Migration von Clustergeheimnissen und Arbeitsknoten von HPCS zu Key Protect

Virtuelle Private Cloud Klassische Infrastruktur

Sie können Ihre Cluster-Geheimverschlüsselung, Ihren Worker-Pool und Ihre Worker-Node-Festplattenverschlüsselung von Hyper Protect Crypto Services (HPCS) nach IBM® Key Protect for IBM Cloud® migrieren, indem Sie die Key Protect Migrationswerkzeuge verwenden. Dieser Prozess aktualisiert die Verschlüsselungsschlüssel und Instanzreferenzen sowie die Verwendung für Cluster-Geheimnisse, verschlüsselte Arbeiter und Arbeiter-Pools.

Der Migrationsprozess kann bis zu einer Stunde oder länger dauern, je nach Anzahl der zu migrierenden Ressourcen. Planen Sie entsprechend.

Vorbereitende Schritte

Bevor Sie von HPCS auf Key Protect migrieren, sollten Sie die folgenden Anforderungen und Überlegungen berücksichtigen.

  • Sie müssen eine Key Protect Instanz und einen Root-Schlüssel erstellt haben. Weitere Informationen finden Sie unter Einrichten eines KMS-Anbieters(Key Management Service).
  • Sie müssen über die entsprechenden Berechtigungen in „ IBM Cloud “ (IAM) unter Identity and Access Management verfügen, um KMS in Ihrem Cluster zu aktivieren. Weitere Informationen finden Sie unter Einrichten eines KMS-Anbieters(Key Management Service).
  • Die Autorisierungsrichtlinien für die einzelnen Dienste müssen vorhanden sein und müssen auf der Ebene der Key Protect-Instanz oder des Dienstes und nicht auf der Ebene des Schlüsselrings oder Schlüssels festgelegt werden. Dies ist eine derzeitige Einschränkung, die sowohl für die Verschlüsselung von Arbeitsknoten als auch für die Verschlüsselung von Clustern gilt.

Löschen Sie Ihren HPCS-Root-Schlüssel erst, wenn die Migration abgeschlossen ist und ihr Erfolg bestätigt wurde.

Schritt 1. Einrichtung einer Dienst-zu-Dienst-Autorisierung

Bevor Sie von HPCS auf Key Protect migrieren können, müssen Sie die erforderlichen Service-zu-Service-Autorisierungsrichtlinien in IBM Cloud IAM einrichten. Dieser Schritt muss für die Cluster-Secrets und die Worker Nodes einzeln durchgeführt werden. Beachten Sie, dass Sie diese Richtlinien möglicherweise bereits haben und sie in diesem Fall nicht neu erstellen müssen.

Berechtigung für die geheime Verschlüsselung von Clustern

Um die geheime Verschlüsselung des Clusters zu migrieren, benötigen Sie eine Dienstberechtigungsrichtlinie von IBM Cloud Kubernetes Service zu Ihrer Key Protect Instanz.

  1. Rufen Sie die Seite mit den Dienstberechtigungen in der Konsole IBM Cloud auf.
  2. Klicken Sie auf Erstellen.
  3. Setzen Sie das Quellkonto auf Dieses Konto, wenn sich der Cluster im aktuellen Konto befindet. Wenn sich der Cluster in einem anderen Konto befindet, wählen Sie Anderes Konto und geben Sie die Konto-ID an.
  4. Legen Sie Kubernetes Service als den Quellenservice fest.
  5. Setzen Sie den Dienst Target auf Key Protect.
  6. Erweitern Sie die Berechtigung auf die Ebene des Key Protect Dienstes oder der Instanz. Nicht auf einen bestimmten Schlüsselring oder Schlüssel festlegen.
  7. Geben Sie für den Servicezugriff mindestens die Rolle Leseberechtigter an.
  8. Aktivieren Sie die Möglichkeit zum Delegieren der Autorisierung durch Quellenservices und abhängige Services.
  9. Klicken Sie auf Autorisieren.

