Vorbereitende Schritte

Wenn Sie nicht über die neueste Version der IBM Cloud CLI verfügen, können Sie Ihre Instanz möglicherweise nicht initialisieren. Stellen Sie sicher, dass Ihre Initialisierung erfolgreich ist, indem Sie auf die neueste Version des CLI-Plugins aktualisieren.

Sie müssen die neueste Version der CLI verwenden, um die Initialisierung abzuschließen, auch wenn Sie Ihre Instanz über die Konsole bereitstellen. Wenn Sie bei der Installation der neuesten Version des KP CLI-Plugins den Fehler - Unable to obtain plug-in's metadata erhalten, lesen Sie die Schritte zur Fehlerbehebung.

Bereitstellung Ihrer Instanz in der Konsole

Um Ihre Instanz in der Konsole bereitzustellen, folgen Sie den Anweisungen hier und wählen Sie die Kachel "Dedicated" im Katalog. Der Bereitstellungsprozess kann einige Minuten dauern.

Sobald Ihre Instanz bereitgestellt ist, können Sie Administrator-Anmeldedaten generieren und Ihre Kryptoeinheiten anfordern.

Wenn Sie keine Anzahl von Kryptoeinheiten angeben, wird Ihre Instanz mit zwei Einheiten ausgestattet. Sie können auch drei Kryptoeinheiten über die Dropdown-Liste angeben. Unabhängig davon, ob Sie zwei oder drei Kryptoeinheiten angeben, ist zu beachten, dass der Wert später nicht mehr geändert werden kann.

Bereitstellung Ihrer Instanz in der CLI

Bevor die Kryptoeinheiten erstellt und Ihre Instanz initialisiert werden kann, muss Ihre Instanz erstellt werden. Legen Sie zunächst eine Ressourcengruppe fest, auf die Sie abzielen, indem Sie einen Befehl erteilen:

ibmcloud target -c <resource-group>

Wenn Sie Ihre Ressourcengruppe nicht kennen, können Sie herausfinden, welche Sie haben, indem Sie sie ausstellen:

ibmcloud resource groups

Nachdem Sie Ihre Ressourcengruppe festgelegt haben, erstellen Sie die Instanz, indem Sie den Befehl

ibmcloud resource service-instance-create <INSTANCE_NAME> kms dedicated us-south

Dabei gilt:

• <INSTANCE_NAME> ist der Name, den Sie Ihrer Instanz geben.

Beachten Sie, dass Sie mit diesem Befehl standardmäßig zwei Kryptoeinheiten verwenden. Sie können drei Krypto-Einheiten angeben, indem Sie sie ausgeben:

ibmcloud resource service-instance-create <INSTANCE_NAME> kms dedicated us-south -p '{"crypto_units": 3}'

Wenn Sie eine andere Anzahl von Kryptoeinheiten als 2 oder 3 angeben, wird ein Fehler zurückgegeben. Sie können die Anzahl der Kryptoeinheiten später nicht mehr ändern.

Die Bereitstellung einer Dedicated-Instanz kann einige Minuten dauern. Sie können den Status Ihrer Instanz überprüfen, indem Sie eine Anfrage stellen:

ibmcloud resource service-instance <INSTANCE_NAME>

Dabei gilt:

• <INSTANCE_NAME> ist der Name, den Sie Ihrer Instanz im vorherigen Schritt gegeben haben.

Die Instanz kann einen von zwei Zuständen haben: aktiv oder in Bearbeitung. Beachten Sie, dass eine aktive Instanz noch nicht initialisiert wurde, da dafür die restlichen Schritte in diesem Thema ausgeführt werden müssen. Solange Sie Ihre Instanz nicht initialisiert haben, kann er nicht verwendet werden, da Ihre Identitäten noch nicht mit Ihren Kryptoeinheiten konfiguriert wurden, um den Hauptschlüssel zu erstellen.

Abrufen des Endpunkts

Sobald Ihre Instanz aktiv ist, erhalten Sie den Endpunkt und die GUID durch Eingabe:

ibmcloud resource service-instance <INSTANCE_NAME> -o json

Dabei gilt:

• <INSTANCE_NAME> ist der Name, den Sie Ihrer Instanz im vorherigen Schritt gegeben haben.

Der Endpunkt ist der public Parameterwert in der endpoints Stanza der obigen json Ausgabe. Sie hat das Format https://<instance-id>.api.<region>.kms.appdomain.cloud. Die GUID ist der GUID Parameterwert in der obigen Ausgabe. Sie hat das Format UUID.

Sie können den Endpunkt abrufen, indem Sie Folgendes eingeben: ibmcloud resource service-instance <\kp-instance-id\> --output json | jq -r '.[].extensions.endpoints'.

