Benutzerdefinierte Anwendungen

HPCS-Nutzung durch benutzerdefinierte Anwendungen tritt auf, wenn benutzerdefinierter Code oder ISV-Anwendungen HPCS direkt nutzen.

Die Suche nach der HPCS-Nutzung durch benutzerdefinierte Anwendungen ist eine Aufgabe, die Sie mit Hilfe von HPCS-Aktivitätsverfolgungsereignissen, Codesuche und anderen Methoden durchführen müssen.

Suchen Sie nach der Verwendung der folgenden Begriffe:

• Verweise auf Hostnamen, die Folgendes enthalten hs-crypto
• HPCS-REST-API
• GREP11
• HPCS CLI-Plug-ins

Suchen Sie auch nach der Verwendung von HPCS in der HPCS-Bibliothek PKCS11:

• HPCS PKCS #11

Suchen Sie auch nach der Verwendung durch Client-SDKs:

• Keyprotect-go-Client
• Keyprotect-Python-Client
• Keyprotect-Java-Client
• Keyprotect-Node.js-Client
• Redstone
• hpcs-grep11

Suche nach IAM-Identitäten mit Zugriff auf HPCS, vor allem Dienst-IDs und vertrauenswürdige Profile, sowie weniger verbreitete Benutzeridentitäten. Jede Identität mit Rollen, die auf den HPCS-Dienst, die Instanz, den Schlüsselring oder den Schlüssel beschränkt sind, ist ein deutlicher Hinweis auf eine potenzielle Verwendung durch eine benutzerdefinierte Anwendung.

IBM Cloud Dienstleistungen und Software

Um die Dienste und Software von IBM Cloud zu identifizieren, die HPCS verwenden, gehen Sie wie folgt vor:

1. Beginnen Sie mit dem Key Usage Reporter (KUR)- Das Tool Key Usage Reporter(KUR) ist der empfohlene Startpunkt. Es scannt Ihre IBM Cloud Konten und erstellt einen umfassenden Bericht über Ressourcen, die auf HPCS-Schlüssel verweisen, die nach Dienst und Schlüssel gruppiert sind.

2. Querverweis mit Aktivitätsverfolgung- Überprüfung der HPCS-Aktivitätsverfolgungsereignisse über das größte verfügbare Zeitfenster, um Dienste zu identifizieren, die kryptografische Operationen durchgeführt haben. Das Tool Key Usage Reporter(KUR) kann Protokolldateien zur Aktivitätsverfolgung verarbeiten und unter CSV Zusammenfassungen erstellen, mit deren Hilfe die HPCS-Nutzung ermittelt werden kann.

Prüfung auf das Vorhandensein von CRKs

Verwenden Sie das folgende Bash-Skript, um die Gesamtzahl der CRKs in allen Zuständen für eine HPCS-Instanz zu zählen.

Stellen Sie sicher, dass Sie über die IBM Cloud CLI bei IBM Cloud angemeldet sind.

# count the total number of CRKs in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=0,1,2,3,5&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Ersetzen Sie HPCS_ADDR und HPCS_INSTANCE_ID durch gültige Werte für jede HPCS-Instanz. Sie können den Instanzendpunkt für HPCS und die Instanz-ID in der IBM Cloud UI-Konsole für die jeweilige Instanz finden.

Die Ausgabe ähnelt dem folgenden Beispiel:

Total number of CRKs in all states: 11

Wenn in allen HPCS-Instanzen keine CRKs vorhanden sind, ist eine CRK-Migration nicht erforderlich.

Überprüfen Sie die Anzahl der CRKs im Zustand "Aktiv" (1) und "Deaktiviert" (abgelaufen) (3) mit Hilfe des folgenden Skripts. Nur CRKs im Zustand "Aktiv" (1) oder "Deaktiviert" (abgelaufen) (3) können für kryptografische Operationen wie "Wrap", "Unwrap" und " Rewrap" verwendet werden. Ein CRK im Zustand Deaktiviert (3) unterstützt Abwickeln und Wiedereinwickeln, aber nicht Einwickeln.

# count the total number of CRKs in Active (1) or Deactivated (Expired) (3) states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,3&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in Active (1) or Deactivated (Expired) (3) states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Wenn sich in allen HPCS-Instanzen keine CRKs im Zustand Aktiv (1) oder Deaktiviert (Abgelaufen) (3) befinden, sind keine CRKs für kryptografische Operationen verfügbar. HPCS könnte jedoch noch in Gebrauch sein. Ressourcen oder Anwendungen können noch so konfiguriert sein, dass sie auf CRKs in anderen Zuständen verweisen. Jeder Versuch, kryptographische Operationen mit solchen CRKs durchzuführen, schlägt fehl.

