사용자 지정 앱

사용자 지정 앱의 HPCS 사용은 사용자 지정 코드 또는 ISV 애플리케이션이 HPCS를 직접 사용할 때 발생합니다.

사용자 지정 앱의 HPCS 사용량을 검색하는 것은 HPCS 활동 추적 이벤트, 코드 검색 및 기타 방법을 사용하여 수행해야 하는 작업입니다.

다음 사용법을 검색하세요:

• 다음을 포함하는 호스트 이름에 대한 참조 hs-crypto
• HPCS REST API
• GREP11
• HPCS CLI 플러그인

또한 HPCS 라이브러리( PKCS11 )를 통해 HPCS 사용법을 검색하세요:

• HPCS PKCS #11

또한 클라이언트 SDK를 통해 사용법을 검색할 수도 있습니다:

• 키프로텍트-고-클라이언트
• 키프로텍트-파이썬 클라이언트
• 키 프로텍트 자바 클라이언트
• 키 프로텍트 노드 클라이언트
• 붉은 돌
• hpcs-grep11

HPCS에 액세스할 수 있는 IAM ID(주로 서비스 ID 및 신뢰할 수 있는 프로필 )와 덜 일반적인 사용자 ID를 검색합니다. HPCS 서비스, 인스턴스, 키 링 또는 키로 범위가 지정된 역할이 있는 ID는 잠재적인 사용자 지정 애플리케이션 사용의 강력한 지표입니다.

IBM Cloud 서비스 및 소프트웨어

HPCS를 사용하는 IBM Cloud 서비스 및 소프트웨어를 식별하려면 다음 권장 방법을 따르세요:

1. 키 사용량 리포터(KUR)로 시작하기- 키 사용량 리포터(KUR) 도구가 권장되는 시작점입니다. IBM Cloud 계정을 스캔하여 서비스 및 키별로 그룹화된 HPCS 키를 참조하는 리소스에 대한 종합적인 보고서를 생성합니다.

2. 활동 추적과 상호 참조- 사용 가능한 가장 큰 기간 동안의 HPCS 활동 추적 이벤트를 검토하여 암호화 작업을 수행한 서비스를 식별합니다. 주요 사용량 리포터(KUR) 도구는 활동 추적 감사 로그 파일을 처리하여 HPCS 활용도를 파악하는 데 도움이 되는 CSV 요약을 생성할 수 있습니다.

CRK의 존재 여부 확인

다음 Bash 스크립트를 사용하여 HPCS 인스턴스에 대한 모든 상태의 총 CRK 수를 계산합니다.

IBM Cloud CLI를 통해 IBM Cloud 에 로그인했는지 확인합니다.

# count the total number of CRKs in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=0,1,2,3,5&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

HPCS_ADDR 및 HPCS_INSTANCE_ID 을 각 HPCS 인스턴스에 대해 유효한 값으로 바꿉니다. 특정 인스턴스에 대한 HPCS의 인스턴스 엔드포인트와 인스턴스 ID는 IBM Cloud UI 콘솔에서 찾을 수 있습니다.

결과물은 다음 예와 비슷하게 표시됩니다.

Total number of CRKs in all states: 11

모든 HPCS 인스턴스에 CRK가 0개인 경우 CRK 마이그레이션이 필요하지 않습니다.

다음 스크립트를 사용하여 활성(1) 및 비활성화(만료됨)(3) 상태의 CRK 개수를 확인합니다. 활성(1) 또는 비활성화(만료됨)(3) 상태의 CRK만 래핑, 래핑 해제, 다시 래핑과 같은 암호화 작업에 사용할 수 있습니다. 비활성화(3)의 CRK는 래핑 해제 및 다시 래핑을 지원하지만 래핑은 지원하지 않습니다.

# count the total number of CRKs in Active (1) or Deactivated (Expired) (3) states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,3&extractable=false" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of CRKs in Active (1) or Deactivated (Expired) (3) states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

모든 HPCS 인스턴스에서 활성(1) 또는 비활성화(만료됨)(3) 상태의 CRK가 0개이면 암호화 작업에 사용할 수 있는 CRK가 없는 것입니다. 그러나 HPCS는 여전히 사용 중일 수 있습니다. 리소스 또는 애플리케이션은 여전히 다른 상태의 CRK를 참조하도록 구성될 수 있습니다. 이러한 CRK로 암호화 작업을 수행하려는 시도는 모두 실패합니다.