Berechtigungen für die Festplattenverschlüsselung von Arbeitsknoten

Um die Festplattenverschlüsselung von Worker Nodes für VPC-Cluster zu migrieren, benötigen Sie Dienstautorisierungsrichtlinien sowohl für IBM Cloud Kubernetes Service als auch für Cloud Block Storage auf Ihrer Key Protect Instanz.

Gehen Sie folgendermaßen vor, um die Berechtigung für IBM Cloud Kubernetes Service zu erstellen. Wenn diese Richtlinien bereits existieren, müssen Sie sie nicht neu erstellen.

  1. Rufen Sie die Seite mit den Dienstberechtigungen in der Konsole IBM Cloud auf.
  2. Klicken Sie auf Erstellen.
  3. Setzen Sie das Quellkonto auf Dieses Konto, wenn sich der Cluster im aktuellen Konto befindet. Wenn sich der Cluster in einem anderen Konto befindet, wählen Sie Anderes Konto und geben Sie die Konto-ID an.
  4. Legen Sie Kubernetes Service als den Quellenservice fest.
  5. Setzen Sie den Dienst Target auf Key Protect.
  6. Erweitern Sie die Berechtigung auf die Ebene des Key Protect Dienstes oder der Instanz. Nicht auf einen bestimmten Schlüsselring oder Schlüssel festlegen.
  7. Geben Sie für den Servicezugriff mindestens die Rolle Leseberechtigter an.
  8. Aktivieren Sie die Möglichkeit zum Delegieren der Autorisierung durch Quellenservices und abhängige Services.
  9. Klicken Sie auf Autorisieren.

Gehen Sie folgendermaßen vor, um die Berechtigung für Cloud Block Storage zu erstellen.

  1. Rufen Sie die Seite mit den Dienstberechtigungen in der Konsole IBM Cloud auf.
  2. Klicken Sie auf Erstellen.
  3. Setzen Sie das Quellkonto auf Dieses Konto, wenn sich der Cluster im aktuellen Konto befindet. Wenn sich der Cluster in einem anderen Konto befindet, wählen Sie Anderes Konto und geben Sie die Konto-ID an.
  4. Legen Sie Cloud Block Storage als Quellenservice fest. Beachten Sie, dass der Quelldienst in der CLI als server-protect bezeichnet wird.
  5. Setzen Sie den Dienst Target auf Key Protect.
  6. Erweitern Sie die Berechtigung auf die Ebene des Key Protect Dienstes oder der Instanz. Nicht auf einen bestimmten Schlüsselring oder Schlüssel festlegen.
  7. Geben Sie für den Servicezugriff mindestens die Rolle Leseberechtigter an.
  8. Klicken Sie auf Autorisieren.

Red Hat OpenShift on IBM Cloud erstellt automatisch eine zusätzliche Dienst-zu-Dienst-Delegierungsrichtlinie für den Dienst Cloud Block Storage im IBM-managed service account für die Instanz Key Protect. Diese Delegationsrichtlinie ist erforderlich, damit die VPC-Infrastruktur das Startvolume der Arbeitsknoten mit Ihrem Key Protect Root-Schlüssel verschlüsseln kann. Wenn Sie nach der Migration Probleme haben, überprüfen Sie, ob diese delegierte Berechtigungsrichtlinie in Ihren IAM-Berechtigungen vorhanden ist.

Schritt 2. Identifizierung der wichtigsten Verwendungszwecke für die Migration

Ermitteln Sie, welche Ressourcen in Ihrem Konto von HPCS nach Key Protect migriert werden müssen. Informationen über verschiedene Methoden zur Identifizierung der Verwendung finden Sie unter Suche nach Verwendung in der Dokumentation Key Protect.

