복구 암호화 장치에서 마스터 키 복구
서비스 인스턴스에 복구 암호화 장치가 포함되어 있는 경우 복구 암호화 장치의 현재 마스터 키 값을 운영 암호화 장치의 백업 값으로 사용할 수 있습니다. 복구 암호화 장치를 사용하여 서비스 인스턴스를 초기화하거나(ibmcloud tke auto-init 명령 사용) 복구 암호화 장치를 사용하여 마스터 키를 순환시키는 경우(ibmcloud tke auto-mk-rotate 명령 사용) 해당 서비스 인스턴스에 대해 존재하는 유일한 마스터 키의 백업 값이 됩니다.
ibmcloud tke auto-mk-recover 명령을 사용하여 복구 암호화 장치의 현재 마스터 키 레지스터 값을 현재 자원 그룹에 지정된 서비스 인스턴스의 다른 현재 마스터 키 레지스터로 안전하게 전송할 수 있습니다.
다음과 같은 상황에서는 마스터 키 값을 복구하는 명령을 사용해야 할 수도 있습니다.
- 실수로 암호화 장치를 제로화하여 다시 초기화해야 합니다.
- 실수로 암호화 장치의 현재 마스터 키 레지스터를 지웠습니다.
- 하드웨어에 장애가 발생하여 암호화 장치를 대체해야 합니다.
- 동일한 마스터 키 값을 사용하려면 동일한 자원 그룹에 있는 다른 서비스 인스턴스가 필요합니다.
현재 eu-es 리젼의 서비스 인스턴스는 복구 암호화 단위를 지원하지 않으며 이 명령을 사용할 수 없습니다. 지원되는 지역에 대한 자세한 정보는 지역 및 위치를 참조하십시오.
시작하기 전에
이 명령을 사용하려면 복구 암호화 장치 및 모든 대상 암호화 장치에서 다음과 같은 요구사항을 충족해야 합니다.
- 임프린트 모드가 아닙니다.
- 서명 임계값이 동일합니다.
- 공통 관리자 세트는 복구 암호화 장치 및 모든 대상 암호화 장치에 추가되어 서명 임계값을 충족시킬 수 있습니다.
초기 조건이 충족되었는지 확인하려면 ibmcloud tke cryptounit-add 명령을 사용하여 소스 및 대상 암호화 장치를 선택한 후 ibmcloud tke cryptounit-compare 명령을 실행하십시오.
마스터 키 복구
복구 암호화 장치에서 마스터 키 값을 복구하려면 다음 명령을 실행하십시오.
ibmcloud tke auto-mk-recover
이 명령을 사용하는 경우 복구 암호화 장치의 현재 마스터 키 레지스터에 있는 값을 동일한 리소스 그룹에 있는 다른 암호화 장치의 현재 마스터 키 레지스터로 전송할 수 있습니다. 이 장치는 운영 암호화 장치 또는 기타 복구 암호화 장치가 될 수 있습니다. 동일한 자원 그룹에 존재하는 경우 이 명령을 사용하여 복수의 서비스 인스턴스에서 동일한 마스터 키 값을 사용할 수 있습니다.
리소스 그룹에 대한 자세한 정보는 리소스 그룹 관리를 참조하십시오.
다음에 수행할 작업
전체 TKE CLI 플러그인 명령 참조는 IBM Cloud TKE CLI를 참조하십시오.