Applicazioni personalizzate

L'utilizzo di HPCS da parte di applicazioni personalizzate avviene quando il codice personalizzato o le applicazioni ISV utilizzano direttamente HPCS.

La ricerca dell'utilizzo di HPCS da parte delle applicazioni personalizzate è un'attività che è necessario eseguire con l'aiuto degli eventi di monitoraggio delle attività HPCS, della ricerca del codice e di altri metodi.

Cercare l'uso di quanto segue:

• Riferimenti a nomi di host che contengono hs-crypto
• API REST HPCS
• GREP11
• Plug-in HPCS CLI

Inoltre, cercate l'uso di HPCS attraverso la libreria HPCS PKCS11:

• HPCS PKCS #11

Inoltre, cercate l'utilizzo attraverso gli SDK dei client:

• Keyprotect-go-client
• Keyprotect-python-client
• Keyprotect-java-client
• Client Keyprotect-nodejs
• pietra rossa
• hpcs-grep11

Cerca le identità IAM con accesso all'HPCS, soprattutto ID di servizio e profili affidabili, e identità utente meno comuni. Qualsiasi identità con ruoli che hanno come ambito il servizio, l'istanza, il portachiavi o la chiave HPCS è un forte indicatore di un potenziale utilizzo di applicazioni personalizzate.

IBM Cloud servizi e software

Per identificare i servizi e i software di IBM Cloud che utilizzano HPCS, seguire l'approccio consigliato:

1. Iniziare con il Key Usage Reporter (KUR)- Lo strumento Key Usage Reporter(KUR) è il punto di partenza consigliato. Esegue la scansione degli account IBM Cloud e genera un report completo delle risorse che fanno riferimento alle chiavi HPCS, raggruppate per servizio e chiave.

2. Riferimento incrociato con il rilevamento delle attività- Esaminare gli eventi di rilevamento delle attività HPCS nella più ampia finestra temporale disponibile per identificare i servizi che hanno eseguito operazioni crittografiche. Lo strumento Key Usage Reporter(KUR) è in grado di elaborare i file di log del monitoraggio delle attività, producendo riepiloghi CSV che aiutano a identificare l'utilizzo dell'HPCS.

Verifica dell'esistenza di CRK

Utilizzare il seguente script Bash per contare il numero totale di CRK in tutti gli stati per un'istanza HPCS.

Assicuratevi di aver effettuato l'accesso a IBM Cloud tramite la CLI di IBM Cloud.

# count the total number of CRKs in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=0,1,2,3,5&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Sostituire HPCS_ADDR e HPCS_INSTANCE_ID con valori validi per ciascuna istanza HPCS. È possibile trovare l'endpoint dell'istanza per HPCS e l'ID dell'istanza nella console dell'interfaccia utente IBM Cloud per l'istanza specifica.

L'output sarà simile al seguente esempio:

Total number of CRKs in all states: 11

Se in tutte le istanze HPCS esistono zero CRK, la migrazione dei CRK non è necessaria.

Controllare il conteggio dei CRK negli stati Attivo (1) e Disattivato (Scaduto) (3) utilizzando il seguente script. Solo i CRK negli stati Attivo (1) o Disattivato (Scaduto) (3) possono essere utilizzati per operazioni crittografiche come wrap, unwrap e rewrap. Un CRK disattivato (3) supporta l'unwrap e il rewrap, ma non il wrap.

# count the total number of CRKs in Active (1) or Deactivated (Expired) (3) states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,3&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in Active (1) or Deactivated (Expired) (3) states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Se esistono zero CRK negli stati Attivo (1) o Disattivato (Scaduto) (3) in tutte le istanze HPCS, nessun CRK è disponibile per le operazioni crittografiche. Tuttavia, l'HPCS potrebbe essere ancora in uso. Le risorse o le applicazioni potrebbero ancora essere configurate per fare riferimento a CRK in altri stati. Qualsiasi tentativo di eseguire operazioni crittografiche con tali CRK fallisce.

Interpretare i conteggi CRK:

È possibile ottenere il CRN completo dei CRK HPCS utilizzando la CLI IBM Cloud kp keys comando.

L'esempio seguente elenca i CRK in tutti gli stati:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type root-key --key-states active,suspended,deactivated,destroyed --number-of-keys 5000

Sostituire KP_TARGET_ADDR con valori validi per ciascuna istanza HPCS. È possibile trovare l'endpoint dell'istanza per HPCS nella console dell'interfaccia utente IBM Cloud per l'istanza specifica.

• Il comando elenca i CRK in tutti gli stati, compresi gli stati Sospeso (disabilitato) e Distrutto (soft deleted).
• L'uso crittografico attivo dei CRK negli stati Sospeso (Disabilitato) e Distrutto (Eliminato soft) non è consentito, ma i CRK in questi stati possono ancora essere referenziati dalle risorse IBM Cloud o dal codice personalizzato.
• È possibile spostare i CRK dagli stati Sospeso (disabilitato) e Distrutto (cancellato) allo stato Attivo.
• Il comando può elencare fino a 5000 CRK alla volta. Potrebbe essere necessaria una paginazione per elencare tutti i CRK.

