Verwendung von virtuellen privaten Endpunkten (VPEs)

Erstellen und verwalten Sie Key Protect Ressourcen auf den virtuellen privaten Endpunkten (VPEs) von IBM Cloud, indem Sie einen privaten Service-Endpunkt anvisieren.

Ab dem 11. Januar 2024 ist es möglich, über die Benutzeroberfläche der Steuerungsebene Key Protect auf VPEs zuzugreifen, sodass Benutzer Schlüssel für Instanzen über einen privaten Endpunkt erstellen und verwalten können. Ebenso können Schlüssel, die mit der CLI oder dem SDK oder einer verwandten Methode erstellt wurden, jetzt über die Benutzeroberfläche angezeigt und aktualisiert werden.

Um loszulegen, aktivieren Sie virtuelles Routing und Weiterleitung(VRF)und Service-Endpunkte für Ihr Infrastrukturkonto. Nach der Aktivierung von VRF für Ihr Konto können Sie mit einer privaten IP eine Verbindung zu Key Protect herstellen, auf die nur über das private IBM Cloud-Netz zugegriffen werden kann. Weitere Informationen zu privaten Verbindungen finden Sie unter IBM Cloud, siehe Serviceendpunkte für private Verbindungen.

Vorbereitende Schritte

Bevor Sie ein VPE für Key Protect:

  1. Stellen Sie sicher, dass Ihr IBM Cloud Infrastrukturkonto aktiviert ist für virtuelles Routing und Weiterleitung(VRF) aktiviert ist.

    Wenn Sie VRF aktivieren, wird für Ihr Konto eine separate Routing-Tabelle erstellt, und die Verbindungen zu und von den Ressourcen Ihres Kontos werden separat im IBM Cloud-Netz weitergeleitet. Weitere Informationen über die VRF technologie zu erfahren, siehe Virtuelles Routing und Weiterleitung auf IBM Cloud.

    Die Aktivierung von VRF ändert den Netzbetrieb für Ihr Konto dauerhaft. Stellen Sie sicher, dass Sie die Auswirkungen auf Ihr Konto und Ihre Ressourcen verstehen. Nachdem Sie VRF aktiviert haben, kann die Funktion nicht mehr inaktiviert werden.

  2. Stellen Sie sicher, dass Ihr IBM Cloud Infrastrukturkonto aktiviert ist für VPEs.

    Nachdem Sie VRF und VPE für Ihr Konto aktiviert haben, werden alle bestehenden und zukünftigen Key Protect Ressourcen und instanzen sowohl von den öffentlichen Endpunkten als auch von den VPEs zur Verfügung.

Die VPE-Einstellungen, insbesondere die IP-Adresse ( Internet Protocol ), müssen bei Disaster Recovery- und Business Continuity-Aktionen möglicherweise manuell aktualisiert werden.

Schritt 1. Konfigurieren Sie die IBM Cloud VPE auf Ihrem virtuellen Server

Bereiten Sie Ihre VSI oder Testmaschine vor, indem Sie Ihre Routing-Tabelle für das IBM Cloud VPE.

  1. So leiten Sie den Datenverkehr an den IBM Cloud VPE weiter, führen Sie den folgenden Befehl auf Ihrem VSI aus:

    route add -net 166.9.0.0/16 gw <gateway> dev <gateway_interface>

    Ersetzen Sie <gateway> (zum Beispiel 10.x.x.x) und <gateway_interface> (zum Beispiel eth10) mit den entsprechenden Werten.

  2. Optional: Stellen Sie sicher, dass die Route erfolgreich hinzugefügt wurde, indem Sie Ihre neue Routing-Tabelle anzeigen.

    route -n

Schritt 2. Ziel der Key Protect VPE

Nachdem Sie Ihren VSI so konfiguriert haben, dass er IBM Cloud über ein VPE akzeptiert, können Sie das VPE für Key Protect mit der Key Protect-API oder dem Key Protect-CLI-Plug-in verfügbar sind.

  1. Melden Sie sich in einem Terminalfenster bei IBM Cloud an.

    ibmcloud login

    Wenn die Anmeldung fehlschlägt, führen Sie den Befehl ibmcloud login --sso aus, um es erneut zu versuchen. Der --sso ist erforderlich, wenn Sie sich mit einer föderierten ID anmelden. Wenn diese Option verwendet wird, rufen Sie den Link auf, der in der Ausgabe der Befehlszeilenschnittstelle aufgelistet ist, um einen einmalig verwendbaren Kenncode zu generieren.

  2. Stellen Sie sicher, dass Ihr Konto für VRF und Serviceendpunkte aktiviert wurde.

    ibmcloud account show

    Die folgende CLI-Ausgabe zeigt die Kontodetails eines VRF- und serviceendpunktfähigenKontos an.

    Retrieving account John Doe's Account of john.doe@email.com...
OK

Account ID:                   d154dfbd0bc2edefthyufffc9b5ca318
Currently Targeted Account:   true
Linked Softlayer Account:     1008967
VRF Enabled:                  true
Service Endpoint Enabled:     true

    Siehe Aktivieren von VRF und Service-Endpunkten um zu erfahren, wie Sie Ihr Konto für die Verbindung mit einem VPE einrichten.

  3. Legen Sie eine Umgebungsvariable fest, um einen Key Protect VPE.

    export KP_PRIVATE_ADDR=https://private.<region>.kms.cloud.ibm.com

    Ersetzen Sie <region> durch die Abkürzung der Region, die den geografischen Bereich darstellt, in dem sich Ihre Key Protect- Instanz befindet. Die vollständige Liste der Endpunkte finden Sie unter Regionen und Endpunkte.

Schritt 3. Erstellen einer Ressource Key Protect auf dem VPE

Testen Sie Ihre VPE-Verbindung, indem Sie den Key Protect-CLI-Plug-in.

  1. Erstellen Sie einen Root-Schlüssel durch den VPE anvisieren.

    ibmcloud kp key create <key_name> -i <instance_ID>

    Ersetzen Sie <key_name> durch einen lesbaren Aliasnamen zur einfachen Identifikation Ihres Schlüssels. Ersetzen Sie <instance_ID> durch die IBM Cloud- Instanz-ID, die Ihre Key Protect-Instanz verhindert.

  2. Optional: Bestätigen Sie, dass der Schlüssel erfolgreich erstellt wurde, indem Sie die in Ihrem Key Protect verfügbaren Schlüssel auflisten Instanz. 

    ibmcloud kp keys -i <instance_ID>

    Ersetzen Sie <instance_ID> durch die IBM Cloud-Instanz-ID, die Ihre Key Protect- Instanz.

Nächste Schritte

Sie sind jetzt bereit für die Interaktion mit Key Protect über ein VPE.