カスタムアプリ

カスタムアプリケーションによるHPCS利用は、カスタムコードまたはISVアプリケーションがHPCSを直接利用する場合に発生します。

カスタム・アプリによるHPCSの使用状況を検索するには、 HPCSのアクティビティ追跡イベントや コード検索などの助けを借りて実行する必要があります。

以下の用法を検索する：

• を含むホスト名への参照 hs-crypto
• HPCS REST API
• GREP11
• HPCS CLIプラグイン

また、HPCS PKCS11 ライブラリからHPCSの使用法を検索することもできます：

• HPCS PKCS #11

また、クライアントSDKから使用方法を検索する：

• キープロテクト・ゴー・クライアント
• Keyprotect-python-client
• キープロテクト・ジャバ・クライアント
• Keyprotect-nodejs-client
• レッドストーン
• hpcs-grep11

HPCSにアクセスできるIAM IDを検索する。主に サービス IDと Trusted Profiles、およびあまり一般的でないユーザーID。 HPCSサービス、インスタンス、キーリング、またはキーにスコープされたロールを持つIDは、カスタム・アプリケーション使用の可能性を示す強力な指標です。

IBM Cloud サービスおよびソフトウェア

HPCSを使用している IBM Cloud サービスとソフトウェアを特定するには、以下の推奨アプローチに従ってください：

1. Key Usage Reporter（KUR）から始める- Key Usage Reporter（KUR ）ツールは、出発点として推奨される。 IBM Cloud アカウントスキャンし、HPCS キーを参照するリソースの包括的なレポートを生成します。このレポートは、サービスとキーごとにグループ化されています。

2. アクティビティ・トラッキングとの相互参照- HPCSのアクティビティ・トラッキング・イベントを、利用可能な最大時間枠でレビューし、暗号処理を実行したサービスを特定する。 Key Usage Reporter（KUR ）ツールは、アクティビティ追跡監査ログファイルを処理し、HPCSの利用状況を特定するのに役立つ CSV サマリーを作成することができます。

CRKの存在チェック

以下のBashスクリプトを使用して、HPCSインスタンスの 全状態の CRKの総数をカウントします。

IBM Cloud CLIから IBM Cloud にログインしていることを確認してください。

# count the total number of CRKs in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=0,1,2,3,5&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

HPCS_ADDR と HPCS_INSTANCE_ID を各 HPCS インスタンスで有効な値に置き換える。 HPCSのインスタンスエンドポイントとインスタンスIDは、 IBM Cloud UIコンソールで特定のインスタンスについて確認できます。

出力は次の例のようになります。

Total number of CRKs in all states: 11

すべてのHPCSインスタンスでCRKがゼロの場合、CRKのマイグレーションは必要ありません。

以下のスクリプトを使用して、アクティブ(1)及び非アクティブ(期限切れ)(3)状態の CRK の数を確認する。 アクティブ(1)状態または非アクティブ(期限切れ)(3)状態の CRK のみが、 ラップ、 アンラップ、 リラップなどの 暗号操 作に使用できる。 非活性化(3)のCRKは、アンラップとリラップをサポートするが、ラップはサポートしない。

# count the total number of CRKs in Active (1) or Deactivated (Expired) (3) states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,3&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in Active (1) or Deactivated (Expired) (3) states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

すべての HPCS インスタンスにおいて、アクティブ状態（1）または非アクティブ状態（期限切れ） （3）の CRK がゼロの場合、暗号操作に使用できる CRK はない。 しかし、HPCSはまだ使われているかもしれない。 リソースやアプリケーションは、まだ他の状態のCRKを参照するように構成されているかもしれない。 このようなCRKで暗号操作を行おうとすると失敗する。

CRKカウントの解釈：

IBM Cloud CLI kp keys コマンドを 使用すると、HPCS CRK の完全な CRN を取得できます。

次の例は、全州のCRKをリストアップしたものである：

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type root-key --key-states active,suspended,deactivated,destroyed --number-of-keys 5000

KP_TARGET_ADDR を各 HPCS インスタンスの有効な値に置き換える。 HPCS のインスタンス・エンドポイントは、特定のインスタンスの IBM Cloud UI コンソールで見つけることができます。

