Daten in Secrets Manager schützen

Um sicherzustellen, dass Ihre Daten bei der Verwendung von IBM Cloud® Secrets Manager sicher verwaltet werden können, ist es wichtig, genau zu wissen, welche Daten gespeichert und verschlüsselt werden und wie Sie sie löschen können. Eine Datenverschlüsselung unter Verwendung von Schlüsseln, die der Kunde verwaltet, wird durch Integrationen in Key Protect oder Hyper Protect Crypto Services unterstützt.

Wie Ihre Daten in Secrets Manager gespeichert und verschlüsselt werden

Wenn Sie mit Secrets Manager arbeiten, kommuniziert der Service mit HashiCorp Vault, um Operationen für geheime Schlüssel unterschiedlichen Typs zu verarbeiten. Designbedingt verwendet Vault eine Sicherheitsbarriere für alle Anforderungen, die an sein Back-End gestellt werden. Daten, die Vault verlassen, werden automatisch verschlüsselt, indem eine 256-Bit-AES-Verschlüsselung im Galois Counter Mode (GCM) mit 96-Bit-Nonces verwendet wird.

Secrets Manager verschlüsselt alle gespeicherten Geheimnisse mithilfe der Envelope-VerschlüsselungDer Prozess des Verschlüsselns von Daten mit einem Datenverschlüsselungsschlüssel und anschließendem Verschlüsseln des Schlüssels mit einem Rootschlüssel, der vollständig verwaltet werden kann.. Ihre verschlüsselten geheimen Schlüssel werden in einem dedizierten Cloud Object Storage-Bucket gespeichert, der für Ihre Instanz eindeutig ist. Um gespeicherte Daten zu schützen, lässt sich „ Secrets Manager “ in einen Schlüsselverwaltungsdienst wie beispielsweise Key Protect integrieren. Jede Version jedes Geheimnisses wird mit einem Datenverschlüsselungsschlüssel (DEK) verschlüsselt, der durch einen StammschlüsselEin symmetrischer Wrapping-Schlüssel, der zum Verschlüsseln und Entschlüsseln anderer Schlüssel verwendet wird, die in einem Datenservice gespeichert sind. geschützt ist, der von „ Secrets Manager “ verwendet wird, um den Zugriff auf den Tresor zu sperren und freizugeben. Diese Integration schützt Ihre vertraulichen Daten durch den Einsatz von Verschlüsselungsschlüsseln, die in FIPS-zertifizierten Hardware-SicherheitsmodulenEine physische Appliance, die bedarfsgesteuerte Verschlüsselung, Schlüsselverwaltung und Schlüsselspeicherung als verwalteten Service bereitstellt. verankert sind. Zu keinem Zeitpunkt liegen Ihre Berechtigungsnachweise in Klartext vor, während sie vom Service gespeichert werden.

Secrets Manager verwendet außerdem die folgenden Sicherheitsmechanismen, um Ihre Daten bei der Übertragung zu schützen.

  • TLS 1.2+ für die End-to-End-Übertragung
  • mTLS für die interne Übertragung
  • Web App Firewall und DDoS-Schutz
  • Ingress- und Egress-Netzregeln zum Isolieren Ihrer dedizierten Instanz

Sensible Daten in Secrets Manager schützen

Sie können eine höherer Ebene der Verschlüsselungsdiese Informationen zu Ihren ruhenden Daten hinzufügen (wenn diese gespeichert werden), indem Sie die Integration in einen Schlüsselmanagementservice ermöglichen.

Die Daten, die Sie in IBM Cloud speichern werden im Ruhezustand mithilfe der Umschlagverschlüsselung verschlüsselt. Wenn Sie die Verschlüsselungsschlüssel steuern müssen, können Sie einen Schlüsselmanagementservice integrieren. Diese Prozesse werden allgemein als Bring Your Own Keys (BYOK) oder Keep Your Own Keys (KYOK) bezeichnet. Mit einem Schlüsselmanagementservice können Sie Verschlüsselungsschlüssel erstellen, importieren und verwalten. Sie können den Schlüsseln Zugriffsrichtlinien zuordnen, den Schlüsseln Benutzer oder Service-IDs zuordnen oder den Schlüsselzugriff nur einem bestimmten Service erteilen.

In der folgenden Tabelle werden Ihre Optionen für die Verwaltung der Verschlüsselung Ihrer Secrets Manager-Daten beschrieben.

Verschlüsselungsoptionen für Secrets Manager
Verschlüsselung Beschreibung
Vom Provider verwaltete Verschlüsselung Die Daten, die Sie in Secrets Manager speichern, werden im Ruhezustand mithilfe eines von IBM verwalteten Schlüssels verschlüsselt. Der Verschlüsselungsschlüssel wird in einer Key Protect Standardinstanz gespeichert, die vom Dienst verwaltet wird. Dies ist die Standardeinstellung.
Vom Kunden verwaltete Verschlüsselung Die Daten, die in Secrets Manager gespeichert werden, werden im Ruhezustand mithilfe eines Verschlüsselungsschlüssels verschlüsselt, den Sie als Kunde besitzen und verwalten. Sie können einen Root-Schlüssel verwenden, den Sie in Key Protect.

