リカバリー用暗号装置からのマスター鍵の復旧

サービス・インスタンスにリカバリー用暗号装置が含まれている場合、リカバリー用暗号装置の現行マスター鍵の値を、運用暗号装置のバックアップ値として使用できます。リカバリー暗号化ユニットを使用してサービス・インスタンスを初期化する場合 (ibmcloud tke auto-init コマンドを使用) や、リカバリー暗号化ユニットを使用してマスター・キーをローテーションする場合 (ibmcloud tke auto-mk-rotate コマンドを使用) は、サービス・インスタンスに存在するマスター・キーの唯一のバックアップ値となります。

リカバリー暗号化ユニットの現行マスター・キー・レジスターの値は、ibmcloud tke auto-mk-recover コマンドを使用して、現行リソース・グループに割り当てられているサービス・インスタンスの他の現行マスター・キー・レジスターに安全に転送できます。

以下の状況では、マスター鍵の値を復旧するためにこのコマンドを使用する必要が生じることがあります。

暗号装置を誤ってゼロ化したため、再初期化する必要がある。
暗号装置の現行マスター鍵レジスターを誤ってクリアした。
ハードウェアに障害が発生し、暗号装置を取り替える必要がある。
同じマスター鍵の値を使用するために、同じリソース・グループ内に異なるサービス・インスタンスが必要である。

現在、 eu-es リージョンのサービス・インスタンスはリカバリー暗号装置をサポートしていないため、このコマンドを使用できません。サポートされるリージョンについて詳しくは、地域とロケーションを参照してください。

開始前に

このコマンドを使用するには、リカバリー用暗号装置およびすべてのターゲット暗号装置が以下の要件を満たしていることを確認する必要があります。

これらがインプリント・モードではない。
これらの最低必要署名数の値が同じである。
管理者の共通セットがリカバリー暗号化ユニットとすべてのターゲット暗号化ユニットに追加されますが、これらの暗号化ユニットは署名しきい値を満たします。

初期条件が満たされていることを確認するには、ibmcloud tke cryptounit-add コマンドを使用してソースおよびターゲットの暗号装置を選択し、ibmcloud tke cryptounit-compare コマンドを実行します。

マスター鍵の復旧

以下のコマンドを実行して、リカバリー用暗号装置からマスター鍵の値を復旧します。

ibmcloud tke auto-mk-recover

このコマンドを使用すると、リカバリー用暗号装置の現行マスター鍵レジスターの値を、同じリソース・グループ内の他の暗号装置の現行マスター鍵レジスターに転送できます。これらは、運用暗号装置またはその他のリカバリー用暗号装置です。このコマンドを使用すると、複数のサービス・インスタンスが同じリソース・グループにある場合に、そのサービス・インスタンスで同じマスター・キーの値を使用できます。

リソース・グループについて詳しくは、リソース・グループの管理を参照してください。

次の作業

完全な TKE CLI プラグイン・コマンド・リファレンスについては、 IBM Cloud TKE CLIを参照してください。