• このコマンドは、サスペンド(無効)状態やデストロイ(ソフト削除)状態を含む、すべての状態の CRK を一覧表示します。
• サスペンド（無効）状態およびデストロイド（ソフト削除）状態の CRK の能動的な暗号使用は許可されないが、これらの状態の CRK を IBM Cloud リソースまたはカスタム・コードで参照することは可能である。
• CRKをサスペンド（無効）状態やデストロイド（ソフト削除）状態からアクティブ状態にすることができる。
• このコマンドは一度に5000CRKまでリストアップできる。 すべてのCRKをリストアップするには、ページネーションが必要かもしれない。

カスタム・アプリケーションにおけるお客様 （CRK）の移行

カスタム・アプリケーションは、HPCSで保護されているデータ暗号化キー（DEK）をリラップすることで、CRKを Key Protect Dedicatedに移行することができます。

移行プロセスには、以下の手順が含まれます

• HPCSから データ暗号化キー （DEK）を解く。
• Key Protect 専用DEKを巻く。
• 新しいラップデータ暗号鍵（WDEK）を生成する。
• 以降の暗号操作には、新しいWDEKを使用する。

どのような場合でも、カスタム・アプリケーションは必須である：

• 別のエンドポイントを使う。 Key Protect Dedicatedインスタンスは、そのインスタンスに固有のエンドポイントを持つ。
• 別のキーIDを使用してください。
• 適切なレベルで Key Protect Dedicated へのアクセスを許可する IAM ID（おそらくサービス ID）を使用する。 Key Protect Dedicatedを対象とした新しいIAMポリシーが必要になるかもしれない。

Key Protect APIの詳細については、 Key Protect APIリファレンスを 参照のこと。

IBM Cloud サービスとソフトウェアにおけるお客様 （CRK）の移行

HPCSと統合された一部の IBM Cloud サービスと IBM ソフトウェアは、 Key Protect 専用への自動CRK移行ワークフローに参加することができます。 このワークフローは、マイグレーション・インテントとキー・ライフサイクルの同期イベントに基づいており、暗号の継続性を維持しながら混乱を最小限に抑える。

ステップ 4: 移行インテントを作成する

キー・マイグレーション・ツール（CRKM）を 使用して、 HPCS_key_1 上に、ターゲットの CRK KP_D_key_1 を参照するマイグレーション・インテントを作成する。 CRKMツールは、ソースHPCS CRK CRNとターゲット Key Protect 専用CRK CRNのペアを含む CSV ファイルを受け付けます。これにより、移行インテントを一括して作成することができます。

マイグレーション・インテントが作成されると、HPCSはマイグレーション要求について関連サービスに通知する同期イベントを発行する。

ステップ 5：同期を実行する

一部のサービス（例えば、 IBM Cloud Databases、 Messages for RabbitMQ、 Kubernetes、 OpenShift ）では、インテント作成から数分後に、より多くの同期イベントを明示的にトリガーする必要がある。 これらのイベントをトリガーするには、CRKM ツールの同期コマンドを使用します。

syncコマンドはいつでも実行でき、不完全なマイグレーションを再試行できます。

手順 6：移行の進捗状況を監視する

CRKM ツール Status コマンドを使用して、移行の進捗状況を確認します。 このツールは、ソース HPCS CRK とターゲット Key Protect Dedicated CRK の両方の関連カウントをレポートします。 サービスが移行を完了すると

• HPCS_key_1 、協会の数は減少する。
• KP_D_key_1 、協会の数が増える。

Event Streams の場合、移行には最大1営業日かかる場合があります。 その他のサービスについては、移行は4時間以内に終了する見込みだ。

キーマイグレーションツール（CRKM）について

鍵移行ツール（CRKM ）はCLIツールであり、以下の操作をサポートする：

• ステータス全 CRK ペアのソース CRK とターゲット CRK の関連カウントを表示することで、移行の進捗状況を報告します。
• Authz-check ：移行前に、登録された各サービスに必要なIAM認可ポリシーが適用されていることを確認する。 アクション可能なテンプレートを使用して、一致するポリシーと欠落しているポリシーを報告します。
• 作成します：移行元と移行先のCRK CRNペアの CSV ファイルから移行インテントを一括作成します。
• 同期 ：同期イベントをトリガーし、移行インテントを処理するようサービスを促す。 不完全なマイグレーションを再試行するために複数回実行できる。
• 削除 ：1つ以上のソースキーから移行意図を削除します。

