Création d'un adaptateur

Un maximum de 200 adaptateurs peut être créé sur une seule instance. Chaque adaptateur peut être associé à un maximum de 200 certificats.

Les adaptateurs KMIP sont créés à l'aide de Key Protect clés racines. Si vous n'avez pas de clé racine, créez-en une.

Pour créer un adaptateur :

1. Naviguez vers le panneau KMIP Adapters en utilisant la navigation de gauche. S'il s'agit de votre premier adaptateur, le tableau doit être vide. Notez que vous devez avoir le rôle Manager ou le rôle KmipAdapterManager sur l'instance afin de créer un adaptateur.

2. Trouvez le bouton Créer un adaptateur et cliquez dessus.

3. Dans le panneau latéral ouvert, attribuez à l'adaptateur un Nom et, éventuellement, une Description. Notez que les noms doivent contenir au moins deux et pas plus de 40 caractères. Si vous choisissez de lui donner une description, celle-ci doit comporter au moins deux caractères et pas plus de 240. Une fois cette opération terminée, vous pouvez choisir la clé racine que vous souhaitez utiliser pour créer cet adaptateur et pour chiffrer les clés KMIP qu'il crée. Le choix d'une clé racine est obligatoire. Notez que votre clé racine doit être dans un état active pour que votre adaptateur fonctionne correctement.

4. L'ajout d'un certificat TLS public permet au détenteur du certificat privé correspondant de communiquer avec Key Protect via son adaptateur KMIP associé. Seuls les certificats autorisés sous un adaptateur KMIP seront autorisés à effectuer des requêtes de protocole KMIP contre votre instance. Notez que les ressources gérées via le protocole KMIP ne sont pas accessibles via l'API HTTP.

   Bien qu'il ne soit pas nécessaire d'ajouter des certificats lors de la création de l'adaptateur, si vous savez quels certificats vous souhaitez ajouter, vous pouvez le faire en cliquant sur l'onglet Ajouter des certificats (facultatif) dans le tableau de bord. Dans l'écran qui s'affiche, cliquez sur le bouton Télécharger le certificat, donnez un nom au certificat et saisissez le contenu du certificat (le matériel doit être au format PEM et contenir les balises BEGIN CERTIFICATE et END CERTIFICATE). Notez que l'association du certificat peut prendre quelques minutes. En outre, un certificat ne peut être associé qu'à un seul adaptateur dans une région Key Protect.

Veillez à ce que la clé privée de tout certificat téléchargé soit sécurisée, car tout certificat téléchargé sur un adaptateur KMIP aura la capacité d'effectuer toutes les opérations KMIP prises en charge.

Affichage et mise à jour des détails de l'adaptateur

Le panneau de détails de l'adaptateur vous permet d'en savoir plus sur un adaptateur (par exemple, par le biais de sa description) et vous permet également d'effectuer des actions telles que l'ajout de certificats.

Pour afficher les détails de l'adaptateur, cliquez sur l'icône ⋯. Elle affiche tous les détails de l'adaptateur. Vous pouvez y voir son nom, sa description, les clés symétriques KMIP associées à l'adaptateur et les certificats qui ont été téléchargés vers lui. Vous pouvez également utiliser ce panneau pour télécharger d'autres certificats, si vous le souhaitez.

Les clés symétriques KMIP ne peuvent pas être supprimées à l'aide de l'interface utilisateur. Pour supprimer des clés, vous devez utiliser la CLI. Seules les clés symétriques KMIP qui se trouvent dans un état autre que l'état Active (état 1) peuvent être supprimées. Un adaptateur ne peut pas être supprimé s'il contient des clés qui sont dans l'état Active.

Les ressources de chaque adaptateur sont protégées par un CRK. Vous ne pouvez pas supprimer un CRK actif et associé à un adaptateur.

Chaque clé symétrique KMIP créée compte pour une seule version de clé et entraîne des frais pour une version de clé. Si vous souhaitez supprimer une clé symétrique KMIP, vous ne pouvez le faire qu'à l'aide de l'API, de la CLI ou du SDK. Vous ne pouvez pas utiliser l'interface utilisateur. Il est à noter que la suppression d'un symétrique KMIP est permanente.

Création et utilisation d'adaptateurs KMIP dans l'API

Il s'agit d'utiliser des adaptateurs KMIP de profil native_1.0 à l'aide de l'API, d'ajouter et de supprimer des certificats clients KMIP de l'adaptateur, puis d'afficher et de supprimer des objets KMIP associés à l'adaptateur.

Vous pouvez créer un adaptateur KMIP en effectuant un appel POST vers le point de terminaison suivant.

https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters

Les opérations sur les sous-ressources de l'adaptateur KMIP, y compris les certificats des clients KMIP et les objets KMIP, se feront dans les points de terminaison suivants :

https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>/certificates
https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>/kmip_objects

1. Extrayez les données d'authentification afin d'utiliser les clés dans le service.

2. Copiez l'ID de la clé racine que vous souhaitez utiliser pour créer votre adaptateur KMIP.

   Vous pouvez trouver l'ID d'une clé dans votre instance Key Protect enextrayant une liste de vos clés ou en accédant au tableau de bord Key Protect tableau de bord.

3. Créez un adaptateur KMIP avec la commande suivante curl :

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.kmip_adapter+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                   "name": "<adapter_name>",
                   "description": "<adapter_description>",
                   "profile": "native_1.0",
                   "profile_data": {
                       "crk_id": "<root_keyID_or_alias>"
                   }
                   }
               ]
           }'
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

4. Facultatif : vous pouvez dresser la liste des adaptateurs KMIP qui existent dans une instance avec la commande suivante curl :

   $ curl -X GET \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Vous pouvez également obtenir un adaptateur KMIP spécifique en utilisant la commande suivante curl :

   $ curl -X GET \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Notez que vous pouvez utiliser soit l'UUID de l'adaptateur, soit son nom pour obtenir un adaptateur spécifique.

5. Vous pouvez supprimer un adaptateur KMIP avec la commande suivante curl :

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/kmip_adapters/<adapter_name_or_ID>" \
       -H "accept: application/vnd.ibm.kms.kmip_adapter+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.kmip_adapter+json"
   

   Vous ne pouvez supprimer l'adaptateur KMIP que si tous les objets KMIP sous l'adaptateur sont supprimés.