Migrazione delle chiavi radice del cliente (CRK) nelle applicazioni personalizzate

Le applicazioni personalizzate possono migrare i CRK a Key Protect Dedicated reimpacchettando la chiave di crittografia dei dati (DEK) protetta da HPCS.

Il processo di migrazione prevede le seguenti fasi:

• Estrarre la chiave di crittografia dei dati (DEK) dall'HPCS.
• Avvolgere il DEK con Key Protect Dedicato.
• Generare una nuova chiave di crittografia dei dati avvolti (WDEK).
• Utilizzare il nuovo WDEK per le operazioni crittografiche successive.

In ogni caso, le applicazioni personalizzate devono:

• Utilizzare un endpoint diverso. Un'istanza di Key Protect Dedicated ha un endpoint specifico per quell'istanza.
• Utilizza un ID chiave diverso.
• Utilizzare un'identità IAM, probabilmente un ID di servizio, che consenta l'accesso a Key Protect Dedicated al livello appropriato. Potrebbero essere necessari nuovi criteri IAM mirati a Key Protect Dedicated.

Per ulteriori informazioni sull'API Key Protect, vedere il documento Key Protect Riferimento API.

Migrazione delle chiavi radice del cliente (CRK) nei servizi e nel software di IBM Cloud

Alcuni servizi IBM Cloud e software IBM che si integrano con HPCS possono partecipare a un flusso di lavoro automatizzato di migrazione dei CRK a Key Protect Dedicated. Questo flusso di lavoro si basa sugli intenti di migrazione e sugli eventi di sincronizzazione del ciclo di vita delle chiavi e riduce al minimo le interruzioni preservando la continuità crittografica.

Fase 4: Creare l'intento di migrazione

Utilizzare il Key Migration Tool(CRKM) per creare un intento di migrazione su HPCS_key_1 che faccia riferimento al CRK di destinazione KP_D_key_1. Lo strumento CRKM accetta un file CSV che contiene coppie di CRK CRN HPCS di origine e CRK CRN dedicati di destinazione Key Protect, il che consente di creare intenti di migrazione in blocco.

Dopo la creazione dell'intento di migrazione, HPCS emette eventi di sincronizzazione che notificano ai servizi associati la richiesta di migrazione.

Passaggio 5: Eseguire la sincronizzazione

Per alcuni servizi (ad esempio, IBM Cloud Databases, Messages for RabbitMQ, Kubernetes e OpenShift ), è necessario attivare esplicitamente altri eventi di sincronizzazione alcuni minuti dopo la creazione dell'intento. Utilizzare il comando di sincronizzazione dello strumento CRKM per attivare questi eventi.

È possibile eseguire il comando di sincronizzazione in qualsiasi momento per riprovare le migrazioni incomplete.

Fase 6: Monitorare lo stato di avanzamento della migrazione

Utilizzare il comando Stato dello strumento CRKM per verificare l'avanzamento della migrazione. Lo strumento riporta i conteggi delle associazioni sia per il CRK HPCS di origine che per il CRK dedicato Key Protect di destinazione. Come i servizi completano la migrazione:

• Il numero di associazioni su HPCS_key_1 diminuisce.
• Il numero di associazioni su KP_D_key_1 aumenta.

Per Event Streams, la migrazione potrebbe richiedere fino a un giorno lavorativo. Per gli altri servizi, la migrazione dovrebbe concludersi in meno di quattro ore.

Informazioni sullo strumento di migrazione delle chiavi (CRKM)

Il Key Migration Tool(CRKM) è uno strumento CLI che supporta le seguenti operazioni:

• Stato: Segnala l'avanzamento della migrazione mostrando i conteggi delle associazioni per i CRK di origine e di destinazione in tutte le coppie di CRK.
• Authz-check: Verifica che i criteri di autorizzazione IAM richiesti siano presenti per ogni servizio registrato prima della migrazione. Segnala le corrispondenze e le polizze mancanti con modelli attivabili.
• Crea: Crea intenti di migrazione in blocco da un file CSV di coppie CRK CRN di origine e di destinazione.
• Sincronizzazione: Attiva gli eventi di sincronizzazione per richiedere ai servizi di elaborare l'intento di migrazione. Può essere eseguito più volte per riprovare le migrazioni incomplete.
• Elimina: rimuove l'intenzione di migrazione da una o più chiavi di origine.

Lo strumento CRKM è necessario per la migrazione automatica dei CRK e funziona con lo strumento KUR, che gestisce il rilevamento e la reportistica.

Verifica dell'esistenza di chiavi standard

Utilizzare il seguente script bash per contare il numero totale di chiavi standard in tutti gli stati di chiave standard validi, in ciascuna istanza HPCS.

Assicuratevi di aver effettuato l'accesso a IBM Cloud tramite la CLI di IBM Cloud.