Speichern Sie den vollständigen Endpunkt als Umgebungsvariable, indem Sie zwei Befehle auf einem der drei unterstützten Betriebssysteme eingeben.

Für macOS:

export KP_TARGET_ADDR=<ST_INSTANCE_ENDPOINT>

Und:

export KP_INSTANCE_ID=<GUID>

Für Windows Powershell:

$Env:KP_INSTANCE_ID = <GUID>

Und:

$Env:KP_TARGET_ADDR = <ST_INSTANCE_ENDPOINT>

Für Windows CMD:

set KP_INSTANCE_ID=<GUID>

Und:

set KP_TARGET_ADDR=<ST_INSTANCE_ENDPOINT>

Dabei gilt:

• <ST_INSTANCE_ENDPOINT> ist der vollständige Endpunkt Ihrer Instanz, der das Format https://<instance-id>.api.<region>.kms.appdomain.cloud hat.
• <GUID> ist die Instanz-ID aus der obigen Ausgabe.

Jetzt können Sie die Zugangsdaten für den Administrator erstellen.

Möglicherweise müssen Sie nach der Bereitstellung einige Minuten warten, bis Ihre Kryptoeinheiten verfügbar sind.

Weitere Informationen zu den Zuständen, in denen sich eine Kryptoeinheit befinden kann, finden Sie unter Zustände von Kryptoeinheiten.

Generierung von Admin-Anmeldeinformationen und Beanspruchung Ihrer Kryptoeinheiten

Eine Kryptoeinheit wird von einem oder mehreren Admins verwaltet, was bedeutet, dass Sie entweder über Identitäten verfügen oder diese erstellen müssen. Wenn Sie die Admin-Identitäten ordnungsgemäß formatiert haben (ein symmetrischer 256-Bit-AES-Schlüssel unter Verwendung von RSA-2048 ), können Sie zum Abschnitt Erstellen des Hauptschlüssels übergehen.

ibmcloud kp crypto-unit sig-key generate --file <ADMIN_KEY_FILE> --passphrase <PWD> --algo RSA-2048

ibmcloud kp crypto-units

*******************************************************  
Id                                     InstanceID                             State  
6e0aead3-9d44-4c92-a4c4-f7a1ab415420   c28a8939-3980-4697-a80c-50b1f8bbf160   reserved  
3bb363fc-b1f9-4237-b37b-2c9e07784e3c   c28a8939-3980-4697-a80c-50b1f8bbf160   reserved  
*******************************************************  

ibmcloud kp crypto-unit claim --credential <ADMIN_KEY_FILE>

Generieren und Importieren des Hauptschlüssels

Da Sie Ihre Hauptschlüssel-Anmeldeinformationen importieren, hat Key Protect keinen Zugriff auf diesen Schlüssel und kann auch keine Sicherungskopien davon erstellen. Bewahren Sie die Aufzeichnungen über Ihren Hauptschlüssel an einem sicheren Ort auf.

Nachdem Sie nun Ihre Instanz und Ihre Admin-Identität erstellt haben, können Sie damit Ihren Hauptschlüssel erstellen. Der Masterschlüssel, der auch als HSM-Masterschlüssel bezeichnet wird, wird verwendet, um die Serviceinstanz für den Schlüsselspeicher zu verschlüsseln. Es handelt sich um einen symmetrischen 256-Bit-AES-Schlüssel. Mit dem Hauptschlüssel übernehmen Sie die Verantwortung für das Cloud-HSM und verfügen über die Vertrauensbasis, die die gesamte Hierarchie der Verschlüsselungsschlüssel verschlüsselt, einschließlich der Stammschlüssel und Standardschlüssel im Schlüsselverwaltungs-Keystore. Eine Serviceinstanz kann nur einen einzigen Masterschlüssel haben. Das Löschen des Masterschlüssels der Serviceinstanz ist ein wirksames Verfahren, um alle Daten kryptografisch zu zerstören, die mit den in dem Service verwalteten Schlüsseln verschlüsselt wurden.

Die spezielle „ Key Protect “-Methode nutzt das Verfahren des „Key Splitting“, bei dem ein kryptografischer Schlüssel zur Erhöhung der Sicherheit in mehrere Teile aufgeteilt wird. Es müssen mindestens 2 "keyshares" erstellt werden, wobei je nach Anwendungsfall auch mehr verwendet werden können.

Um den Hauptschlüssel lokal zu erzeugen, geben Sie den Befehl auf einem der drei unterstützten Betriebssysteme ein.