Für jeden Cluster können Sie die Schlüsselregistrierungen mit dem Befehl ibmcloud kp registrations -i KMS_INSTNACE_ID KEY_ID anzeigen. Die Ausgabe zeigt die folgenden Schlüsselregistrierungen: - Eine Registrierung für Cluster-Geheimnisse - Eine Registrierung für jeden verschlüsselten Arbeiterpool - Eine Registrierung für jeden verschlüsselten Arbeitnehmer

Die Einträge könnten etwa wie folgt aussehen:

"crn:v1:staging:public:containers-kubernetes:us-south:a/1152aa1c1ec54274ac42b8ad8507c90c:d70mi70206f7fchch5h0::
crn:v1:staging:public:containers-kubernetes:us-south:a/1152aa1c1ec54274ac42b8ad8507c90c:d79qqpt20aca2a0ii8v0:worker-pool:d79qqpt20aca2a0ii8v0-edea88a
crn:v1:staging:public:is:us-south-1:a/e2523561f3864f058711d94392c19e9b::volume:r134-799cdc60-c598-4a58-913b-b29ad312a143

Optional: Verwendung des Tools Key Usage Reporter

Eine verfügbare Methode zur Ermittlung der Schlüsselnutzung ist das Tool Key Usage Reporter (KUR), das Ihr Konto scannt und einen Bericht über die verwendeten HPCS-Schlüssel erstellt. Mit diesem Erkennungstool können Sie feststellen, bei welchen Clustern die geheime Verschlüsselung mit HPCS-Schlüsseln aktiviert ist und bei welchen Worker-Pools die Verschlüsselung der Worker-Node-Festplatten mit HPCS-Schlüsseln aktiviert ist. Die Berichtsausgabe zeigt Cluster Secrets, Worker und Worker Pools als separate Ressourcen, die an einen bestimmten HPCS-Schlüssel und eine Instanz gebunden sind. Ausführliche Anweisungen zur Ausführung des Erkennungstools finden Sie unter Erkennung der HPCS-Schlüsselverwendung in der Dokumentation Key Protect.

Beachten Sie, dass das KUR-Tool möglicherweise nicht jeden HPCS-Nutzungsfall anzeigt, daher ist es wichtig, alle Methoden zur Identifizierung der Nutzung zu überprüfen. Wenn Sie eine kontenübergreifende KMS-Instanz verwenden, müssen Sie das KUR-Tool in allen relevanten Konten ausführen.

Schritt 3. Ausführen des Migrationsprogramms

Nachdem Sie die Ressourcen identifiziert haben, die HPCS-Schlüssel verwenden, und die erforderlichen Serviceberechtigungen eingerichtet haben, verwenden Sie das Migrationstool Key Protect, um Ihre Verschlüsselungsschlüssel zu migrieren. Bevor Sie diesen Schritt ausführen, stellen Sie sicher, dass Sie die erforderlichen Service-to-Service-Autorisierungsrichtlinien erstellt haben.

Ausführliche Anweisungen zur Ausführung des Migrationstools finden Sie unter Migration zu Key Protect in der Dokumentation Key Protect.

Was geschieht während der Migration?

Wenn Sie das Migrationstool ausführen, werden die folgenden Aktionen ausgeführt:

Cluster geheime Verschlüsselung
Die Migration löst die Erstellung einer Schlüsselregistrierung für den Schlüssel Key Protect aus. Dann wird der Datenverschlüsselungsschlüssel mit dem Schlüssel Key Protect anstelle des HPCS-Schlüssels erneut verschlüsselt. Die Registrierung wird dann aus dem HCPS-Schlüssel gelöscht. Während des Vorgangs sind keine Ausfallzeiten zu erwarten, und Ihr Cluster funktioniert weiterhin normal.
Verschlüsselung der Festplatte des Arbeitsknotens
  • Für verschlüsselte Worker-Pools: Die Migration löst die Erstellung einer Schlüsselregistrierung auf dem Worker-Pool für die verschlüsselten Worker aus. Die Verweise auf die HPCS-Instanz und den Schlüssel werden so aktualisiert, dass sie auf die Instanz und den Schlüssel Key Protect verweisen. Die Registrierung wird dann aus dem HPCS-Schlüssel gelöscht. Alle neuen Arbeiter, die dem Arbeiterpool hinzugefügt werden, verwenden nun die aktualisierten Schlüsselinformationen. Während des Vorgangs sind keine Ausfallzeiten zu erwarten, und Ihr Mitarbeiterpool funktioniert weiterhin normal.
  • Für einzelne Arbeitnehmer: Die Migration löst die Erstellung einer Schlüsselregistrierung unter dem Schlüssel Key Protect aus. Dann wird der Datenverschlüsselungsschlüssel mit dem Schlüssel Key Protect anstelle des HPCS-Schlüssels erneut verschlüsselt. Die Registrierung wird dann aus dem HCPS-Schlüssel gelöscht. Während der Operation ist keine Ausfallzeit zu erwarten, und Ihr Arbeitnehmer arbeitet normal weiter.

Während der Migration erstellt Red Hat OpenShift on IBM Cloud automatisch eine zusätzliche Dienst-zu-Dienst-Delegierungsrichtlinie für den Cloud Block Storage-Dienst im IBM-verwalteten Dienstkonto auf der Key Protect-Instanz. Diese Delegationsrichtlinie ist erforderlich, damit die VPC-Infrastruktur das Startvolume der Arbeitsknoten mit Ihrem Key Protect Root-Schlüssel verschlüsseln kann. Wenn Sie während oder nach der Migration Probleme haben, überprüfen Sie, ob diese delegierte Berechtigungsrichtlinie in Ihren IAM-Berechtigungen vorhanden ist.

Schritt 4. Überprüfung der Migration

Überprüfen Sie nach Abschluss der Migration, ob Ihr Cluster den Schlüssel Key Protect verwendet.

  1. Überprüfen Sie den Status des Clusters, um sicherzustellen, dass der Master bereit ist.

    ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID

    Überprüfen Sie in der Ausgabe, ob der Master-Status " Bereit" lautet und der Key Management Service die KMS-Instanz-ID und die KMS-Root-Key-ID der Instanz Key Protect anzeigt.

  2. Überprüfen Sie bei der Verschlüsselung von Arbeitsknoten, dass der Worker-Pool auf den Schlüssel Key Protect verweist.

    ibmcloud oc worker-pool get --worker-pool WORKER_POOL_NAME_OR_ID --cluster CLUSTER_NAME_OR_ID

    Überprüfen Sie die KMS- und CRK-Felder in der Ausgabe, um sicherzustellen, dass sie auf Ihre Key Protect-Instanz und Ihren Stammschlüssel verweisen.

  3. Vergewissern Sie sich, dass Sie auf Cluster-Geheimnisse zugreifen können.

    oc get secrets --all-namespaces

  4. Vergewissern Sie sich in Ihrer Instanz Key Protect, dass der Cluster, die Worker und die Worker-Pools für den neuen Root-Schlüssel registriert sind und dass die Schlüsselregistrierungen nicht für die alten HPCS-Schlüssel existieren. Weitere Informationen finden Sie unter Anzeigen von Verknüpfungen zwischen Stammschlüsseln und verschlüsselten IBM Cloud Ressourcen.

Nächste Schritte

Nach erfolgreicher Migration zu Key Protect und Überprüfung der Migration:

  • Überwachen Sie Ihren Cluster auf Probleme im Zusammenhang mit der Verschlüsselung oder dem Schlüsselzugriff.
  • Aktualisieren Sie alle Dokumentationen oder Runbooks, die auf die HPCS-Instanz verweisen.
  • Erwägen Sie Ihren Key Protect Root-Schlüssel drehen entsprechend Ihren Sicherheitsrichtlinien.