Utilizzo di endpoint privati virtuali (VPE)

Creare e gestire le risorse di Key Protect sugli endpoint privati virtuali (VPE) di IBM Cloud puntando a un endpoint di servizio privato.

A partire dall'11 gennaio 2024, sarà possibile accedere ai VPE utilizzando l'interfaccia utente del piano di controllo dell' Key Protect, che consentirà agli utenti di creare e gestire le chiavi per le istanze utilizzando un endpoint privato. Allo stesso modo, le chiavi create tramite la CLI o l'SDK o un metodo correlato possono ora essere visualizzate e aggiornate tramite l'interfaccia utente.

Per iniziare, abilitare il routing e l'inoltro virtuale(VRF)e gli endpoint del servizio per l'account dell'infrastruttura. Dopo aver abilitato VRF per il tuo account, puoi connetterti a Key Protect utilizzando un IP privato accessibile solo tramite la rete privata IBM Cloud. Per saperne di più sulle connessioni private su IBM Cloud, vedi endpoint di servizio per le connessioni private.

Prima di iniziare

Prima di indirizzare una VPE per Key Protect:

  1. Assicurarsi che l'account dell'infrastruttura IBM Cloud sia abilitato per virtual routing and forwarding(VRF).

    Quando abiliti VRF, viene creata una tabella di instradamento separata per il tuo account e le connessioni verso e dalle risorse del tuo account vengono instradate separatamente sulla rete IBM Cloud. Per saperne di più sulla tecnologia VRF vedere Routing e inoltro virtuale su IBM Cloud.

    L'abilitazione di VRF modifica in modo permanente la rete per il tuo account. Assicurati di comprendere l'impatto per il tuo account e le tue risorse. Dopo che hai abilitato VRF, non è possibile disabilitarlo.

  2. Assicurarsi che il proprio account dell'infrastruttura IBM Cloud sia abilitato per VPE.

    Dopo aver abilitato VRF e VPE per il proprio account, tutte le risorse e le risorse e futuri Key Protect le risorse e le istanze diventano disponibili sia dagli endpoint pubblici che dai VPE istanze diventano disponibili sia dagli endpoint pubblici che dai VPE.

Le impostazioni del VPE, in particolare l'indirizzo del Internet Protocol (IP), potrebbero dover essere aggiornate manualmente durante le azioni di Disaster recovery e business continuity.

Passo 1. Configurare il IBM Cloud Sul server virtuale

Preparare il VSI o la macchina di prova configurando la tabella di routing per la IBM Cloud VPE.

  1. Per instradare il traffico verso il VPE IBM Cloud, eseguire il seguente comando sul VSI:

    route add -net 166.9.0.0/16 gw <gateway> dev <gateway_interface>

    Sostituire <gateway> (ad esempio, 10.x.x.x) e <gateway_interface> (ad esempio, eth10) con i valori appropriati.

  2. Facoltativo: verifica che l'instradamento sia stato aggiunto correttamente visualizzando la tua nuova tabella di instradamento.

    route -n

Passo 2. Puntare al Key Protect VPE

Dopo aver configurato il VSI in modo che accetti il traffico IBM Cloud su un VPE, è possibile indirizzare il VPE per Key Protect utilizzando il Key Protect API o Key Protect CLI plug - in.

  1. In una finestra di terminale, accedi a IBM Cloud.

    ibmcloud login

    Se l'accesso non riesce, esegui il comando ibmcloud login --sso e prova di nuovo. Gli --sso è necessario quando si accede con un ID federato. Se viene utilizzata questa opzione, vai al link elencato nell'output della CLI per generare una passcode monouso.

  2. Facoltativo: assicurati che il tuo account sia abilitato per gli endpoint del servizio e VRF

    ibmcloud account show

    Il seguente output della CLI mostra i dettagli dell'account di un account abilitato all'endpoint del servizio e VRF.

    Retrieving account John Doe's Account of john.doe@email.com...
OK

Account ID:                   d154dfbd0bc2edefthyufffc9b5ca318
Currently Targeted Account:   true
Linked Softlayer Account:     1008967
VRF Enabled:                  true
Service Endpoint Enabled:     true

    Vedere Abilitazione di VRF e endpoint di servizio per sapere come impostare l'account per la connessione a un VPE.

  3. Impostare una variabile d'ambiente per indirizzare una variabile Key Protect VPE.

    export KP_PRIVATE_ADDR=https://private.<region>.kms.cloud.ibm.com

    Sostituire <region> con l'abbreviazione della regione che rappresenta l'area geografica in cui si trova l'utente area geografica in cui si trova il Key Protect ricorrenza risiede. Per l'elenco completo di endpoint, vedi Regioni ed endpoint.

Passo 3. Creare una risorsa Key Protect sul VPE

Per verificare la connessione a VPE, utilizzare il comando Plug-in CLIKey Protect.

  1. Creare una chiave di root puntare al VPE.

    ibmcloud kp key create <key_name> -i <instance_ID>

    Sostituire <key_name> con un alias leggibile dall'uomo per facilitare l'identificazione della chiave della chiave. Sostituire <instance_ID> con il IBM Cloud l'ID istanza che identifica il tuo Key Protect istanza.

  2. Facoltativo: Verificare che la chiave sia stata creata correttamente elencando le chiavi che sono disponibili nel proprio database Key Protect istanza. 

    ibmcloud kp keys -i <instance_ID>

    Sostituire <instance_ID> con l'ID istanza IBM Cloud che identifica il tuo Key Protect istanza.

Passi successivi

Ora sei impostato per interagire con Key Protect attraverso un VPE.