Aplicaciones personalizadas

El uso de HPCS por parte de aplicaciones personalizadas se produce cuando el código personalizado o las aplicaciones ISV hacen un uso directo de HPCS.

Buscar el uso de HPCS por parte de aplicaciones personalizadas es una tarea que debe realizar con la ayuda de eventos de seguimiento de actividad de HPCS, búsqueda de código y otros métodos.

Buscar el uso de lo siguiente:

• Referencias a nombres de host que contienen hs-crypto
• API REST HPCS
• GREP11
• Complementos HPCS CLI

También puede buscar el uso de HPCS en la biblioteca HPCS PKCS11:

• HPCS PKCS #11

Además, busca el uso a través de SDKs de cliente:

• Keyprotect-go-client
• Keyprotect-python-client
• Keyprotect-java-client
• Keyprotect-nodejs-client
• redstone
• hpcs-grep11

Buscar identidades IAM con acceso a HPCS, en su mayoría ID de servicio y perfiles de confianza, e identidades de usuario menos comunes. Cualquier identidad con funciones asignadas al servicio HPCS, instancia, llavero o llave es un claro indicador del posible uso de aplicaciones personalizadas.

IBM Cloud servicios y software

Para identificar los servicios y el software de IBM Cloud que utilizan HPCS, siga este enfoque recomendado:

1. Comience con el Key Usage Reporter (KUR)- La herramienta Key Usage Reporter(KUR) es el punto de partida recomendado. Analiza sus cuentas de IBM Cloud y genera un informe completo de los recursos que hacen referencia a claves HPCS, que se agrupan por servicio y clave.

2. Referencia cruzada con el seguimiento de actividades: revise los eventos de seguimiento de actividades HPCS durante la mayor ventana de tiempo disponible para identificar los servicios que realizaron operaciones criptográficas. La herramienta Key Usage Reporter(KUR ) puede procesar archivos de registro de auditoría de seguimiento de actividad, produciendo resúmenes CSV que ayudan a identificar la utilización de HPCS.

Comprobación de la existencia de CRKs

Utilice el siguiente script Bash para contar el número total de CRKs en todos los estados para una instancia HPCS.

Asegúrese de que ha iniciado sesión en IBM Cloud a través de la CLI de IBM Cloud.

# count the total number of CRKs in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=0,1,2,3,5&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Sustituya HPCS_ADDR y HPCS_INSTANCE_ID por valores válidos para cada instancia HPCS. Puede encontrar el endpoint de instancia para HPCS y el ID de instancia en la consola IBM Cloud UI para la instancia específica.

La salida se parece a la del siguiente ejemplo:

Total number of CRKs in all states: 11

Si no existen CRKs en todas las instancias HPCS, no es necesaria la migración de CRKs.

Compruebe el recuento de CRKs en los estados Activo (1) y Desactivado (Caducado) (3) utilizando el siguiente script. Sólo los CRK en los estados Activo (1) o Desactivado (Caducado) (3) pueden utilizarse para operaciones criptográficas como envolver, desenvolver y volver a envolver. Un CRK en Desactivado (3) admite desenvolver y reenvolver pero no envolver.

# count the total number of CRKs in Active (1) or Deactivated (Expired) (3) states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,3&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in Active (1) or Deactivated (Expired) (3) states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Si no existen CRK en los estados Activo (1) o Desactivado (Caducado) (3) en todas las instancias HPCS, no hay CRK disponibles para operaciones criptográficas. Sin embargo, el HPCS podría seguir utilizándose. Es posible que los recursos o las aplicaciones sigan estando configurados para hacer referencia a CRK en otros estados. Cualquier intento de realizar operaciones criptográficas con tales CRKs falla.

Interpretación de los recuentos de CRK:

Puede obtener el CRN completo de HPCS CRKs utilizando la CLI IBM Cloud kp keys comando.

El siguiente ejemplo enumera los CRK en todos los estados:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type root-key --key-states active,suspended,deactivated,destroyed --number-of-keys 5000

Sustituya KP_TARGET_ADDR por valores válidos para cada instancia HPCS. Puede encontrar el punto final de instancia para HPCS en la consola IBM Cloud UI para la instancia específica.

• El comando enumera los CRK en todos los estados, incluidos los estados Suspendido (Desactivado) y Destruido (borrado suave).
• No se permite el uso criptográfico activo de CRKs en estado Suspendido (Deshabilitado) y Destruido (borrado suave), pero los CRKs en esos estados aún pueden ser referenciados por recursos de IBM Cloud o código personalizado.
• Es posible mover CRKs de los estados Suspendido (Desactivado) y Destruido (borrado suave) al estado Activo.
• El comando puede listar hasta 5000 CRKs a la vez. Podría ser necesaria la paginación para listar todos los CRK.

