Portworx ボリュームをHPCSから Key Protect

Portworx のストレージボリュームに対して、 Hyper Protect Crypto Services （HPCS）による暗号化から、 IBM Key Protect （ Key Protect ）への移行を行ってください。

開始前に

Portworx の暗号化ボリュームを Hyper Protect Crypto Services から Key Protect へ移行する前に、以下の手順を完了してください。

Red Hat OpenShift クラスターにアクセスします。
Key Protect のCLIプラグインがインストールされていることを確認してください。
まだお持ちでない場合は、移行に使用する Key Protect インスタンスを作成してください。
ボリュームの移行を行う際は、必ず「 Portworx HPCS から Key Protect への移行スクリプト」を用意してください。このツールは、ツールへのアクセスをリクエストすると、 hpcs-2-kp-k8s.zip ファイルに含まれます。詳細については、移行の概要のステップ1をご覧ください。

Portworx の暗号化ボリュームの移行

以下の手順に従って、 Portworx の暗号化ボリュームを Hyper Protect Crypto Services から Key Protect へ移行してください。これらの手順には、移行スクリプトの実行が含まれます。

IBM Cloud のAPIキーを環境変数として設定してください。
```
export IC_API_KEY="YOUR_API_KEY"
```

必要なオプションを指定して移行スクリプトを実行してください。プレースホルダーの値を、実際の設定内容に置き換えてください。

./hpcs_kp_px_migration_script.sh \
  --region us-south \
  --resource-group Default \
  --hpcs-endpoint https://api.us-south.hs-crypto.cloud.ibm.com:8389/ \
  --hpcs-instance-id <hpcs-instance-id> \
  --hpcs-root-key-id <hpcs-root-key-id> \
  --kp-endpoint https://us-south.kms.cloud.ibm.com/ \
  --kp-instance-id <kp-instance-id> \
  --kp-root-key-id <kp-root-key-id> \
  --cluster-name my-px-cluster \
  --etcd-endpoints <etcd-endpoints> \
  --px-namespace kube-system

必要なコマンド引数については、表を確認してください。

移行スクリプトのフラグ
フラグ	説明
`--region`	IBM Cloud 地域（例： `us-south` ）
`--resource-group`	IBM Cloud リソースグループ。
`--hpcs-endpoint`	Hyper Protect Crypto Services キー管理エンドポイント URL。
`--hpcs-instance-id`	Hyper Protect Crypto Services インスタンスID。
`--hpcs-root-key-id`	Hyper Protect Crypto Services ルートキーID。
`--kp-endpoint`	Key Protect エンドポイント URL。
`--kp-instance-id`	Key Protect インスタンスID。
`--kp-root-key-id`	Key Protect ルートキーID。
`--cluster-name`	Portworx クラスタ名（ `pxctl status` の出力より）。
`--px-namespace`	クラスター上で Portworx が実行されるネームスペース。

移行スクリプトの実行が完了したら、 portworx ネームスペース内の px-ibm Kubernetes シークレットを更新し、設定した Key Protect インスタンスとルートキーを指すようにしてください。以下のフィールドを更新してください：
- IBM_SERVICE_API_KEY
- IBM_INSTANCE_ID
- IBM_BASE_URL
- IBM_CUSTOMER_ROOT_KEY
各クラスタノードで Portworx を再起動してください。各ノードで「 Portworx 」が正常と表示されるのを確認してから、次のノードに進んでください。

ノード上で Portworx を再起動します。
```
kubectl label node px/service=restart
```
暗号化されたボリュームにアクセスできることを確認し、新しいボリュームではキー管理サービス（KMS）として Key Protect が使用されていることを確認してください。