Applications personnalisées

L'utilisation du HPCS par les applications personnalisées se produit lorsque le code personnalisé ou les applications ISV utilisent directement le HPCS.

La recherche de l'utilisation du système HPCS par les applications personnalisées est une tâche que vous devez effectuer à l'aide des événements de suivi de l'activité HPCS, de la recherche de code et d'autres méthodes.

Recherche de l'utilisation des éléments suivants :

• Références aux noms d'hôtes qui contiennent hs-crypto
• API REST HPCS
• GREP11
• Plugins CLI HPCS

Recherchez également l'utilisation de HPCS dans la bibliothèque HPCS PKCS11:

• HPCS PKCS #11

Recherchez également l'utilisation des SDK clients :

• Keyprotect-go-client
• Client Keyprotect-python
• Keyprotect-java-client
• Client Keyprotect-nodejs
• pierre rouge
• hpcs-grep11

Recherche d'identités IAM avec accès à HPCS, principalement des identifiants de service et des profils de confiance, et des identités d'utilisateur moins courantes. Toute identité dont les rôles sont liés au service, à l'instance, au trousseau ou à la clé HPCS est un bon indicateur de l'utilisation potentielle d'une application personnalisée.

IBM Cloud services et logiciels

Pour identifier les services et logiciels IBM Cloud qui utilisent les HPCS, il est recommandé de suivre l'approche suivante :

1. Commencer par le Key Usage Reporter (KUR )- L'outil Key Usage Reporter(KUR) est le point de départ recommandé. Il analyse vos comptes IBM Cloud et génère un rapport complet des ressources qui font référence aux clés HPCS, regroupées par service et par clé.

2. Recoupement avec le suivi des activités- Examiner les événements de suivi des activités HPCS sur la plus grande fenêtre temporelle disponible afin d'identifier les services qui ont effectué des opérations cryptographiques. L'outil Key Usage Reporter(KUR) peut traiter les fichiers journaux d'audit de suivi d'activité, produisant des résumés CSV qui aident à identifier l'utilisation de HPCS.

Vérification de l'existence des CRK

Utilisez le script Bash suivant pour compter le nombre total de CRK dans tous les états d' une instance HPCS.

Assurez-vous que vous êtes connecté à IBM Cloud via le CLI IBM Cloud.

# count the total number of CRKs in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=0,1,2,3,5&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Remplacer HPCS_ADDR et HPCS_INSTANCE_ID par des valeurs valables pour chaque instance HPCS. Vous pouvez trouver le point de terminaison de l'instance pour HPCS et l'ID de l'instance dans la console de l'interface utilisateur IBM Cloud pour l'instance spécifique.

La sortie est similaire à la suivante :

Total number of CRKs in all states: 11

S'il n'existe aucun CRK dans toutes les instances HPCS, la migration des CRK n'est pas nécessaire.

Vérifiez le nombre de CRK dans les états actif (1) et désactivé (expiré) (3) à l'aide du script suivant. Seuls les CRK à l'état actif (1) ou désactivé (expiré) (3) peuvent être utilisés pour des opérations cryptographiques telles que l' enveloppement, le déballage et le remballage. Une CRK désactivée (3) prend en charge le déballage et le remballage, mais pas le remballage.

# count the total number of CRKs in Active (1) or Deactivated (Expired) (3) states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,3&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in Active (1) or Deactivated (Expired) (3) states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

S'il n'y a aucun CRK dans l'état actif (1) ou désactivé (expiré) (3) dans toutes les instances HPCS, aucun CRK n'est disponible pour les opérations cryptographiques. Toutefois, il est possible que le système HPCS soit encore utilisé. Des ressources ou des applications peuvent encore être configurées pour référencer des CRK dans d'autres états. Toute tentative d'effectuer des opérations cryptographiques avec de tels CRK échoue.

Interprétation des comptes CRK :

Vous pouvez obtenir le CRN complet des CRK HPCS en utilisant le CLI IBM Cloud kp keys commande.

L'exemple suivant dresse la liste des CRK dans tous les États :

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type root-key --key-states active,suspended,deactivated,destroyed --number-of-keys 5000

Remplacer KP_TARGET_ADDR par des valeurs valides pour chaque instance HPCS. Vous pouvez trouver le point de terminaison de l'instance pour HPCS dans la console de l'interface utilisateur IBM Cloud pour l'instance spécifique.

• La commande répertorie les CRK dans tous les états, y compris les états Suspendu (Disabled) et Détruit (soft deleted).
• L'utilisation cryptographique active des CRK en état suspendu (désactivé) et détruit (supprimé en douceur) n'est pas autorisée, mais les CRK dans ces états peuvent toujours être référencés par les ressources IBM Cloud ou le code personnalisé.
• Il est possible de faire passer les CRK des états Suspendu (désactivé) et Détruit (supprimé) à l'état Actif.
• La commande peut répertorier jusqu'à 5000 CRK à la fois. Une pagination pourrait être nécessaire pour lister tous les CRK.

