con questo comando è possibile trasferire il valore nel registro chiave principale corrente di una unità crittografata di recupero agli attuali registri chiave master di qualsiasi altra unità di crittografia nello stesso gruppo di risorse. Queste possono essere unità di crittografia operativa o altre unità di cripto di recupero. Con questo comando è possibile utilizzare lo stesso valore chiave principale in più istanze di servizio se si trovano nello stesso gruppo di risorse.

Per saperne di più sui gruppi di risorse, consultare Gestione dei gruppi di risorse.

Operazioni successive

Per un riferimento del comando plug-in TKE CLI completo, consultare IBM Cloud TKE CLI.