Interpretation der CRK-Zahlen:

Die vollständige CRN von HPCS CRKs erhalten Sie über die IBM Cloud CLI kp keys befehl.

Im folgenden Beispiel werden CRKs in allen Staaten aufgelistet:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type root-key --key-states active,suspended,deactivated,destroyed --number-of-keys 5000

Ersetzen Sie KP_TARGET_ADDR durch gültige Werte für jede HPCS-Instanz. Sie finden den Instanzendpunkt für HPCS in der IBM Cloud UI-Konsole für die jeweilige Instanz.

• Der Befehl listet CRKs in allen Zuständen auf, einschließlich der Zustände Suspended (Deaktiviert) und Destroyed (soft deleted).
• Die aktive kryptografische Verwendung von CRKs in den Zuständen "Suspended" (Deaktiviert) und "Destroyed" (soft deleted) ist nicht erlaubt, aber CRKs in diesen Zuständen können weiterhin von IBM Cloud Ressourcen oder benutzerdefiniertem Code referenziert werden.
• Es ist möglich, CRKs aus den Zuständen Suspended (Deaktiviert) und Destroyed (soft deleted) in den Zustand Active zu versetzen.
• Der Befehl kann bis zu 5000 CRKs auf einmal auflisten. Eine Paginierung könnte erforderlich sein, um alle CRKs aufzulisten.

Migration von Kundenstammschlüsseln (CRKs) in benutzerdefinierten Anwendungen

Benutzerdefinierte Anwendungen können CRKs auf Key Protect Dedicated migrieren, indem sie den Datenverschlüsselungsschlüssel (DEK), der durch HPCS geschützt ist, neu verpacken.

Der Migrationsprozess umfasst die folgenden Schritte:

• Entpacken Sie den Datenverschlüsselungsschlüssel (DEK) von HPCS.
• Wickeln Sie das DEK mit Key Protect ein.
• Generieren Sie einen neuen Wrapped Data Encryption Key (WDEK).
• Verwenden Sie den neuen WDEK für nachfolgende kryptografische Operationen.

In jedem Fall müssen benutzerdefinierte Anwendungen:

• Verwenden Sie einen anderen Endpunkt. Eine Key Protect Dedicated-Instanz hat einen Endpunkt, der für diese Instanz spezifisch ist.
• Verwenden Sie eine andere Schlüssel-ID.
• Verwenden Sie eine IAM-Identität, höchstwahrscheinlich eine Service-ID, die den Zugriff auf Key Protect Dedicated auf der entsprechenden Ebene ermöglicht. Neue IAM-Richtlinien, die auf Key Protect Dedicated ausgerichtet sind, könnten erforderlich sein.

Weitere Informationen über die API Key Protect finden Sie in der API-Referenz Key Protect.

Migration von Kundenstammschlüsseln (CRKs) in IBM Cloud Dienste und Software

Einige IBM Cloud Dienste und IBM Software, die mit HPCS integriert sind, können an einem automatisierten CRK-Migrationsworkflow zu Key Protect Dedicated teilnehmen. Dieser Arbeitsablauf basiert auf Migrationsabsichten und Ereignissen zur Synchronisierung des Lebenszyklus von Schlüsseln und minimiert Unterbrechungen bei gleichzeitiger Wahrung der kryptografischen Kontinuität.

Schritt 4: Migrationsabsicht erstellen

Verwenden Sie das Key Migration Tool(CRKM), um eine Migrationsabsicht auf HPCS_key_1 zu erstellen, die auf den Ziel-CRK KP_D_key_1 verweist. Das CRKM-Tool akzeptiert eine Datei CSV, die Paare von HPCS-CRK-Quell- und Key Protect Dedicated-CRK-CRNs enthält, wodurch es möglich ist, Migrationsabsichten in großen Mengen zu erstellen.

Nachdem die Migrationsabsicht erstellt wurde, sendet HPCS Synchronisierungsereignisse, die die zugehörigen Dienste über die Migrationsanforderung informieren.