Für macOS:

ibmcloud kp crypto-unit master-key generate --keyshare-files '["<KEYSHARE_FILE_1>#<PASSWORD1>", "<KEYSHARE_FILE_2>#<PASSWORD2>"]' --keyshare-minimum 2 --algo AES-256 --key-name <KEY_NAME> --auth '[{"ADMIN": "<ADMIN_KEY_FILE>#<PASSOWRD3>"}]'

Für Windows Powershell:

ibmcloud kp crypto-unit master-key generate --keyshare-files '["""<KEYSHARE_FILE_1>#<PASSWORD1>""","""<KEYSHARE_FILE_2>#<PASSWORD2>"""]' --keyshare-minimum 2 --algo AES-256 --key-name <KEY_NAME> --auth '[{"""ADMIN""": """<ADMIN_KEY_FILE>#<PASSOWRD3>"""}]'

Für Windows CMD:

ibmcloud kp crypto-unit master-key generate --keyshare-files"[\"<KEYSHARE_FILE_1>#<PASSWORD1>\", \"<KEYSHARE_FILE_2>#<PASSWORD2>\"]" --keyshare-minimum 2 --algo AES-256 --key-name <KEY_NAME> --auth "[{\"ADMIN\": \"<ADMIN_KEY_FILE>#<PASSOWRD3>\"}]"

Dabei gilt:

• <KEYSHARE_FILE_1>#<PASSWORD1> ist der Speicherort einer der Keyshares, zusammen mit einer Passphrase für die erstellte Datei. Die Passphrase ist obligatorisch und muss zwischen 6 und 255 Zeichen lang sein. Lassen Sie #<PASSWORD1> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.
• <KEYSHARE_FILE_2>#<PASSWORD2> ist der Speicherort einer anderen Schlüsselfreigabe, zusammen mit einer Passphrase für die Datei, die erstellt wird. Die Passphrase ist obligatorisch und muss zwischen 6 und 255 Zeichen lang sein. Lassen Sie #<PASSWORD2> aus, um zur Eingabe einer Passphrase aufgefordert zu werden. Lassen Sie #<PASSWORD2> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.
• <KEY_NAME> ist der Name Ihres Hauptschlüssels.
• <ADMIN_KEY_FILE>#<PASSOWRD3> ist der Ort, an dem sich Ihr Administrator befindet, und die Passphrase, die Sie zuvor erstellt haben (wenn Sie nicht Ihre eigene Identität mitbringen). Lassen Sie #<PASSWORD3> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.

Beachten Sie, dass die Angabe keyshare-minimum, die standardmäßig auf 2 eingestellt ist, aber erhöht werden kann, die Mindestanzahl der Keyshares (nach ihren Standorten) darstellt, die Sie angeben müssen.

Um Ihren Hauptschlüssel in die Kryptoeinheiten Ihrer Instanz hochzuladen, geben Sie den Befehl auf einem der drei unterstützten Betriebssysteme ein.

Für macOS:

ibmcloud kp crypto-unit master-key import --keyshare-files '["<KEYSHARE_FILE_1>#<PASSWORD1>", "<KEYSHARE_FILE_2>#<PASSWORD2"]' --auth '[{"ADMIN": "<ADMIN_KEY_FILE>#<PASSWORD3>"}]'

Für Windows PowerShell:

ibmcloud kp crypto-unit master-key import --keyshare-files '["""<KEYSHARE_FILE_1>#<PASSWORD1>""","""<KEYSHARE_FILE_2>#<PASSWORD2>"""]' --auth '[{"""ADMIN""": """<ADMIN_KEY_FILE>#<PASSWORD3>"""}]'

Für Windows CMD:

ibmcloud kp crypto-unit master-key import --keyshare-files "[\"<KEYSHARE_FILE_1>#<PASSWORD1>\", \"<KEYSHARE_FILE_2>#<PASSWORD2\"]" --auth "[{\"ADMIN\": \"<ADMIN_KEY_FILE>#<PASSWORD3>\"}]"

Dabei gilt:

• <KEYSHARE_FILE_1>#<PASSWORD1> ist der Speicherort einer der Keyshares, zusammen mit einer Passphrase für die zu erstellende Datei. Die Passphrase ist obligatorisch und muss zwischen 6 und 255 Zeichen lang sein. Lassen Sie #<PASSWORD1> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.
• <KEYSHARE_FILE_2>#<PASSWORD2> ist der Speicherort eines anderen Keyshares, zusammen mit einer Passphrase für die zu erstellende Datei. Die Passphrase ist obligatorisch und muss zwischen 6 und 255 Zeichen lang sein. Lassen Sie #<PASSWORD2> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.
• <ADMIN_KEY_FILE>#<PASSWORD3> ist der Ort, an dem sich Ihr Administrator befindet, und die Passphrase, die Sie zuvor erstellt haben (wenn Sie nicht Ihre eigene Identität mitbringen). Lassen Sie #<PASSWORD3> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.