# count the total number of Standard keys in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Sostituire HPCS_ADDR e HPCS_INSTANCE_ID con valori validi per ciascuna istanza HPCS. È possibile trovare l'endpoint dell'istanza per HPCS e l'ID dell'istanza nella console dell'interfaccia utente IBM Cloud per l'istanza specifica.

L'output sarà simile al seguente esempio:

Total number of Standard keys in all states: 4

Se l'output è una riga vuota, accedere di nuovo a IBM Cloud tramite la CLI di IBM Cloud.

Se in tutte le istanze HPCS esistono zero chiavi standard, la migrazione delle chiavi standard non è necessaria.

Controllare il numero di chiavi standard nello stato Distrutto (5) utilizzando il seguente script.

# count the total number of Standard keys in Destroyed (5) state.
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in Destroyed (5) state: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

Se tutti i tasti standard sono nello stato Distrutto (5) (soft deleted), non è garantita l'assenza di utilizzo. Una risorsa IBM Cloud o un'applicazione personalizzata potrebbe comunque fare riferimento alla chiave. In questo caso, si prevede che le operazioni falliscano al successivo tentativo di recupero del materiale chiave.

Le chiavi standard possono esistere solo negli stati Attivo (1) o Distrutto (5). Altri stati chiave si applicano solo ai CRK.

È possibile ottenere il CRN completo delle chiavi standard HPCS utilizzando la CLI IBM Cloud kp keys comando.

L'esempio seguente elenca i tasti standard nei possibili stati:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type standard-key --key-states active,destroyed --number-of-keys 5000

Sostituire KP_TARGET_ADDR con valori validi per ciascuna istanza HPCS. È possibile trovare l'endpoint dell'istanza per HPCS nella console dell'interfaccia utente IBM Cloud per l'istanza specifica.

• Il comando può elencare fino a 5000 tasti standard alla volta. Potrebbe essere necessaria una paginazione per elencare tutte le chiavi standard.

keysvrmgr show -t hpcs
hdcryptmgr showlv <lvname> -v
hdcryptmgr showpv <pvname> -v

Convalidare che l'HPCS non è più in uso

Dopo la migrazione, ispezionare gli eventi di monitoraggio dell'attività HPCS per verificare che non vengano eseguite operazioni contro le istanze HPCS.

Esaminare gli eventi nell'arco della più ampia finestra di conservazione disponibile.

Se gli eventi di tracciamento dell'attività indicano un utilizzo continuo:

1. Identificare il servizio o il carico di lavoro responsabile dell'utilizzo.
2. Verificare se la risorsa supporta la migrazione CRK utilizzando l'intento di migrazione.
3. Completare o riprovare la migrazione per quell'uso prima di procedere.

La mancanza di eventi di tracciamento delle attività non prova in modo definitivo l'assenza di utilizzo. Alcuni servizi e applicazioni personalizzate utilizzano le chiavi raramente o solo durante gli eventi del ciclo di vita, come il riavvio, il ripristino o il failover.

Disattivare gradualmente i CRK HPCS migrati

Dopo aver accertato che determinati CRK HPCS non sono più necessari, è possibile disattivarli.

Si consiglia di disabilitare i CRK prima dell'eliminazione perché:

• Tutte le operazioni crittografiche rimanenti falliscono immediatamente con un errore chiaro.
• Le chiavi disattivate possono essere riattivate rapidamente se si scoprono dipendenze inattese.
• È previsto un meccanismo di rollback sicuro durante la convalida.

Una tappa consigliata è quella di assicurarsi che tutti i CRK HPCS migrati con successo siano nello stato Disabilitato.

I CRK nello stato Disabilitato possono essere riattivati in qualsiasi momento e non bloccano in modo permanente la riparazione.

Pietre miliari finali e considerazioni sulla dismissione

L'eliminazione dei CRK e delle chiavi standard HPCS è tecnicamente possibile. Tuttavia, è bene procedere alla cancellazione con cautela:

• Le chiavi eliminate possono essere recuperate solo per un periodo limitato dopo l'eliminazione.
• Dopo la scadenza della finestra di ripristino, l'eliminazione è permanente.
• Il ripristino diventa sempre più difficile con il passare del tempo e l'evoluzione dei carichi di lavoro.

Per questi motivi, non è necessario eliminare le chiavi HPCS come parte della migrazione.

Un approccio conservativo e consigliato è:

1. Lasciare le istanze HPCS e i CRK disattivati.
2. Non riabilitarli o modificarli dopo la convalida.

Questo approccio riduce al minimo i rischi e garantisce che la migrazione crittografica venga completata con successo.

Responsabilità del cliente

Siete responsabili di:

• Verifica dell'interruzione dell'utilizzo di HPCS
• Convalida del comportamento delle applicazioni e dei servizi dopo la migrazione

Procedere con le attività di disattivazione solo quando si è certi che l'HPCS non è più richiesto da alcun carico di lavoro.