Schritt 5: Synchronisierung starten

Bei einigen Diensten (z. B. IBM Cloud Databases, Messages for RabbitMQ, Kubernetes und OpenShift ) müssen einige Minuten nach der Intent-Erstellung explizit weitere Synchronisationsereignisse ausgelöst werden. Verwenden Sie den Sync-Befehl des CRKM-Tools, um diese Ereignisse auszulösen.

Sie können den Befehl sync jederzeit ausführen, um unvollständige Migrationen zu wiederholen.

Schritt 6: Überwachen Sie den Fortschritt der Migration

Verwenden Sie den CRKM-Befehl Status, um den Fortschritt der Migration zu überprüfen. Das Tool meldet die Anzahl der Assoziationen sowohl für den HPCS-Quell-CRK als auch für den Key Protect Dedicated CRK. Als Dienste die Migration abschließen:

• Die Zahl der Vereine auf HPCS_key_1 nimmt ab.
• Die Zahl der Vereine auf KP_D_key_1 steigt.

Bei Event Streams kann die Migration bis zu einem Arbeitstag dauern. Bei anderen Diensten wird die Migration voraussichtlich in weniger als vier Stunden abgeschlossen sein.

Über das Key Migration Tool (CRKM)

Das Key Migration Tool(CRKM) ist ein CLI-Tool, das die folgenden Vorgänge unterstützt:

• Status: Berichtet über den Migrationsfortschritt, indem die Anzahl der Assoziationen für Quell- und Ziel-CRKs über alle CRK-Paare hinweg angezeigt wird.
• Authz-Prüfung: Überprüft, ob die erforderlichen IAM-Autorisierungsrichtlinien für jeden registrierten Dienst vor der Migration vorhanden sind. Berichte über übereinstimmende und fehlende Richtlinien mit umsetzbaren Vorlagen.
• Erstellen: Erzeugt Migrationsabsichten in großen Mengen aus einer CSV Datei mit Quell- und Ziel-CRK-CRN-Paaren.
• Synchronisieren: Löst Synchronisierungsereignisse aus, um die Dienste zur Verarbeitung der Migrationsabsicht zu veranlassen. Kann mehrfach ausgeführt werden, um unvollständige Migrationen zu wiederholen.
• Löschen: Entfernt die Migrationsabsicht von einem oder mehreren Quellschlüsseln.

Das CRKM-Tool ist für die automatisierte CRK-Migration erforderlich und arbeitet mit dem KUR-Tool zusammen, das für die Erkennung und Berichterstattung zuständig ist.

Prüfen auf Vorhandensein von Standardschlüsseln

Verwenden Sie das folgende Bash-Skript, um die Gesamtzahl der Standardschlüssel in allen gültigen Standardschlüsselzuständen in jeder HPCS-Instanz zu zählen.

Stellen Sie sicher, dass Sie über die IBM Cloud CLI bei IBM Cloud angemeldet sind.

# count the total number of Standard keys in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Ersetzen Sie HPCS_ADDR und HPCS_INSTANCE_ID durch gültige Werte für jede HPCS-Instanz. Sie können den Instanzendpunkt für HPCS und die Instanz-ID in der IBM Cloud UI-Konsole für die jeweilige Instanz finden.

Die Ausgabe ähnelt dem folgenden Beispiel:

Total number of Standard keys in all states: 4

Wenn die Ausgabe eine leere Zeile ist, melden Sie sich erneut über die IBM Cloud CLI bei IBM Cloud an.

Wenn in allen HPCS-Instanzen keine Standardschlüssel vorhanden sind, ist eine Migration der Standardschlüssel nicht erforderlich.

Überprüfen Sie die Anzahl der Standardschlüssel im Zustand "Zerstört" (5) mit dem folgenden Skript.

# count the total number of Standard keys in Destroyed (5) state.
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in Destroyed (5) state: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Wenn sich alle Standardtasten im Zustand Zerstört (5) (soft deleted) befinden, ist nicht gewährleistet, dass sie nicht verwendet werden. Eine IBM Cloud-Ressource oder eine benutzerdefinierte Anwendung kann immer noch auf den Schlüssel verweisen. In diesem Fall ist zu erwarten, dass der Vorgang beim nächsten Versuch, Schlüsselmaterial abzurufen, fehlschlägt.

Standardschlüssel können nur im Zustand Aktiv (1) oder Zerstört (5) existieren. Andere Schlüsselstaaten gelten nur für CRKs.