Informationen zu den vom Kunden verwalteten Schlüsseln

Secrets Manager verwendet die Umschlagverschlüsselung, um vom Kunden verwaltete Schlüssel zu implementieren. Umschlagverschlüsselung bedeutet, dass Verschlüsselungsschlüssel mit einem anderen Verschlüsselungsschlüssel verschlüsselt wird. Der Schlüssel, der zur Verschlüsselung der eigentlichen Daten verwendet wird, wird als Datenverschlüsselungsschlüssel(DEK)Ein Verschlüsselungsschlüssel, der zum Verschlüsseln von Daten verwendet wird, die in einer Anwendung gespeichert sind. bezeichnet. Der Schlüssel zur Datenverschlüsselung (DEK) selbst wird nie gespeichert, sondern er wird von einem zweiten Schlüssel, der als Schlüssel zur Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK) bezeichnet wird, eingeschlossen, um so einen eingeschlossenen DEK zu erzeugen. Um Daten zu entschlüsseln, wird der Umschlag des eingeschlossene DEK entfernt. Dieser Prozess ist nur durch den Zugriff auf den KEK möglich, der in diesem Fall Ihr Rootschlüssel ist, der in Ihrem Schlüsselmanagementservice gespeichert ist.

Sie können die Daten, die Sie auf Secrets Manager speichern, mit dem Bring Your Own Key-Verfahren (BYOK) verschlüsseln, das von Key Protect unterstützt wird. Mit diesem Dienst können Sie Ihre Verschlüsselungsschlüssel aus den lokalen Hardware-Sicherheitsmodulen (HSM) importieren und anschließend verwalten. Wenn Sie die ausschließliche Kontrolle über die gesamte Schlüsselhierarchie, einschließlich des Hauptschlüssels, wünschen, können Sie das von Key Protect unterstützte Verfahren Keep Your Own Key (KYOK) verwenden. Mit KYOK haben Sie, zusätzlich zu den BYOK-Fähigkeiten, die technische Sicherheit, dass auch IBM keinen Zugriff auf Ihre Schlüssel hat. Weitere Informationen.

Vom Kunden verwaltete Schlüssel für Secrets Manager aktivieren

Wenn Sie sich für einem Schlüssel entscheiden, den Sie selbst verwalten, müssen Sie sicherstellen, dass die gültige IAM-Autorisierung der Instanz von Secrets Manager zugeordnet wird, mit der Sie arbeiten. Um diese Autorisierung zu erstellen, können Sie die folgenden Schritte ausführen:

  1. Erstellen Sie eine Instanz von Key Protect.

  2. Generieren oder importieren Sie einen Rootschlüssel in der Instanz Ihres Schlüsselverwaltungsservice.

    Wenn Sie Key Protect zum Erstellen eines Rootschlüssels verwenden, generiert der Service kryptographisches Schlüsselmaterial mit Root in cloudbasierten HSMs. Stellen Sie sicher, dass der Name des Schlüssels keine personenbezogenen Daten, wie z. B. Ihren Namen oder Standort, enthält.

  3. Erteilen Sie Servicezugriff auf Key Protect oder Hyper Protect Crypto Services.

    Sie müssen der Kontoeigner oder ein Administrator für die Instanz des Schlüsselverwaltungsservice sein, mit der Sie arbeiten. Darüber hinaus benötigen Sie mindestens die Zugriffsberechtigung eines Anzeigeberechtigten für den Secrets Manager-Service.

    1. Rufen Sie Verwalten > Zugriff (IAM) > Autorisierungen auf.
    2. Wählen Sie das Quellkonto aus
      • Wählen Sie dieses Konto aus, wenn Sie eine Secrets Manager-Instanz in diesem Konto bereitstellen möchten.
      • Wählen Sie ein bestimmtes Konto aus und geben Sie die ID Ihres Quellkontos an, in dem Sie Ihre Secrets Manager-Instanz bereitstellen möchten.
    3. Wählen Sie die spezifische Instanz von Key Protect, die Ihren Stammschlüssel enthält, als Zieldienst aus.
    4. Um den Umfang der Berechtigung zu bestimmen:
      • Alle Schlüssel in einem Schlüsselring: Klicken Sie auf Bedingung hinzufügen, wählen Sie Schlüsselring-ID und geben Sie die ID Ihres Schlüsselrings ein.
      • Ein bestimmter Verschlüsselungsschlüssel: Klicken Sie auf Bedingung hinzufügen, wählen Sie Ressourcentyp und geben Sie den Wert Schlüssel ein. Klicken Sie anschließend auf Bedingung hinzufügen, wählen Sie Ressourcen-ID und geben Sie die ID Ihres Verschlüsselungsschlüssels an.
    5. Weisen Sie die Rolle „Leser“ zu.
    6. Klicken Sie auf Autorisieren, um die Autorisierung zu bestätigen.