CRK 카운트 해석하기:

IBM Cloud CLI kp keys 명령을 사용하여 HPCS CRK의 전체 CRN을 얻을 수 있습니다.

다음 예제에는 모든 주의 CRK가 나열되어 있습니다:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type root-key --key-states active,suspended,deactivated,destroyed --number-of-keys 5000

KP_TARGET_ADDR 을 각 HPCS 인스턴스에 대해 유효한 값으로 바꿉니다. 특정 인스턴스에 대한 HPCS의 인스턴스 엔드포인트는 IBM Cloud UI 콘솔에서 찾을 수 있습니다.

• 이 명령은 일시 중단(비활성화됨) 및 삭제됨(소프트 삭제됨) 상태를 포함한 모든 상태의 CRK를 나열합니다.
• 일시 중단됨(비활성화됨) 및 삭제됨(소프트 삭제됨) 상태의 CRK는 활성 암호화 사용이 허용되지 않지만 이러한 상태의 CRK는 IBM Cloud 리소스 또는 사용자 지정 코드에서 계속 참조할 수 있습니다.
• CRK를 일시 중단(비활성화) 및 삭제(소프트 삭제) 상태에서 활성 상태로 이동할 수 있습니다.
• 이 명령은 한 번에 최대 5000개의 CRK를 나열할 수 있습니다. 모든 CRK를 나열하려면 페이지 매김이 필요할 수 있습니다.

사용자 지정 애플리케이션에서 고객 루트 키(CRK) 마이그레이션

사용자 지정 애플리케이션은 HPCS로 보호되는 데이터 암호화 키(DEK)를 다시 래핑하여 CRK를 Key Protect Dedicated로 마이그레이션할 수 있습니다.

마이그레이션 과정은 다음 단계로 이루어집니다:

• HPCS에서 데이터 암호화 키 (DEK)를 언래핑합니다.
• DEK를 Key Protect Dedicated로 묶습니다.
• 새 래핑된 데이터 암호화 키(WDEK)를 생성합니다.
• 이후 암호화 작업에는 새 WDEK를 사용하세요.

모든 경우에 사용자 지정 애플리케이션을 사용해야 합니다:

• 다른 엔드포인트를 사용하세요. Key Protect 전용 인스턴스에는 해당 인스턴스 전용 엔드포인트가 있습니다.
• 다른 키 ID를 사용하세요.
• 적절한 수준에서 Key Protect Dedicated에 액세스할 수 있는 IAM ID(대부분 서비스 ID)를 사용합니다. Key Protect Dedicated를 대상으로 하는 새로운 IAM 정책이 필요할 수 있습니다.

Key Protect API에 대한 자세한 내용은 Key Protect API 참조를 참조하세요.

IBM Cloud 서비스 및 소프트웨어에서 고객 루트 키(CRK) 마이그레이션

HPCS와 통합되는 일부 IBM Cloud 서비스 및 IBM 소프트웨어는 자동화된 CRK 마이그레이션 워크플로우에 참여하여 Key Protect 전용으로 마이그레이션할 수 있습니다. 이 워크플로우는 마이그레이션 의도와 키 수명 주기 동기화 이벤트를 기반으로 하며, 암호화 연속성을 유지하면서 중단을 최소화합니다.

4단계: 마이그레이션 의도 생성

키 마이그레이션 도구(CRKM) 를 사용하여 대상 CRK KP_D_key_1 를 참조하는 마이그레이션 인텐트를 HPCS_key_1 에 생성합니다. CRKM 도구는 소스 HPCS CRK CRN과 대상 Key Protect 전용 CRK CRN 쌍이 포함된 CSV 파일을 허용하므로 마이그레이션 인텐트를 대량으로 생성할 수 있습니다.

마이그레이션 인텐트가 생성되면 HPCS는 마이그레이션 요청에 대해 관련 서비스에 알리는 동기화 이벤트를 발생시킵니다.

5단계: 동기화 실행

일부 서비스(예: IBM Cloud Databases, Messages for RabbitMQ, Kubernetes, OpenShift )의 경우 인텐트 생성 후 몇 분 후에 더 많은 동기화 이벤트가 명시적으로 트리거되어야 합니다. CRKM 도구 동기화 명령을 사용하여 이러한 이벤트를 트리거합니다.

언제든지 동기화 명령을 실행하여 불완전한 마이그레이션을 다시 시도할 수 있습니다.