Nachdem Ihr Hauptschlüssel erstellt wurde, müssen Sie dem Dienst Key Protect die Möglichkeit geben, Aktionen auf Ihren Kryptoeinheiten durchzuführen (z. B. Schlüssel zu erstellen). Beachten Sie, dass der Umfang der Berechtigungen, die „ Key Protect “ gewährt werden, geringer ist als der eines Administrators. Geben Sie den Befehl mit einem der drei unterstützten Betriebssysteme ein.

Für macOS:

ibmcloud kp crypto-unit user add --type kmsCryptoUser --auth '[{"ADMIN": "<ADMIN_KEY_FILE>#<PASSWORD>"}]'

Für Windows PowerShell:

ibmcloud kp crypto-unit user add --type kmsCryptoUser --auth '[{"""ADMIN""": """<ADMIN_KEY_FILE>#<PASSWORD>"""}]'

Für Windows CMD:

ibmcloud kp crypto-unit user add --type kmsCryptoUser --auth "[{\"ADMIN\": \"<ADMIN_KEY_FILE>#<PASSWORD>\"}]"

Dabei gilt:

• <ADMIN_KEY_FILE>#<PASSWORD> ist der Speicherort Ihrer Administrator-Schlüsseldatei und der zuvor generierten Passphrase (wenn Sie nicht Ihre eigene Identität mitbringen). Lassen Sie #<PASSWORD> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.

Dieser Befehl kann auch verwendet werden, um Admins zu Ihren Kryptoeinheiten hinzuzufügen, indem Sie Ihre --type admin erstellen und eine --name und --file hinzufügen, die auf eine Admin-Identität verweisen, die Sie besitzen. Fügen Sie nicht --name oder --file hinzu, wenn Sie kmsCryptoUser hinzufügen. Zum Beispiel:

ibmcloud kp crypto-unit user add --type admin --name <USERNAME> --credential "<USERNAME_KEY_FILE>" --auth '[{"ADMIN": "<ADMIN_KEY_FILE>#<PWD>"}]'

Dabei gilt:

• <USERNAME> ist der Name der Admin-Identität, die Sie hinzufügen.
• <USERNAME_KEY_FILE> ist der Dateipfad des Berechtigungsnachweises, der mit dem neuen Benutzer verknüpft werden soll.
• <ADMIN_KEY_FILE>#<PWD> ist der Speicherort Ihres bestehenden Administrators und dessen Passphrase, die Sie zuvor erstellt haben (wenn Sie nicht Ihre eigene Identität mitbringen). Lassen Sie #<PWD> aus, um zur Eingabe einer Passphrase aufgefordert zu werden.

Fügen Sie nicht --name oder --file hinzu, wenn Sie kmsCryptoUser als Administrator hinzufügen.

Herzlichen Glückwunsch. Ihre Instanz wurde vollständig initialisiert.

Es kann bis zu 5 bis 10 Minuten dauern, bis Sie Ihre Instanz nutzen können.

Nächste Schritte

Nun, da Ihre Instanz erstellt wurde, Sie über Admin-Identitäten verfügen, die für den Betrieb der Instanz verwendet werden können, und Sie Ihren Hauptschlüssel erstellt und Key Protect Zugriff auf Ihre Instanz gewährt haben, können Sie u. a. folgende Aktionen durchführen:

• Erstellen Sie einen Rootschlüssel. Sie können maximal 500 Stamm- oder Standardschlüssel haben, die sich in einem beliebigen Zustand befinden, einschließlich Destroyed.
• Erstellen Sie Schlüsselanhänger. Sie können maximal 50 Schlüsselringe pro Serviceinstanz haben.
• Legen Sie eine Rotationspolitik fest.

Import-Tokens werden von Key Protect Dedicated nicht unterstützt.

Nicht unterstützte Features

• Erstellen von Import-Tokens.
• Sichern Sie den Importschlüssel mit Import-Tokens.
• allowed_network policy.
• Sie können Ihre Instanz an einem anderen Ort als us-south bereitstellen.
• PKCS#11 schlüsselspeicher.
• Ausfallsichere Kryptoeinheiten.

Fehlerbehebung

Installing binary...
FAILED
Unable to obtain plug-in's metadata. Error: exit status 1

FAILED
command failed with error code: e00bad05

Executing operation Generate Master Key against CryptoUnit with ID fadedbee-0000-0000-0000-1234567890ab
OK
Executing operation Generate Master Key against CryptoUnit with ID addedace-0000-0000-0000-1234567890ab
FAILED