Ubicaciones, arrendamiento y disponibilidad

Key Protect es un servicio regional multiarrendatario.

Puede crear recursos de Key Protect en una de las regiones de IBM Cloud admitidas, que representan la zona geográfica donde se gestionan y se procesan sus solicitudes de Key Protect. Cada región de IBM Cloud contiene varias zonas de disponibilidad para satisfacer los requisitos de acceso local, baja latencia y seguridad de la región.

Hay tres regiones, us-south (ubicada en Dallas, Texas, Estados Unidos), jp-tok (ubicada en Tokio, Japón) y eu-de (ubicada en Fráncfort, Alemania), donde Key Protect tiene soporte de conmutación por error en una región separada donde los datos se replican en una infraestructura en espera si selecciona el plan de precios de resiliencia entre regiones. La región us-south tiene datos replicados en la región us-east (ubicada en Washington DC, Estados Unidos), la región jp-tok tiene datos replicados en la región jp-osa (ubicada en Osaka, Japón), y la región eu-de tiene datos replicados en un centro de datos en la región de París. Esto significa que si se interrumpe el servicio en us-south, jp-tok, o eu-de, las peticiones a Key Protect en esas regiones se dirigen a la región en la que ya se han replicado los datos.

Tenga en cuenta que la infraestructura de reserva en la región con soporte de conmutación por error está completamente separada del servicio de Key Protect disponible en esa región, y que la conmutación por error solo va en una dirección y de manera activa-pasiva, donde los servidores en la región cruzada solo procesan solicitudes si la región principal está inactiva. Sus datos en us-east, por ejemplo, no se replican actualmente en us-south.

El objetivo de punto de recuperación (RPO) y el objetivo de tiempo de recuperación (RTO) para Key Protect son, respectivamente, de menos de una hora y menos de nueve horas (para un fallo regional).

Dado que las solicitudes se direccionan automáticamente, puede continuar llamando al punto final original. Inicialmente, las operaciones de sólo lectura son las únicas que estarán disponibles. Sin embargo, si hay motivos para creer que la interrupción durará un período prolongado, las operaciones de escritura se habilitarán tan pronto como sea posible. De lo contrario, las operaciones de sólo lectura serán las únicas disponibles durante un máximo de seis horas antes de que se habiliten las operaciones de escritura.

Al planificar la estrategia de cifrado con IBM Cloud, recuerde que el suministro de Key Protect en una región que está más cerca de usted tiene más probabilidades de generar conexiones más rápidas y fiables cuando interactúa con las API de Key Protect. Además, los requisitos normativos pueden influir en qué región o regiones deben utilizarse. Tenga en cuenta que Key Protect no restringe el uso de claves en regiones y ubicaciones geográficas. Por ejemplo, un usuario puede utilizar claves de us-south para cifrar el almacenamiento en Frankfurt. Seleccione la región que sea mejor para su caso de uso general.

Alta disponibilidad a nivel de aplicación

Si importa una clave raíz en Key Protect, se recomienda que mantenga una copia de seguridad segura del material de la clave para que pueda restaurar la clave raíz si se suprime accidentalmente y ha transcurrido el periodo de gracia de 30 días para restaurar una clave suprimida. En otras palabras, en un plazo de 30 días, Key Protect permite a los clientes restaurar una clave suprimida sin tener que utilizar una copia de seguridad.

Debido a que dos claves creadas utilizando el mismo material de la clave son efectivamente idénticas (ambas pueden desenvolver cualquier clave de cifrado de datos (DEK) creada por cualquiera de las claves raíz), es posible realizar una copia de seguridad de las claves raíz de forma segura creando una clave duplicada para cada clave raíz importada dentro de la instancia. Cada clave duplicada debe crearse en una región de Key Protect que sea distinta de la clave original, lo que significa que el key_id y el ID de instancia de servicio de las claves serán diferentes. Por lo tanto, la aplicación podrá utilizar cualquiera de las dos claves, siempre que conozca los ID y puntos finales relevantes de ambas claves.

Tenga en cuenta que cada vez que se rota una clave raíz, se añade nuevo material de clave a la clave, lo que crea una nueva versión de la clave. Por lo tanto, asegúrese de utilizar este material de la clave actualizado al rotar las claves duplicadas.

Las aplicaciones que se comunican a través de redes están sujetas a errores transitorios. Debe diseñar la aplicación para que interactúe con Key Protect utilizando técnicas modernas de resiliencia, por ejemplo un retroceso exponencial que reintenta solicitudes con retrasos exponencialmente crecientes entre cada solicitud.

const maxRetries = 3
attempt := 1
delay := time.Second * 1
var ok bool
for !ok && attempt <= maxRetries {
    ok = makeRequest()
    if !ok {
        time.Sleep(delay)
        delay = delay * 2
        attempt += 1
    }
}

Recuperación tras desastre

Key Protect sigue los requisitos de IBM Cloud para la planificación y recuperación de sucesos de desastre.

Es posible que los valores de punto final privado, específicamente la dirección IP (Internet Protocol), deban actualizarse manualmente durante las acciones de recuperación tras desastre y continuidad de negocio.

Para obtener más información sobre las responsabilidades que usted y IBM comparten en el mantenimiento de sus claves y cargas de trabajo, consulte Descripción de sus responsabilidades con el uso de Key Protect.