6단계: 마이그레이션 진행 상황 모니터링

CRKM 도구 상태 명령을 사용하여 마이그레이션 진행 상황을 확인합니다. 이 도구는 소스 HPCS CRK와 대상 Key Protect 전용 CRK 모두에 대한 연결 수를 보고합니다. 서비스 마이그레이션이 완료되면

• HPCS_key_1 의 연결 수가 감소합니다.
• KP_D_key_1 의 연결 수가 증가합니다.

Event Streams 의 경우 마이그레이션에 최대 영업일 기준 1일이 소요될 수 있습니다. 다른 서비스의 경우 마이그레이션은 4시간 이내에 완료될 것으로 예상됩니다.

키 마이그레이션 도구(CRKM) 정보

키 마이그레이션 도구(CRKM) 는 다음 작업을 지원하는 CLI 도구입니다:

• 상태: 모든 CRK 쌍에 걸쳐 소스 및 대상 CRK에 대한 연결 수를 표시하여 마이그레이션 진행 상황을 보고합니다.
• 인증 확인: 마이그레이션하기 전에 등록된 각 서비스에 대해 필요한 IAM 권한 부여 정책이 적용되었는지 확인합니다. 실행 가능한 템플릿을 사용하여 일치하는 정책과 누락된 정책을 보고합니다.
• 생성: 만들기: 소스 및 대상 CRK CRN 쌍의 CSV 파일에서 마이그레이션 인텐트를 일괄적으로 생성합니다.
• 동기화: 동기화: 동기화 이벤트를 트리거하여 서비스에서 마이그레이션 의도를 처리하도록 요청합니다. 불완전한 마이그레이션을 다시 시도하기 위해 여러 번 실행할 수 있습니다.
• 삭제: 하나 이상의 소스 키에서 마이그레이션 의도를 제거합니다.

CRKM 도구는 자동화된 CRK 마이그레이션에 필요하며 검색 및 보고를 처리하는 KUR 도구와 함께 작동합니다.

표준 키의 존재 여부 확인

다음 bash 스크립트를 사용하여 각 HPCS 인스턴스에서 유효한 모든 표준 키 상태의 총 표준 키 수를 계산합니다.

IBM Cloud CLI를 통해 IBM Cloud 에 로그인했는지 확인합니다.

# count the total number of Standard keys in all states
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=1,5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in all states: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

HPCS_ADDR 및 HPCS_INSTANCE_ID 을 각 HPCS 인스턴스에 대해 유효한 값으로 바꿉니다. 특정 인스턴스에 대한 HPCS의 인스턴스 엔드포인트와 인스턴스 ID는 IBM Cloud UI 콘솔에서 찾을 수 있습니다.

결과물은 다음 예와 비슷하게 표시됩니다.

Total number of Standard keys in all states: 4

출력이 빈 줄이면 IBM Cloud CLI를 통해 IBM Cloud 에 다시 로그인합니다.

모든 HPCS 인스턴스에 표준 키가 하나도 없는 경우 표준 키 마이그레이션이 필요하지 않습니다.

다음 스크립트를 사용하여 파괴됨(5) 상태의 표준 키 개수를 확인합니다.

# count the total number of Standard keys in Destroyed (5) state.
HPCS_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
HPCS_INSTANCE_ID=fadedbee-0000-0000-0000-1234567890ab
AUTH_HEADER="${AUTH_TOKEN:-$(jq -r .IAMToken ~/.bluemix/config.json)}"
header="$(curl -i -k -s --head \
  "${HPCS_ADDR}/api/v2/keys?state=5&extractable=true" \
  -H "authorization: ${AUTH_HEADER}" \
  -H "bluemix-instance: ${HPCS_INSTANCE_ID}" \
  -H "prefer: return=representation" \
| grep '^Key-Total:' \
| tr -d '\r')"
if [ -n "$header" ]; then
  total="${header#Key-Total: }"
  echo "Total number of Standard keys in Destroyed (5) state: $total"
else
  echo "Error: Key-Total header not found. Try logging into IBM Cloud again. Check endpoint, auth token, or permissions." >&2
fi

모든 표준 키가 파괴됨(5)(소프트 삭제됨) 상태인 경우 사용이 보장되지 않습니다. IBM Cloud 리소스 또는 사용자 지정 애플리케이션은 여전히 키를 참조할 수 있습니다. 이 경우 다음에 키 자료 검색을 시도할 때 작업이 실패할 것으로 예상됩니다.

