Recuperando uma chave mestra a partir de uma unidade de criptografia de recuperação

Se a sua instância de serviço inclui unidades de criptografia de recuperação, o valor da chave mestra atual em uma unidade de criptografia recuperação pode ser usado como um valor de backup para suas unidades de criptografia operacional. Se você inicializar instâncias de serviço usando unidades de criptografia de recuperação (com o comando ibmcloud tke auto-init) ou girar chaves mestras usando unidades de criptografia de recuperação (com o comando ibmcloud tke auto-mk-rotate), este será o único valor de backup da chave mestra existente para a sua instância de serviço.

O valor no registro de chave mestra atual de uma unidade de criptografia de recuperação pode ser transferido de forma segura para outros registros de chave mestra atuais em instâncias de serviço que são designadas para o grupo de recursos atual usando o comando ibmcloud tke auto-mk-recover.

Talvez seja necessário utilizar o comando para recuperar o valor da chave mestra nas situações a seguir:

  • Você inadvertidamente zera uma unidade de criptografia e precisa reinicializá-la.
  • Você inadvertidamente limpa o registro da chave mestra atual em uma unidade de criptografia.
  • Seu hardware falha e uma unidade de criptografia precisa ser substituída.
  • Você precisa de instâncias de serviço diferentes no mesmo grupo de recursos para usar o mesmo valor da chave mestra.

Atualmente, as instâncias de serviço na região do eu-es não suportam unidades de criptografia de recuperação e não podem usar esse comando. Para obter mais informações sobre regiões suportadas, consulte Regiões e locais.

Antes de Iniciar

Para utilizar o comando, é necessário certificar-se de que a unidade de criptografia de recuperação e todas as unidades de criptografia de destino atendam aos requisitos a seguir:

  • Elas não estão no modo imprimir.
  • Elas têm o mesmo valor limite de assinatura.
  • Um conjunto comum de administradores é incluído na unidade de criptografia de recuperação e em todas as unidades de criptografia de destino, que podem atender ao valor limite de assinatura.

Para verificar se as condições iniciais são atendidas, selecione as unidades de criptografia de origem e destino usando o comando ibmcloud tke cryptounit-add e, em seguida, execute o comando ibmcloud tke cryptounit-compare.

Recuperando chaves mestras

Execute o comando a seguir para recuperar um valor de chave mestra a partir de uma unidade de criptografia de recuperação:

ibmcloud tke auto-mk-recover

Com este comando, é possível transferir o valor no registro da chave mestra atual de uma unidade de criptografia de recuperação para os registros de chaves mestras atuais de quaisquer outras unidades de criptografia no mesmo grupo de recursos. Estas podem ser unidades de criptografia operacional ou outras unidades de criptografia de recuperação. Com este comando, é possível usar o mesmo valor de chave mestra em várias instâncias de serviço se elas estiverem no mesmo grupo de recursos.

Para saber mais sobre grupos de recursos, consulte Gerenciando grupos de recursos.

O que vem a seguir

Para obter uma referência de comando de plug-in da CLI do TKE completa, consulte IBM Cloud CLI do TKE...