Migration des clés racine client (CRK) dans les applications personnalisées

Les applications personnalisées peuvent migrer les CRK vers Key Protect Dedicated en réenveloppant la clé de chiffrement des données (DEK) qui est protégée par HPCS.

Le processus de migration comprend les étapes suivantes :

• Déballer la clé de chiffrement des données (DEK) de HPCS.
• Envelopper le DEK avec Key Protect Dedicated.
• Générer une nouvelle clé de chiffrement des données enveloppées (WDEK).
• Utilisez le nouveau WDEK pour les opérations cryptographiques suivantes.

Dans tous les cas, les applications personnalisées doivent

• Utiliser un autre point de terminaison. Une instance dédiée à Key Protect possède un point d'arrivée spécifique à cette instance.
• Utilisez un identifiant de clé différent.
• Utilisez une identité IAM, probablement un identifiant de service, qui permet d'accéder à Key Protect Dedicated au niveau approprié. De nouvelles politiques IAM ciblant Key Protect Dedicated pourraient être nécessaires.

Pour plus d'informations sur l'API Key Protect, voir la référence de l'API Key Protect.

Migration des clés racine du client (CRK) dans les services et logiciels IBM Cloud

Certains services IBM Cloud et logiciels IBM qui s'intègrent à HPCS peuvent participer à un flux de migration automatisé des CRK vers Key Protect Dedicated. Ce flux de travail est basé sur les intentions de migration et les événements de synchronisation du cycle de vie des clés et minimise les perturbations tout en préservant la continuité cryptographique.

Étape 4 : Créer l'intention de migration

Utiliser l'outil de migration des clés(CRKM) pour créer une intention de migration sur HPCS_key_1 qui fait référence au CRK cible KP_D_key_1. L'outil CRKM accepte un fichier CSV qui contient des paires de CRN HPCS source et de CRN dédiés Key Protect cible, ce qui permet de créer des intentions de migration en masse.

Après la création de l'intention de migration, HPCS émet des événements de synchronisation qui informent les services associés de la demande de migration.

Étape 5 : Lancer la synchronisation

Pour certains services (par exemple, IBM Cloud Databases, Messages for RabbitMQ, Kubernetes, et OpenShift ), d'autres événements de synchronisation doivent être explicitement déclenchés quelques minutes après la création de l'intention. Utilisez la commande de synchronisation de l'outil CRKM pour déclencher ces événements.

Vous pouvez exécuter la commande sync à tout moment pour réessayer des migrations incomplètes.

Étape 6 : Suivre la progression de la migration

Utilisez la commande Status de l'outil CRKM pour vérifier l'état d'avancement de la migration. L'outil indique le nombre d'associations pour le CRK HPCS source et le CRK dédié cible Key Protect. En tant que services, la migration est complète :

• Le nombre d'associations sur HPCS_key_1 diminue.
• Le nombre d'associations sur KP_D_key_1 augmente.

Pour Event Streams, la migration peut prendre jusqu'à un jour ouvrable. Pour les autres services, la migration devrait s'achever en moins de quatre heures.

À propos de l'outil de migration des clés (CRKM)

L' outil de migration des clés(CRKM) est un outil CLI qui prend en charge les opérations suivantes :

• Statut: Indique l'état d'avancement de la migration en montrant le nombre d'associations pour les CRK source et cible sur l'ensemble des paires de CRK.
• Authz-check: Vérifie que les politiques d'autorisation IAM requises sont en place pour chaque service enregistré avant la migration. Il signale les politiques correspondantes et manquantes à l'aide de modèles exploitables.
• Create (Créer ): Crée des intentions de migration en masse à partir d'un fichier CSV de paires CRK CRN source et cible.
• Sync: Déclenche des événements de synchronisation pour inciter les services à traiter l'intention de migration. Peut être exécuté plusieurs fois pour réessayer des migrations incomplètes.
• Supprimer: supprime l'intention de migration d'une ou plusieurs clés source.

L'outil CRKM est nécessaire pour la migration automatisée des CRK et fonctionne avec l'outil KUR, qui gère la découverte et les rapports.

Vérification de l'existence de clés standard

Utilisez le script bash suivant pour compter le nombre total de clés standard dans tous les états de clé standard valides, dans chaque instance HPCS.

Assurez-vous que vous êtes connecté à IBM Cloud via le CLI IBM Cloud.