표준 키는 활성(1) 또는 파괴(5) 상태에서만 존재할 수 있습니다. 다른 키 상태는 CRK에만 적용됩니다.

IBM Cloud CLI kp keys 명령을 사용하여 HPCS 표준 키의 전체 CRN을 얻을 수 있습니다.

다음 예제에는 가능한 상태의 표준 키가 나열되어 있습니다:

export KP_TARGET_ADDR=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
ibmcloud kp keys --instance-id fadedbee-0000-0000-0000-1234567890ab --crn --key-type standard-key --key-states active,destroyed --number-of-keys 5000

KP_TARGET_ADDR 을 각 HPCS 인스턴스에 대해 유효한 값으로 바꿉니다. 특정 인스턴스에 대한 HPCS의 인스턴스 엔드포인트는 IBM Cloud UI 콘솔에서 찾을 수 있습니다.

• 이 명령은 한 번에 최대 5000개의 표준 키를 나열할 수 있습니다. 모든 표준 키를 나열하려면 페이지 매김이 필요할 수 있습니다.

keysvrmgr show -t hpcs
hdcryptmgr showlv <lvname> -v
hdcryptmgr showpv <pvname> -v

HPCS가 더 이상 사용되지 않는지 확인합니다

마이그레이션 후 HPCS 활동 추적 이벤트를 검사하여 HPCS 인스턴스에 대해 수행된 작업이 없는지 확인합니다.

사용 가능한 최대 보존 기간 동안 이벤트를 검토합니다.

활동 추적 이벤트가 지속적인 사용을 나타내는 경우:

1. 사용의 원인이 되는 서비스 또는 워크로드를 식별합니다.
2. 마이그레이션 의도를 사용하여 리소스가 CRK 마이그레이션을 지원하는지 확인합니다.
3. 계속 진행하기 전에 해당 사용량에 대한 마이그레이션을 완료하거나 다시 시도하세요.

활동 추적 이벤트가 없다고 해서 사용량이 없다는 것이 결정적으로 증명되는 것은 아닙니다. 일부 서비스 및 사용자 지정 앱은 키를 자주 사용하지 않거나 재시작, 복원 또는 장애 조치와 같은 수명 주기 이벤트 중에만 사용합니다.

마이그레이션된 HPCS CRK를 점진적으로 비활성화합니다

특정 HPCS CRK가 더 이상 필요하지 않다고 확신하는 경우 해당 CRK를 비활성화할 수 있습니다.

삭제하기 전에 CRK를 비활성화하는 것이 좋습니다:

• 나머지 모든 암호화 작업은 명확한 오류와 함께 즉시 실패합니다.
• 예기치 않은 종속성이 발견되면 비활성화된 키를 빠르게 다시 활성화할 수 있습니다.
• 유효성 검사 중 안전한 롤백 메커니즘이 제공됩니다.

권장 마일스톤은 마이그레이션이 성공적으로 완료된 모든 HPCS CRK가 비활성화 상태인지 확인하는 것입니다.

비활성화 상태의 CRK는 언제든지 다시 활성화할 수 있으며 영구적으로 해결을 차단하지 않습니다.

최종 마일스톤 및 폐기 고려 사항

HPCS CRK 및 표준 키를 삭제하는 것은 기술적으로 가능합니다. 그러나 삭제는 신중하게 접근해야 합니다:

• 삭제된 키는 삭제 후 제한된 기간 동안만 복구할 수 있습니다.
• 복구 기간이 만료되면 삭제가 영구적으로 적용됩니다.
• 시간이 지나고 워크로드가 진화함에 따라 복구는 점점 더 어려워집니다.

이러한 이유로 마이그레이션의 일부로 HPCS 키를 삭제할 필요는 없습니다.

보수적이고 권장되는 접근 방식은 다음과 같습니다:

1. HPCS 인스턴스와 CRK를 비활성화한 상태로 둡니다.
2. 유효성 검사 후에는 다시 활성화하거나 수정하지 마세요.

이 접근 방식은 위험을 최소화하는 동시에 암호화 마이그레이션이 성공적으로 완료되도록 보장합니다.

사용자 책임

책임은 회원님에게 있습니다:

• 모든 HPCS 사용이 중지되었는지 확인
• 마이그레이션 후 애플리케이션 및 서비스 동작 검증하기

HPCS가 더 이상 워크로드에 필요하지 않다고 확신하는 경우에만 폐기 작업을 진행하세요.