Migración de claves raíz de cliente (CRK) en aplicaciones personalizadas

Las aplicaciones personalizadas pueden migrar las CRK a Key Protect Dedicated volviendo a envolver la clave de cifrado de datos (DEK) que está protegida por HPCS.

El proceso de migración consta de los siguientes pasos:

• Desenvuelve la clave de cifrado de datos (DEK) de HPCS.
• Envolver el DEK con Key Protect Dedicated.
• Generar una nueva clave de cifrado de datos envueltos (WDEK).
• Utilice el nuevo WDEK para las operaciones criptográficas posteriores.

En todos los casos, las aplicaciones personalizadas deben:

• Utilice un punto final diferente. Una instancia de Key Protect Dedicated tiene un punto final específico para esa instancia.
• Utiliza un ID de clave diferente.
• Utilice una identidad IAM, probablemente un ID de servicio, que permita el acceso a Key Protect Dedicated en el nivel adecuado. Podrían ser necesarias nuevas políticas IAM dirigidas a Key Protect Dedicated.

Para obtener más información sobre la API Key Protect, consulte la referencia de la API Key Protect.

Migración de las claves raíz de cliente (CRK) en los servicios y programas IBM Cloud

Algunos servicios de IBM Cloud y software de IBM que se integran con HPCS pueden participar en un flujo de trabajo automatizado de migración de CRK a Key Protect Dedicated. Este flujo de trabajo se basa en intenciones de migración y eventos de sincronización del ciclo de vida de las claves, y minimiza las interrupciones al tiempo que preserva la continuidad criptográfica.

Paso 4: Crear la intención de migración

Utilice la herramienta de migración de claves(CRKM ) para crear una intención de migración en HPCS_key_1 que haga referencia a la CRK de destino KP_D_key_1. La herramienta CRKM acepta un archivo CSV que contiene pares de CRNs HPCS CRK de origen y CRNs Key Protect Dedicated CRK de destino, lo que permite crear intenciones de migración en bloque.

Una vez creada la intención de migración, HPCS emite eventos de sincronización que notifican a los servicios asociados acerca de la solicitud de migración.

Paso 5: Ejecutar la sincronización

Para algunos servicios (por ejemplo, IBM Cloud Databases, Messages for RabbitMQ, Kubernetes y OpenShift ), se deben activar explícitamente más eventos de sincronización unos minutos después de la creación de la intent. Utilice el comando sincronización de la herramienta CRKM para activar estos eventos.

Puedes ejecutar el comando sync en cualquier momento para reintentar migraciones incompletas.

Paso 6: Supervisar el progreso de la migración

Utilice el comando Estado de la herramienta CRKM para comprobar el progreso de la migración. La herramienta informa de los recuentos de asociaciones tanto para el CRK HPCS de origen como para el CRK Key Protect Dedicated de destino. A medida que los servicios completan la migración:

• El número de asociaciones en HPCS_key_1 disminuye.
• Aumenta el número de asociaciones en KP_D_key_1.

En Event Streams, la migración puede tardar hasta un día laborable. Para los demás servicios, se espera que la migración finalice en menos de cuatro horas.

Acerca de la herramienta de migración de claves (CRKM)

La Herramienta de Migración de Claves(CRKM) es una herramienta CLI que soporta las siguientes operaciones:

• Estado: Informa del progreso de la migración mostrando los recuentos de asociaciones para los CRK de origen y destino en todos los pares de CRK.
• Authz-check: Verifica que las políticas de autorización IAM requeridas están en su lugar para cada servicio registrado antes de la migración. Informa de las políticas coincidentes y ausentes con plantillas procesables.
• Crear: Crea intentos de migración en bloque a partir de un archivo CSV de pares CRK CRN de origen y destino.
• Sincronizar: Activa eventos de sincronización para solicitar a los servicios que procesen la intención de migración. Puede ejecutarse varias veces para reintentar migraciones incompletas.
• Eliminar: Elimina la intención de migración de una o varias claves de origen.

La herramienta CRKM es necesaria para la migración automatizada de CRK y funciona con la herramienta KUR, que se encarga de la detección y la generación de informes.

Comprobación de la existencia de claves estándar

Utilice el siguiente script bash para contar el número total de claves estándar en todos los estados de clave estándar válidos, en cada instancia HPCS.

Asegúrese de que ha iniciado sesión en IBM Cloud a través de la CLI de IBM Cloud.

