Bewährte Verfahren für die Verwendung von Key Protect

Die beste Methode für die Verwendung von Key Protect hängt letztlich von den Anforderungen Ihres Anwendungsfalls ab. Es gibt jedoch eine Reihe von Best Practices, die für berücksichtigt werden müssen, die spezifisch für Key Protectsind. Diese Empfehlungen sind zusätzlich zu den allgemeinen Best Practices, die bei der Verwendung von IBM Cloud-oder IBM Cloud Object Storage-Services beachtet werden sollten.

Verwendung eines sicheren Backups

Wenn Sie einen Stammschlüssel in Key Protectimportieren, werden Sie aufgefordert, eine sichere Sicherung des Schlüsselmaterials beizubehalten. Mit diesem Schlüsselmaterial können Sie einen gleichwertigen Schlüssel für den Fall generieren, dass Sie Ihren Schlüssel beispielsweise versehentlich löschen. Gelöschte Schlüssel können innerhalb von 30 Tagen wiederhergestellt werden, wenn sie gelöscht werden. Wenn jedoch 30 Tage vergangen sind, können Sie gespeicherte Schlüsselmaterialien verwenden, um einen funktional identischen Schlüssel zu erstellen (z. B. können Sie Datenverschlüsselungsschlüssel, die durch den gelöschten Rootschlüssel erstellt wurden, abwickeln). Sie müssen Ihre Anwendung aktualisieren, um die eindeutige Schlüssel-ID für diesen funktional identischen Schlüssel zu verwenden und den Endpunkt zu ändern (wenn der neue Schlüssel in einer anderen Region erstellt wird).

Da jeder Schlüssel, der dasselbe Material bei der Schlüsselerstellung verwendet, funktional gleichwertig ist, sollten Sie Ihr gesichertes Schlüsselmaterial sicher aufbewahren.

In ähnlicher Weise können Sie Ihre Rootschlüssel auch sicher sichern, indem Sie das Schlüsselmaterial verwenden, um einen doppelten Schlüssel in einem Key Protect -Bereich zu erstellen, der sich von dem ursprünglichen Schlüssel unterscheidet.

Jedes Mal, wenn ein Rootschlüssel gedreht wird, wird dem Schlüssel neues Schlüsselmaterial hinzugefügt, wodurch eine neue Version des Schlüssels entsteht. Daher sollten Ihre äquivalenten Schlüssel ( Duplikat-Schlüssel, die mit demselben Schlüsselmaterial erstellt wurden) mit dem neuen Material auf dem neuesten Stand gehalten werden.

Verwendung von Schlüssel-Aliasnamen mit duplizierten Schlüsseln

Da die mit demselben Material erstellten Schlüssel funktional identisch sind (d. h. beide können zum Einpacken und Auspacken derselben Daten verwendet werden), haben die Benutzer die Möglichkeit, diese Schlüssel in verschiedenen Regionen zu erstellen und sie als Backup zu verwenden, falls ein Rechenzentrum vorübergehend nicht verfügbar ist. Während diese Duplikate unterschiedliche Schlüssel-IDs haben, können sie den gleichen Schlüsselaliaserhalten. Dieser Aliasname kann dazu dienen, funktionell identische Schlüssel zusammen zu organisieren, was es einfacher macht, eine Anwendung zu aktualisieren, um auf diese Sicherungsschlüssel zu verweisen.

Schlüsselringe verwenden

Schlüsselringe sind eine Möglichkeit, eine Gruppe von Schlüsseln für eine Zielgruppe von Benutzern zu erstellen, für die dieselben IAM-Zugriffsberechtigungen erforderlich sind. Auf diese Weise kann ein Account-Administrator die Schlüssel, die er besitzt, leicht an die Benutzer anpassen, die sie verwalten, und ist daher weniger fehleranfällig als die manuelle Aktualisierung der Berechtigungen für jeden Schlüssel und Benutzer.

Schlüssel rotieren

Sie sollten Ihre Rootschlüssel drehen (d. h. um eine neue Version des Schlüssels zu erstellen), die regelmäßig erstellt werden soll. Regelmäßige Rotationen verringern die so genannte "Kryptoperiode" des Schlüssels und können auch in besonderen Fällen wie Personalwechsel, Prozessstörungen oder der Entdeckung eines Sicherheitsproblems eingesetzt werden.

Root-Schlüssel können manuell oder, wenn der Schlüssel mit Key Protecterstellt wurde, in einem Zeitplan, der vom Eigner des Schlüssels festgelegt wurde, gedreht werden. Die Option, die Sie auswählen , hängt von Ihren Vorgaben und den Anforderungen Ihres Anwendungsfalls ab.

Weitere Informationen zum Drehen von Schlüsseln finden Sie im Abschnitt Verschlüsselungsschlüssel in der Cloud speichern.

Eigenes Schlüsselmaterial erstellen

Zwar ist es vergleichsweise einfach, Base64-encode Schlüsselmaterial, doch ist es wichtig, bei der Erstellung Ihres eigenen Schlüsselmaterials die NIST-Richtlinien zu befolgen. Unsachgemäß erstelltes Schlüsselmaterial kann Ihre Schlüssel anfälliger für eine Manipulation machen. Wenn Sie sich nicht sicher fühlen, das geeignete Schlüsselmaterial selbst zu erstellen, ist es das beste Verfahren, Key Protect Ihr Schlüsselmaterial für Sie im Rahmen des Schlüsselerstellungsprozesses erstellen zu lassen, der sich an die neuesten NIST-Richtlinien anschließt.

Da dieses Schlüsselmaterial verwendet werden kann, um einen funktional doppelten Schlüssel zu erstellen, ob Sie das Schlüsselmaterial selbst erstellt oder einen Key Protect erstellten Schlüssel exportiert haben, stellen Sie sicher, dass Sie dieses Schlüsselmaterial sicher halten.