Sie können die vollständige CRN von HPCS-Standardschlüsseln über IBM Cloud CLI kp keys befehl abrufen.

Das folgende Beispiel listet die möglichen Zustände der Standardschlüssel auf:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type standard-key --key-states active,destroyed --number-of-keys 5000

Ersetzen Sie KP_TARGET_ADDR durch gültige Werte für jede HPCS-Instanz. Sie finden den Instanzendpunkt für HPCS in der IBM Cloud UI-Konsole für die jeweilige Instanz.

• Der Befehl kann bis zu 5000 Standardschlüssel auf einmal auflisten. Um alle Standardschlüssel aufzulisten, kann eine Paginierung erforderlich sein.

keysvrmgr show -t hpcs
hdcryptmgr showlv <lvname> -v
hdcryptmgr showpv <pvname> -v

Validieren Sie, dass HPCS nicht mehr verwendet wird

Überprüfen Sie nach der Migration die HPCS-Aktivitätsverfolgungsereignisse, um sicherzustellen, dass keine Operationen gegen HPCS-Instanzen durchgeführt werden.

Überprüfen Sie die Ereignisse über das größte verfügbare Aufbewahrungsfenster.

Wenn die Ereignisse der Aktivitätsüberwachung auf eine fortgesetzte Nutzung hindeuten:

1. Identifizieren Sie den Dienst oder die Arbeitslast, der/die für die Nutzung verantwortlich ist.
2. Überprüfen Sie anhand der Migrationsabsicht, ob die Ressource die CRK-Migration unterstützt.
3. Schließen Sie die Migration für diese Verwendung ab oder versuchen Sie es erneut, bevor Sie fortfahren.

Das Fehlen von Ereignissen der Aktivitätsverfolgung ist kein schlüssiger Beweis dafür, dass keine Nutzung vorliegt. Einige Dienste und benutzerdefinierte Anwendungen verwenden Schlüssel nur selten oder nur bei Lebenszyklusereignissen wie Neustart, Wiederherstellung oder Failover.

Schrittweise Deaktivierung migrierter HPCS CRKs

Wenn Sie sicher sind, dass bestimmte HPCS CRKs nicht mehr benötigt werden, können Sie diese CRKs deaktivieren.

Es wird empfohlen, CRKs vor dem Löschen zu deaktivieren, weil:

• Alle verbleibenden kryptografischen Operationen schlagen sofort mit einem eindeutigen Fehler fehl.
• Deaktivierte Schlüssel können schnell wieder aktiviert werden, wenn unerwartete Abhängigkeiten entdeckt werden.
• Während der Validierung ist ein sicherer Rollback-Mechanismus vorgesehen.

Ein empfohlener Meilenstein ist die Sicherstellung, dass alle HPCS CRKs, die erfolgreich migriert wurden, sich im Zustand "Disabled" befinden.

CRKs im Status "Deaktiviert" können jederzeit wieder aktiviert werden und blockieren nicht dauerhaft die Abhilfe.

Abschließende Meilensteine und Überlegungen zur Stilllegung

Das Löschen von HPCS CRKs und Standardschlüsseln ist technisch möglich. Bei der Löschung ist jedoch Vorsicht geboten:

• Gelöschte Schlüssel können nur für einen begrenzten Zeitraum nach dem Löschen wiederhergestellt werden.
• Nach Ablauf des Wiederherstellungsfensters ist die Löschung endgültig.
• Die Wiederherstellung wird immer schwieriger, je mehr Zeit vergeht und je höher die Arbeitslast ist.

Aus diesen Gründen ist es nicht erforderlich, HPCS-Schlüssel im Rahmen der Migration zu löschen.

Ein konservativer und empfohlener Ansatz ist:

1. Lassen Sie HPCS-Instanzen und CRKs deaktiviert.
2. Sie dürfen nach der Validierung nicht wieder aktiviert oder geändert werden.

Dieser Ansatz minimiert das Risiko und stellt gleichzeitig sicher, dass die kryptografische Migration erfolgreich abgeschlossen wird.

Ihre Zuständigkeiten

Sie sind verantwortlich für:

• Überprüfung, ob alle HPCS-Nutzungen gestoppt wurden
• Validierung des Anwendungs- und Dienstverhaltens nach der Migration

Fahren Sie mit den Stilllegungsarbeiten erst dann fort, wenn Sie sicher sind, dass HPCS nicht mehr für die Arbeit benötigt wird.