Erstellen eines Adapters

Es können maximal 200 Adapter auf einer einzigen Instanz erstellt werden. Jedem Adapter können bis zu 200 Zertifikate zugeordnet werden.

KMIP-Adapter werden mit Key Protect-Root-Schlüsseln erstellt. Wenn Sie keinen Stammschlüssel haben, erstellen Sie einen.

Bevor Sie beginnen, stellen Sie sicher, dass Sie auf der Instanz über die Rolle „ Manager “ oder die Rolle „ KmipAdapterManager “ verfügen.

So erstellen Sie einen Adapter:

1. Klicken Sie im Navigationsmenü auf „ KMIP-Adapter “. Wenn dies Ihr erster Adapter ist, ist die Tabelle leer.

2. Klicken Sie auf Erstellen.

3. Geben Sie im Seitenbereich die folgenden Informationen an:

   • Name – Geben Sie einen Namen für den Adapter ein (2–40 Zeichen).
   • Beschreibung (optional) – Geben Sie eine Beschreibung für den Adapter ein (2–240 Zeichen).
   • Stammschlüssel – Wählen Sie den Stammschlüssel aus, der für diesen Adapter verwendet werden soll. Der Root-Schlüssel verschlüsselt die KMIP-Schlüssel, die der Adapter erstellt. Ihr Root-Schlüssel muss sich im Status „ active “ befinden, damit Ihr Adapter ordnungsgemäß funktioniert.

4. Optional: Fügen Sie ein öffentliches „ TLS “-Zertifikat hinzu, damit der Inhaber des entsprechenden privaten Zertifikats über den KMIP-Adapter mit Key Protect kommunizieren kann. Nur autorisierte Zertifikate können KMIP-Protokollanfragen an Ihre Instanz stellen.

   So fügen Sie ein Zertifikat hinzu:

   1. Klicken Sie auf Hinzufügen.
   2. Geben Sie einen Namen für das Zertifikat ein.
   3. Geben Sie den Inhalt des Zertifikats im Format „ PEM “ ein, einschließlich der Tags „ BEGIN CERTIFICATE “ und „ END CERTIFICATE “.
   4. Klicken Sie auf „ Zertifikat hinzufügen “.

   Die Zuordnung des Zertifikats kann einige Minuten dauern. Ein Zertifikat kann in einer „ Key Protect “-Region nur einem einzigen Adapter zugeordnet werden.

Auf Ressourcen, die über das KMIP-Protokoll verwaltet werden, kann nicht über die „ HTTP “-API zugegriffen werden.

Bewahren Sie den privaten Schlüssel aller hochgeladenen Zertifikate sicher auf. Jedes Zertifikat, das auf einen KMIP-Adapter hochgeladen wird, kann alle unterstützten KMIP-Operationen ausführen.

Anzeigen und Aktualisieren von Adapterdetails

Im Adapter-Detailfenster werden Informationen zu einem Adapter angezeigt, und Sie können dort Aktionen wie das Hinzufügen von Zertifikaten durchführen.

So rufen Sie die Details zum Adapter ab:

1. Klicken Sie auf das Aktionsmenü (⋯) des Adapters.
2. Wählen Sie „Details“ aus.

Im Detailfenster werden der Name des Adapters, die Beschreibung, die zugehörigen symmetrischen KMIP-Schlüssel sowie die hochgeladenen Zertifikate angezeigt. Über dieses Fenster können Sie auch weitere Zertifikate hochladen.

Symmetrische KMIP-Schlüssel können nicht über die Konsole gelöscht werden. Um Schlüssel zu löschen, verwenden Sie die CLI. Es können nur symmetrische KMIP-Schlüssel gelöscht werden, die sich nicht im Status „ Active “ (Status „ 1 “) befinden. Ein Adapter kann nicht gelöscht werden, wenn er Schlüssel im Status „ Active “ enthält.

Die Ressourcen jedes Adapters sind durch einen Root-Schlüssel geschützt. Ein aktiver Stammschlüssel, der einem Adapter zugeordnet ist, kann nicht gelöscht werden.

Jeder erstellte symmetrische KMIP-Schlüssel zählt als eine einzelne Schlüsselversion und verursacht eine Gebühr für eine Schlüsselversion. Das Löschen eines symmetrischen KMIP-Schlüssels ist unwiderruflich.

Erstellen und Verwenden von KMIP-Adaptern in der API

In diesem Abschnitt wird beschrieben, wie KMIP-Adapter des Profils „ native_1.0 “ mit der API verwendet werden, einschließlich des Hinzufügens und Entfernens von KMIP-Client-Zertifikaten sowie des Anzeigens und Löschens von KMIP-Objekten.

Sie können einen KMIP-Adapter erstellen, indem Sie einen „ POST “-Aufruf an den folgenden Endpunkt senden.

https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters

Operationen auf KMIP-Adapter-Subressourcen, einschließlich KMIP-Client-Zertifikaten und KMIP-Objekten, finden an den folgenden Endpunkten statt:

https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>/certificates
https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>/kmip_objects

1. Rufen Sie die Authentifizierungsnachweise ab, um mit Schlüsseln im Service zu arbeiten.

2. Kopieren Sie die ID des Root-Schlüssels, den Sie zum Erstellen Ihres KMIP-Adapters verwenden wollen.

   Sie können die ID für einen Schlüssel in Ihrer Key Protect-Instanz finden, indem Sie eine Liste Ihrer Schlüssel abrufen oder auf das Key Protect- Armaturenbrett.

3. Erstellen Sie einen KMIP-Adapter mit dem folgenden curl Befehl:

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.kmip_adapter+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                   "name": "<adapter_name>",
                   "description": "<adapter_description>",
                   "profile": "native_1.0",
                   "profile_data": {
                       "crk_id": "<root_keyID_or_alias>"
                   }
                   }
               ]
           }'
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

4. Optional: Sie können die KMIP-Adapter, die in einer Instanz vorhanden sind, mit dem folgenden curl-Befehl auflisten:

   $ curl -X GET \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Sie können auch einen bestimmten KMIP-Adapter abrufen, indem Sie den folgenden curl Befehl verwenden:

   $ curl -X GET \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Beachten Sie, dass Sie entweder die UUID des Adapters oder den Namen des Adapters verwenden können, um einen bestimmten Adapter zu erhalten.

5. Sie können einen KMIP-Adapter mit dem folgenden curl Befehl löschen:

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Sie können den KMIP-Adapter nur löschen, wenn alle KMIP-Objekte unter dem Adapter gelöscht werden.