    Wenn Sie Ihre Secrets Manager-Instanz später löschen, wird diese Autorisierung auch von IAM gelöscht.

  4. Erstellen Sie Ihre Secrets Manager-Instanz mit dem zuvor autorisierten Root-Schlüssel.

Daten in Secrets Manager löschen

Wenn Sie Ihre Instanz von „ Secrets Manager “ löschen, werden auch alle damit verbundenen Benutzerdaten gelöscht. Wenn die Serviceinstanz gelöscht wird, beginnt ein Wiederherstellungszeitraum von 7 Tagen. Während dieser Zeit können Sie die Instanz und alle zugehörigen Benutzerdaten wiederherstellen. Nachdem die Instanz und die Daten jedoch dauerhaft gelöscht werden, können sie nicht mehr wiederhergestellt werden. Secrets Manager speichert keine Daten von dauerhaft gelöschten Instanzen.

Wenn Ihre Instanz im Rahmen des Release neuer Preistarife automatisch gelöscht wurde, kann sie mithilfe des Wiederherstellungsprozesses wiederhergestellt werden. Nach der Wiederherstellung müssen Sie Ihren Plan innerhalb von 1 Stunde aktualisieren. Andernfalls wird er erneut gelöscht.

In der Secrets Manager-Datenaufbewahrungsrichtlinie wird beschrieben, wie lange Ihre Daten gespeichert werden, nachdem Sie den Service gelöscht haben. Die Datenaufbewahrungsrichtlinie ist in der Secrets Manager-Servicebeschreibung enthalten, die in den IBM Cloud Bedingungen und Bemerkungen zu enthalten sind.

Secrets Manager-Instanz löschen

Wenn Sie eine Instanz von Secrets Manager nicht mehr benötigen, können Sie die Serviceinstanz und alle gespeicherten Daten löschen. Ihre Instanz tritt in einen inaktivierten Status ein und wird nach 7 Tagen permanent gelöscht. Sie können auch auswählen, dass Ihre Serviceinstanz über die Konsole gelöscht wird.

Löschen Sie während des 7-Tage-Wiederherstellungszeitraums keine Autorisierungen zwischen Secrets Manager und anderen integrierten Services, wie z. B. Key Protect. Secrets Manager verwendet die Autorisierung, um die Registrierung Ihrer Instanz bei den zugehörigen Ressourcen in diesen Services zurückzunehmen. Nachdem die Instanz dauerhaft gelöscht wurde, wird auch die Autorisierung von IAM gelöscht.

  1. Löschen Sie den Service und versetzen Sie ihn in den Wiederherstellungszeitraum von 7 Tagen.

    ibmcloud resource service-instance-delete "INSTANCE_NAME"

    Ersetzen Sie INSTANCE_NAME durch den Namen der Secrets Manager-Instanz, die Sie löschen wollen.

  2. Optional: Um Ihre Instanz permanent zu löschen, rufen Sie die Wiederherstellung-ID ab.

    ibmcloud resource reclamations --resource-instance-id INSTANCE_ID

    Ersetzen Sie INSTANCE_ID durch Ihre Secrets Manager-Instanz-ID.

    Wenn Sie auswählen, dass die Instanz durch das Löschen der zugehörigen Wiederherstellung dauerhaft gelöscht wird, können Sie Ihre Daten nicht wiederherstellen.

  3. Optional: Löschen Sie die Wiederherstellungsinstanz dauerhaft.

    ibmcloud resource reclamation-delete RECLAMATION_ID

    Ersetzen Sie <reclamation_ID> durch den Wert, den Sie im vorherigen Schritt abgerufen haben.

Gelöschte Serviceinstanz wiederherstellen

Wenn Sie Ihre Instanz nicht permanent gelöscht haben, können Sie sie während des 7-Tage dauernden Wiederherstellungszeitraums wiederherstellen.

  1. Anzeigen, welche Serviceinstanzen für die Wiederherstellung verfügbar sind.

    ibmcloud resource reclamations

    Kopieren Sie aus der Liste der verfügbaren Instanzen die Wiederherstellungs-ID der Secrets Manager-Instanz, die Sie wiederherstellen möchten.

  2. Stellen Sie die Serviceinstanz wieder her.

    ibmcloud resource reclamation-restore RECLAMATION_ID

    Ersetzen Sie <reclamation_ID> durch den Wert, den Sie im vorherigen Schritt abgerufen haben.