CRKMツールはCRKの自動移行に必要で、ディスカバリーとレポーティングを行うKURツールと連動する。

標準キーの存在チェック

以下のbashスクリプトを使用して、各HPCSインスタンスで、すべての有効な標準キー 状態に ある標準キーの総数を数えます。

IBM Cloud CLIから IBM Cloud にログインしていることを確認してください。

# count the total number of Standard keys in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

HPCS_ADDR と HPCS_INSTANCE_ID を各 HPCS インスタンスで有効な値に置き換える。 HPCSのインスタンスエンドポイントとインスタンスIDは、 IBM Cloud UIコンソールで特定のインスタンスについて確認できます。

出力は次の例のようになります。

Total number of Standard keys in all states: 4

出力が空行の場合は、 IBM Cloud CLIから IBM Cloud に再度ログインする。

すべてのHPCSインスタンスにゼロのStandard Keyが存在する場合、Standard Keyの移行は必要ない。

以下のスクリプトを使用して、破棄（5）状態の標準キーの数をチェックする。

# count the total number of Standard keys in Destroyed (5) state.
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in Destroyed (5) state: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

すべての標準キーが破棄(5)(ソフト削除)状態にある場合、使用は保証されない。 IBM Cloud リソースやカスタム・アプリケーションは、まだそのキーを参照するかもしれない。 この場合、次に鍵素材を取り出そうとすると、操作は失敗すると予想される。

標準鍵は、Active(1)またはDestroyed(5)の状態でのみ存在できる。 その他の主要な状態は、CRKにのみ適用される。

HPCS 標準鍵の完全な CRN は、 IBM Cloud CLI kp keys コマンドで 取得できる。

以下の例では、標準キーの状態を示している：

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type standard-key --key-states active,destroyed --number-of-keys 5000

KP_TARGET_ADDR を各 HPCS インスタンスの有効な値に置き換える。 HPCS のインスタンス・エンドポイントは、特定のインスタンスの IBM Cloud UI コンソールで見つけることができます。

• このコマンドは一度に最大5000個の標準キーをリストアップできる。 すべての標準キーをリストアップするには、ページネーションが必要になるかもしれない。

keysvrmgr show -t hpcs
hdcryptmgr showlv <lvname> -v
hdcryptmgr showpv <pvname> -v

HPCSがすでに使用されていないことを確認する

移行後、HPCSのアクティビティ追跡イベントを検査し、HPCSインスタンスに対して操作が実行されていないことを確認します。

利用可能な最大の保持ウィンドウにわたってイベントをレビューする。

アクティビティ追跡イベントが継続的な使用を示している場合：

1. 利用を担当するサービスまたは作業負荷を特定する。
2. マイグレーション・インテントを使用して、リソースがCRKマイグレーションをサポートしているかどうかを確認する。
3. 先に進む前に、その用途の移行を完了するか、再試行する。

アクティビティ追跡イベントの欠如は、使用の不在を決定的に証明するものではない。 サービスやカスタム・アプリの中には、キーの使用頻度が低いものや、再起動、リストア、フェイルオーバーなどのライフサイクル・イベント時にのみキーを使用するものがある。

移行したHPCS CRKを徐々に無効にする

特定のHPCS CRKが不要になったと確信したら、それらのCRKを無効にすることができます。

削除する前にCRKを無効にすることを推奨する：

• 残りの暗号操作は、明確なエラーとともに即座に失敗する。
• 無効化されたキーは、予期せぬ依存関係が発見された場合、迅速に再有効化することができる。
• 検証中の安全なロールバックメカニズムが提供される。

推奨されるマイルストーンは、移行に成功したすべての HPCS CRK が無効状態にあることを確認することです。

Disabled状態のCRKはいつでも再有効化でき、永久に修復をブロックすることはない。

最終的なマイルストーンと廃止措置に関する考察

HPCSのCRKと標準キーの削除は技術的には可能です。 ただし、削除は慎重に行うこと：

• 削除された鍵は、削除後の限られた期間しか復元できない。
• リカバリーウィンドウの期限が切れると、削除は永久に続く。
• 時間が経過し、ワークロードが進化するにつれて、リカバリはますます困難になる。

これらの理由から、移行の一環としてHPCSキーを削除する必要はない。

保守的で推奨されるアプローチはこうだ：

1. HPCSインスタンスとCRKは無効のままにしておく。
2. 検証後に再度有効にしたり、変更したりしないでください。

このアプローチは、暗号の移行が正常に完了することを保証しながら、リスクを最小限に抑える。

お客様の責任

あなたには責任がある：

• すべてのHPCSの使用が停止したことを確認
• 移行後のアプリケーションとサービスの動作検証

HPCSがもはやどのような作業負荷からも必要とされないと確信できる場合にのみ、廃止作業を進める。