Erstellen eines Adapters

Es können maximal 200 Adapter auf einer einzigen Instanz erstellt werden. Jedem Adapter können bis zu 200 Zertifikate zugeordnet werden.

KMIP-Adapter werden mit Key Protect-Root-Schlüsseln erstellt. Wenn Sie keinen Stammschlüssel haben, erstellen Sie einen.

So erstellen Sie einen Adapter:

1. Navigieren Sie über die linke Navigation zum Bereich KMIP-Adapter. Wenn dies Ihr erster Adapter ist, sollte die Tabelle leer sein. Beachten Sie, dass Sie entweder die Manager Rolle oder die KmipAdapterManager Rolle auf der Instanz haben müssen, um einen Adapter zu erstellen.

2. Suchen Sie die Schaltfläche Adapter erstellen und klicken Sie sie an.

3. Geben Sie dem Adapter in der offenen Seitenleiste einen Namen und optional eine Beschreibung. Beachten Sie, dass die Namen mindestens zwei und höchstens 40 Zeichen enthalten müssen. Wenn Sie eine Beschreibung angeben, muss diese mindestens zwei und darf höchstens 240 Zeichen umfassen. Danach können Sie den Root-Schlüssel auswählen, den Sie zur Erstellung dieses Adapters und zur Verschlüsselung der von ihm erstellten KMIP-Schlüssel verwenden möchten. Die Wahl eines Stammschlüssels ist obligatorisch. Beachten Sie, dass Ihr Root-Schlüssel in einem active Zustand sein muss, damit Ihr Adapter korrekt funktioniert.

4. Das Hinzufügen eines öffentlichen TLS-Zertifikats ermöglicht dem Inhaber des entsprechenden privaten Zertifikats die Kommunikation mit Key Protect über seinen zugehörigen KMIP-Adapter. Nur Zertifikate, die unter einem KMIP-Adapter autorisiert sind, dürfen KMIP-Protokollanforderungen an Ihre Instanz stellen. Beachten Sie, dass auf Ressourcen, die über das KMIP-Protokoll verwaltet werden, nicht über die HTTP-API zugegriffen werden kann.

   Während der Erstellung des Adapters müssen Sie keine Zertifikate hinzufügen, aber wenn Sie wissen, welche Zertifikate Sie hinzufügen möchten, können Sie dies tun, indem Sie auf die Registerkarte Zertifikate hinzufügen (optional) im Panel klicken. Klicken Sie auf dem folgenden Bildschirm auf die Schaltfläche Zertifikat hochladen, geben Sie dem Zertifikat einen Namen und geben Sie den Inhalt des Zertifikats ein (das Material muss im PEM-Format vorliegen und die Tags BEGIN CERTIFICATE und END CERTIFICATE enthalten). Beachten Sie, dass es ein paar Minuten dauern kann, bis das Zertifikat zugeordnet wird. Außerdem kann ein Zertifikat nur mit einem einzigen Adapter in einer Key Protect-Region verbunden werden.

Bewahren Sie den privaten Schlüssel aller hochgeladenen Zertifikate sicher auf, da jedes Zertifikat, das in einen KMIP-Adapter hochgeladen wird, die Fähigkeit hat, alle unterstützten KMIP-Operationen durchzuführen.

Anzeigen und Aktualisieren von Adapterdetails

Das Adapter-Detail-Panel ermöglicht es Ihnen, mehr über einen Adapter zu erfahren (z.B. durch seine Beschreibung) und erlaubt Ihnen auch, Aktionen wie das Hinzufügen von Zertifikaten durchzuführen.

Zur Anzeige der Adapterdetails klicken Sie auf das Symbol ⋯. Hier werden alle Details des Adapters angezeigt. Hier sehen Sie seinen Namen, seine Beschreibung, alle mit dem Adapter verbundenen symmetrischen KMIP-Schlüssel und die Zertifikate, die auf den Adapter hochgeladen wurden. Hier können Sie auch weitere Zertifikate hochladen, wenn Sie dies wünschen.

Symmetrische KMIP-Schlüssel können nicht über die Benutzeroberfläche gelöscht werden. Um Schlüssel zu löschen, müssen Sie die CLI verwenden. Es können nur symmetrische KMIP-Schlüssel gelöscht werden, die sich in einem anderen Zustand als Active (Zustand 1) befinden. Ein Adapter kann nicht gelöscht werden, wenn er Schlüssel enthält, die sich im Zustand Active befinden.

Die Ressourcen jedes Adapters sind mit einem CRK geschützt. Sie können keinen CRK löschen, der aktiv und mit einem Adapter verbunden ist.

Jeder erstellte symmetrische KMIP-Schlüssel zählt als eine einzelne Schlüsselversion und verursacht eine Gebühr für eine Schlüsselversion. Wenn Sie einen symmetrischen KMIP-Schlüssel löschen möchten, können Sie dies nur über die API, die CLI oder das SDK tun. Sie können die Benutzeroberfläche nicht verwenden. Beachten Sie, dass die Löschung einer KMIP-Symmetrie dauerhaft ist.

Erstellen und Verwenden von KMIP-Adaptern in der API

Hier wird die Verwendung von KMIP-Adaptern des Profils native_1.0 unter Verwendung der API, das Hinzufügen und Entfernen von KMIP-Client-Zertifikaten aus dem Adapter und das Anzeigen und Löschen von KMIP-Objekten, die mit dem Adapter verbunden sind, erläutert.

Sie können einen KMIP-Adapter erstellen, indem Sie einen POST-Aufruf an den folgenden Endpunkt tätigen.

https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters

Operationen auf KMIP-Adapter-Subressourcen, einschließlich KMIP-Client-Zertifikaten und KMIP-Objekten, finden an den folgenden Endpunkten statt:

https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>/certificates
https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>/kmip_objects

1. Rufen Sie die Authentifizierungsnachweise ab, um mit Schlüsseln im Service zu arbeiten.

2. Kopieren Sie die ID des Root-Schlüssels, den Sie zum Erstellen Ihres KMIP-Adapters verwenden wollen.

   Sie können die ID für einen Schlüssel in Ihrer Key Protect-Instanz finden, indem Sie eine Liste Ihrer Schlüssel abrufen oder auf das Key Protect- Armaturenbrett.

3. Erstellen Sie einen KMIP-Adapter mit dem folgenden curl Befehl:

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.kmip_adapter+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                   "name": "<adapter_name>",
                   "description": "<adapter_description>",
                   "profile": "native_1.0",
                   "profile_data": {
                       "crk_id": "<root_keyID_or_alias>"
                   }
                   }
               ]
           }'
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

4. Optional: Sie können die KMIP-Adapter, die in einer Instanz vorhanden sind, mit dem folgenden curl-Befehl auflisten:

   $ curl -X GET \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Sie können auch einen bestimmten KMIP-Adapter abrufen, indem Sie den folgenden curl Befehl verwenden:

   $ curl -X GET \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Beachten Sie, dass Sie entweder die UUID des Adapters oder den Namen des Adapters verwenden können, um einen bestimmten Adapter zu erhalten.

5. Sie können einen KMIP-Adapter mit dem folgenden curl Befehl löschen:

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Sie können den KMIP-Adapter nur löschen, wenn alle KMIP-Objekte unter dem Adapter gelöscht werden.