Uso di base: scansione delle chiavi HPCS (predefinito)

Utilizzare il seguente comando per eseguire la scansione dell'account IBM Cloud attualmente in uso per tutte le istanze hs-crypto, le relative chiavi e tutte le risorse cloud crittografate da tali chiavi.

./<kur-binary>

Scansione dei tasti Key Protect

Per cercare le istanze di Key Protect invece di HPCS, utilizzare il flag -service kms.

./<kur-binary> --service kms

Scansione di Key Protect Solo istanze dedicate

È possibile filtrare la scansione per includere solo le istanze di Key Protect Dedicated.

./<kur-binary> --service kms --service-type dedicated

Scansione solo per le istanze multi-tenant di Key Protect

È possibile filtrare la scansione per includere solo le istanze Key Protect Standard (multitenant).

./<kur-binary> --service kms --service-type multi-tenant

Abilita la registrazione di debug

Attivare un output di debug dettagliato per risolvere i problemi o comprendere il comportamento dello strumento.

./<kur-binary> --service kms --debug

Specificare un percorso di file di output personalizzato

Per impostazione predefinita, lo strumento genera un file di output con un nome generato automaticamente, ma è possibile specificare un percorso personalizzato.

./<kur-binary> --service kms --output my-report.json

Metadati

I metadati includono il contesto di esecuzione, come la versione dello strumento, il servizio KMS di destinazione, l'endpoint API IBM Cloud, il nome dell'account, l'ID dell'account e l'utente che ha eseguito la scansione.

Istanze KMS

Una voce per ogni istanza KMS o HPCS presente nell'account. Vengono elencate prima le istanze con utilizzo della chiave rilevato e poi quelle senza utilizzo rilevato. Ogni istanza contiene:

Metadati dell'istanza

Nome, CRN, stato, rete consentita, endpoint pubblici e privati, tipo (per Key Protect: multi-tenant o dedicated)

found_by_kms_instance_listing

true se l'istanza è stata trovata elencando le istanze KMS nell'account.

found_by_resource_scan

true se l'istanza con le chiavi rilevate durante la scansione delle risorse.

instance_stats

Conteggio delle chiavi per Stato:

• active_crk_count, suspended_crk_count, deactivated_crk_count, destroyed_crk_count
• active_standard_key_count, destroyed_standard_key_count.

keys[]

Inventario completo delle chiavi dall'API Key Protect. Ogni chiave comprende:

• type: crk (chiave radice del cliente) o standard_key.
• state_name: pre-activation, active, suspended, deactivated, o destroyed.
• name: nome della chiave.
• id: chiave UUID.
• has_migration_intent: se la chiave ha un intento di migrazione impostato.
• migration_intent_target_crk: CRK CRN di destinazione (presente solo quando has_migration_intent è true).
• found_by_kms_key_listing o found_by_resource_scan: come è stata scoperta la chiave.
• associations[]: risorse cloud registrate rispetto alla chiave (dall'API di registrazione di Key Protect ). Ogni voce indica il sito resource_crn e se è abilitato prevent_key_deletion. Omesso quando una chiave non ha registrazioni.
• service_usage mappa del nome del servizio alle risorse criptate rilevate dalla scansione delle risorse dell'account. Presente solo per le chiavi trovate dalla scansione delle risorse.

CRN

Le risorse che fanno riferimento a identificatori di crittografia che corrispondono a un pattern CRN ma non a un CRN di chiavi KMS o HPCS vengono catturate qui per garantire che nulla venga eliminato silenziosamente.

Sconosciuti

Le risorse che fanno riferimento a identificatori di crittografia che non hanno potuto essere analizzati come CRN sono elencate qui.

Esempio di voce di istanza

L'esempio seguente mostra la struttura di una voce di istanza KMS nel report JSON.

{
  "name": "my-kp-instance",
  "type": "multi-tenant",
  "crn": "crn:v1:bluemix:public:kms:us-south:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab::",
  "state": "active",
  "allowed_network": "public-and-private",
  "public_endpoint": "https://us-south.kms.cloud.ibm.com",
  "private_endpoint": "https://private.us-south.kms.cloud.ibm.com",
  "found_by_kms_instance_listing": true,
  "found_by_resource_scan": true,
  "instance_stats": {
    "active_crk_count": 5,
    "suspended_crk_count": 0,
    "deactivated_crk_count": 1,
    "destroyed_crk_count": 2,
    "active_standard_key_count": 3,
    "destroyed_standard_key_count": 1
  },
  "keys": [
    {
      "type": "crk",
      "state_name": "active",
      "name": "my-root-key",
      "id": "abc12345-6789-0abc-def0-1234567890ab",
      "has_migration_intent": false,
      "found_by_kms_key_listing": true,
      "found_by_resource_scan": true,
      "associations": [
        {
          "resource_crn": "crn:v1:bluemix:public:cloud-object-storage:global:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:bucket:my-encrypted-bucket",
          "prevent_key_deletion": true
        }
      ],
      "service_usage": {
        "cloud-object-storage (Cloud Object Storage)": [
          {
            "encrypted_resource": "crn:v1:bluemix:public:cloud-object-storage:global:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:bucket:my-encrypted-bucket"
          }
        ]
      }
    },
    {
      "type": "standard_key",
      "state_name": "active",
      "name": "my-standard-key",
      "id": "def45678-9012-3456-7890-abcdef012345",
      "has_migration_intent": false,
      "found_by_kms_key_listing": true,
      "found_by_resource_scan": false
    }
  ]
}

Utilizzo

Usare il sottocomando process-at per elaborare i file di registro del tracciamento delle attività.