# count the total number of Standard keys in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Sustituya HPCS_ADDR y HPCS_INSTANCE_ID por valores válidos para cada instancia HPCS. Puede encontrar el endpoint de instancia para HPCS y el ID de instancia en la consola IBM Cloud UI para la instancia específica.

La salida se parece a la del siguiente ejemplo:

Total number of Standard keys in all states: 4

Si la salida es una línea vacía, vuelva a iniciar sesión en IBM Cloud a través de la CLI de IBM Cloud.

Si no existen claves estándar en todas las instancias HPCS, no es necesaria la migración de claves estándar.

Compruebe el recuento de llaves estándar en estado Destruido (5) mediante el siguiente script.

# count the total number of Standard keys in Destroyed (5) state.
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in Destroyed (5) state: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Si todas las teclas estándar están en estado Destruido (5) (borrado suave), no se garantiza la ausencia de uso. Un recurso IBM Cloud o una aplicación personalizada podrían seguir haciendo referencia a la clave. En este caso, se espera que las operaciones fallen la próxima vez que se intente recuperar material clave.

Las llaves estándar sólo pueden existir en estado Activo (1) o Destruido (5). Otros estados clave sólo se aplican a los CRK.

Puede obtener el CRN completo de las claves estándar HPCS utilizando la CLI IBM Cloud kp keys comando.

El siguiente ejemplo enumera las teclas estándar en posibles estados:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type standard-key --key-states active,destroyed --number-of-keys 5000

Sustituya KP_TARGET_ADDR por valores válidos para cada instancia HPCS. Puede encontrar el punto final de instancia para HPCS en la consola IBM Cloud UI para la instancia específica.

• El comando puede listar hasta 5000 teclas estándar a la vez. La paginación puede ser necesaria para listar todas las claves estándar.

keysvrmgr show -t hpcs
hdcryptmgr showlv <lvname> -v
hdcryptmgr showpv <pvname> -v

Validar que HPCS ya no está en uso

Tras la migración, inspeccione los eventos de seguimiento de actividad de HPCS para confirmar que no se realizan operaciones contra instancias HPCS.

Revise los eventos durante la mayor ventana de retención disponible.

Si los eventos de seguimiento de actividad indican un uso continuado:

1. Identifique el servicio o la carga de trabajo responsable de la utilización.
2. Compruebe si el recurso admite la migración CRK mediante la intención de migración.
3. Complete o reintente la migración para ese uso antes de continuar.

La ausencia de eventos de seguimiento de la actividad no prueba de forma concluyente la ausencia de uso. Algunos servicios y aplicaciones personalizadas utilizan claves con poca frecuencia o sólo durante eventos del ciclo de vida, como el reinicio, la restauración o la conmutación por error.

Desactivar gradualmente los CRK de HPCS migrados

Cuando esté seguro de que determinados CRK de HPCS ya no son necesarios, puede desactivarlos.

Se recomienda desactivar los CRK antes de borrarlos porque:

• Cualquier operación criptográfica restante falla inmediatamente con un error claro.
• Las claves desactivadas pueden volver a activarse rápidamente si se descubren dependencias inesperadas.
• Se proporciona un mecanismo de reversión seguro durante la validación.

Un hito recomendado es asegurarse de que todos los CRK de HPCS que se migraron con éxito se encuentran en el estado Deshabilitado.

Los CRK en estado Desactivado pueden volver a activarse en cualquier momento y no bloquean permanentemente la reparación.

Hitos finales y consideraciones sobre el desmantelamiento

Borrar CRKs y Claves Estándar HPCS es técnicamente posible. Sin embargo, hay que actuar con cautela:

• Las claves borradas sólo pueden recuperarse durante un periodo limitado tras su eliminación.
• Una vez transcurrido el plazo de recuperación, el borrado es permanente.
• La recuperación se hace cada vez más difícil a medida que pasa el tiempo y evolucionan las cargas de trabajo.

Por estas razones, no es necesario eliminar las claves HPCS como parte de la migración.

Un enfoque conservador y recomendado es:

1. Deje desactivadas las instancias HPCS y los CRK.
2. No los vuelva a activar ni los modifique después de la validación.

Este enfoque minimiza el riesgo a la vez que garantiza que la migración criptográfica se completa con éxito.

Responsabilidades del usuario

Usted es responsable de:

• Verificación de que se ha detenido todo uso de HPCS
• Validación del comportamiento de aplicaciones y servicios tras la migración

Proceda con las actividades de desmantelamiento sólo cuando esté seguro de que el HPCS ya no es necesario para ninguna carga de trabajo.