# count the total number of Standard keys in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Remplacer HPCS_ADDR et HPCS_INSTANCE_ID par des valeurs valables pour chaque instance HPCS. Vous pouvez trouver le point de terminaison de l'instance pour HPCS et l'ID de l'instance dans la console de l'interface utilisateur IBM Cloud pour l'instance spécifique.

La sortie est similaire à la suivante :

Total number of Standard keys in all states: 4

Si la sortie est une ligne vide, connectez-vous de nouveau à IBM Cloud via le CLI IBM Cloud.

Si les clés standard sont nulles dans toutes les instances HPCS, la migration des clés standard n'est pas nécessaire.

Vérifiez le nombre de clés standard dans l'état Détruit (5) à l'aide du script suivant.

# count the total number of Standard keys in Destroyed (5) state.
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in Destroyed (5) state: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Si toutes les touches standard sont dans l'état Détruit (5) (effacement progressif), l'absence d'utilisation n'est pas garantie. Une ressource IBM Cloud ou une application personnalisée peut encore faire référence à la clé. Dans ce cas, les opérations sont censées échouer lors de la prochaine tentative de récupération des clés.

Les clés standard ne peuvent exister qu'à l'état actif (1) ou détruit (5). D'autres États clés ne s'appliquent qu'aux CRK.

Vous pouvez obtenir le CRN complet des clés standard HPCS en utilisant le CLI IBM Cloud kp keys commande.

L'exemple suivant répertorie les touches standard dans les différents états possibles :

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type standard-key --key-states active,destroyed --number-of-keys 5000

Remplacer KP_TARGET_ADDR par des valeurs valides pour chaque instance HPCS. Vous pouvez trouver le point de terminaison de l'instance pour HPCS dans la console de l'interface utilisateur IBM Cloud pour l'instance spécifique.

• La commande peut répertorier jusqu'à 5000 touches standard à la fois. Une pagination peut être nécessaire pour énumérer toutes les clés standard.

keysvrmgr show -t hpcs
hdcryptmgr showlv <lvname> -v
hdcryptmgr showpv <pvname> -v

Valider que le système HPCS n'est plus utilisé

Après la migration, inspectez les événements de suivi de l'activité HPCS pour confirmer qu'aucune opération n'est effectuée sur les instances HPCS.

Examiner les événements sur la plus grande fenêtre de conservation disponible.

Si les événements de suivi de l'activité indiquent une utilisation continue :

1. Identifier le service ou la charge de travail responsable de l'utilisation.
2. Vérifier si la ressource prend en charge la migration du CRK en utilisant l'intention de migration.
3. Terminez ou réessayez la migration pour cette utilisation avant de poursuivre.

L'absence d'événements de suivi d'activité ne prouve pas de manière concluante l'absence d'utilisation. Certains services et applications personnalisées utilisent des clés peu fréquemment ou uniquement lors d'événements du cycle de vie tels que le redémarrage, la restauration ou le basculement.

Désactiver progressivement les CRK HPCS migrés

Une fois que vous êtes sûr que certains CRK HPCS ne sont plus nécessaires, vous pouvez désactiver ces CRK.

Il est recommandé de désactiver les CRK avant de les supprimer, pour les raisons suivantes

• Toute opération cryptographique restante échoue immédiatement avec une erreur claire.
• Les clés désactivées peuvent être réactivées rapidement si des dépendances inattendues sont découvertes.
• Un mécanisme de retour en arrière sûr est prévu pendant la validation.

Il est recommandé de s'assurer que tous les CRK HPCS qui ont été migrés avec succès sont dans l'état désactivé.

Les CRK désactivés peuvent être réactivés à tout moment et ne bloquent pas de manière permanente la remédiation.

Étapes finales et considérations relatives au déclassement

La suppression des CRK et des clés standard HPCS est techniquement possible. Il convient toutefois de faire preuve de prudence lors de la suppression :

• Les clés supprimées ne peuvent être récupérées que pendant une période limitée après leur suppression.
• À l'expiration de la fenêtre de récupération, la suppression est permanente.
• La récupération devient de plus en plus difficile à mesure que le temps passe et que les charges de travail évoluent.

Pour ces raisons, il n'est pas nécessaire de supprimer les clés HPCS dans le cadre de la migration.

Une approche conservatrice est recommandée :

1. Laisser les instances HPCS et les CRK désactivés.
2. Ne les réactivez pas et ne les modifiez pas après la validation.

Cette approche minimise les risques tout en garantissant la réussite de la migration cryptographique.

Vos responsabilités

Vous êtes responsable de :

• Vérification de l'arrêt de l'utilisation du système HPCS
• Valider le comportement des applications et des services après la migration

Ne procédez aux activités de déclassement que lorsque vous avez la certitude que les HPCS ne sont plus nécessaires pour aucune charge de travail.