./<kur-binary> process-at <input.tsv>

Cosa fa

Prende un file TSV esportato dalla query dell'archivio di routing degli eventi di tracciamento delle attività IBM Cloud Logs, estrae gli eventi JSON dalla colonna text e filtra per gli eventi relativi a KMS e HPCS (azioni kms.* e hs-crypto.* ). Produce quindi quattro file di output:

<base>_events.json

Tutti gli eventi estratti come array JSON formattato.

<base>_events.csv

CSV piatto con una riga per evento, contenente: serviceName, regione, accountId, instanceId, keyId, azione, esito, reasonType, reasonCode, initiatorId, initiatorName, authId, requestInstanceId, eventTime, correlationId, agente.

<base>_events_summary.csv

Riepilogo raggruppato con i conteggi degli eventi, raggruppati per servizio, regione, account, istanza, chiave, azione, esito, motivo e iniziatore.

<base>_events_summary_by_action.csv

Riepilogo raggruppato con i conteggi degli eventi, raggruppati per servizio, regione, account, istanza, chiave, azione e iniziatore (senza suddivisione per esito o motivo).

Dove <base> deriva dal nome del file di input (eliminando _logs.tsv o .tsv).

Esempio

L'esempio seguente mostra come elaborare un file di registro di monitoraggio delle attività e i file di output generati.

./<kur-binary> process-at hpcs-at-data-1-day_logs.tsv

Il comando produce i seguenti file di output:

• hpcs-at-data-1-day_events.json
• hpcs-at-data-1-day_events.csv
• hpcs-at-data-1-day_events_summary.csv
• hpcs-at-data-1-day_events_summary_by_action.csv

Questa funzione è utile per analizzare i modelli di attività delle chiavi KMS, identificare quali servizi e utenti stanno eseguendo operazioni chiave e indagare sugli eventi legati alla migrazione, come ack-migrate.

IBM Cloud CLI non installata

IBM Cloud CLI is not installed. Please install it first.
Visit: https://cloud.ibm.com/docs/cli?topic=cli-getting-started

Installare la CLI di IBM Cloud seguendo la documentazione di Getting started with the IBM Cloud CLI.

Plugin CLI mancanti

Se i plugin CLI richiesti non sono installati, viene visualizzato un messaggio di errore che elenca i plugin mancanti.

missing required IBM Cloud CLI plugins: [container-service vpc-infrastructure]

Installare i plugin mancanti:

ibmcloud plugin install container-service
ibmcloud plugin install vpc-infrastructure
ibmcloud plugin install event-notifications

Plugin CLI obsoleti

Se i plugin della CLI sono obsoleti, viene visualizzato un messaggio di avviso che elenca i plugin da aggiornare.

the following IBM Cloud CLI plugins are outdated: [container-service]

Aggiornare il plugin:

ibmcloud plugin update container-service

Login non eseguito

Se non si è connessi a IBM Cloud, lo strumento visualizza un messaggio di errore.

not logged in to IBM Cloud. Please login first

Accedi a IBM Cloud:

ibmcloud login

Token scaduto o in procinto di scadere

Lo strumento richiede un token IAM valido con almeno 3 minuti di validità residua.

Se il token IAM ha meno di 3 minuti di validità residua, lo strumento lo rifiuta. Aggiornare la sessione:

ibmcloud login

Istanze solo private

Alcune istanze KMS potrebbero essere configurate per consentire solo l'accesso alla rete privata. Se un'istanza KMS consente solo l'accesso alla rete privata e non si è connessi alla rete IBM Cloud Private, lo strumento non può recuperare statistiche o chiavi per quell'istanza. Utilizzate --skip-private-calls per saltare questi casi, anziché far fallire lo strumento:

./<kur-binary> --service kms --skip-private-calls

100+ istanze KMS

L'API per l'elenco delle risorse di IBM Cloud ha un limite al numero di istanze che possono essere restituite.

[WARNING] 100 or more KMS instances, only the first 100 instances will be processed.

L'API che elenca le risorse di IBM Cloud restituisce un massimo di 100 istanze. Se l'account ha più di 100 istanze KMS, solo le prime 100 sono incluse nel report. Questo comportamento è una limitazione nota.

Tipo di servizio non valido con hs-crypto

Il flag --service-type è valido solo per la scansione delle istanze di Key Protect.

error: --service-type can only be used with --service kms

Il flag --service-type (per filtrare in base a dedicated o multi-tenant) si applica solo a Key Protect (--service kms). Non è applicabile alle istanze HPCS.