A propos des clés gérées par le client

Secrets Manager utilise le chiffrement d'enveloppes pour implémenter des clés gérées par le client. Le chiffrement d'enveloppe décrit le processus de chiffrement d'une clé à l'aide d'une autre. La clé utilisée pour chiffrer les données proprement dites est appelée « clé de chiffrement des données »(DEK)Clé de chiffrement permettant de chiffrer les données stockées dans une application. La DEK n'est jamais stockée, mais elle est encapsulée par une seconde clé, connue sous le nom de clé de chiffrement de clés (KEK), pour créer une DEK encapsulée. Pour déchiffrer les données, la DEK est désencapsulée. Ce processus est possible uniquement via l'accès à la KEK, qui dans ce cas est votre clé racine stockée dans votre service de gestion des clés.

Vous pouvez crypter les données que vous stockez dans Secrets Manager en utilisant le processus Bring Your Own Key (BYOK), qui est pris en charge par Key Protect. Grâce à ce service, vous pouvez importer vos clés de chiffrement depuis les modules de sécurité matériels (HSM) installés sur site, puis gérer ces clés. Si vous souhaitez avoir le contrôle exclusif de l'ensemble de la hiérarchie des clés, y compris la clé principale, vous pouvez utiliser le processus Keep Your Own Key (KYOK), qui est pris en charge par Key Protect. Avec KYOK, en plus des capacités BYOK, vous avez l'assurance technique que même IBM ne peut pas accéder à vos clés. En savoir plus.

Activation des clés gérées par le client pour Secrets Manager

Si vous choisissez de travailler avec une clé que vous gérez, vous devez vous assurer que l'autorisation IAM valide est affectée à l'instance de Secrets Manager avec laquelle vous travaillez. Pour créer cette autorisation, vous pouvez procéder comme suit.

1. Créez une instance de Key Protect.

2. Générez ou importez une clé racine pour votre instance de service de gestion de clés.

   Lorsque vous utilisez Key Protect pour créer une clé racine, le service génère du matériel de clé cryptographique qui est placé dans des modules HSM basés sur le cloud. Veillez à ce que le nom de votre clé ne contienne pas d'informations personnelles telles que votre nom ou votre emplacement.

3. Accordez un accès au service à Key Protect ou Hyper Protect Crypto Services.

   Vous devez être le propriétaire du compte ou un administrateur de l'instance du service de gestion de clés que vous utilisez. Vous devez également disposer au moins de l'accès Afficheur pour le service Secrets Manager.

   1. Accédez à Gérer > Accéder à IAM > Autorisations.
   2. Sélectionnez le compte source
      • Sélectionnez Ce compte si vous prévoyez de provisionner une instance d' Secrets Manager s dans ce compte.
      • Sélectionnez Compte spécifique et fournissez l'ID de votre compte source où vous prévoyez de provisionner votre instance d' Secrets Manager.
   3. Sélectionnez l'instance spécifique de Key Protect qui contient votre clé racine comme service cible.
   4. Pour délimiter le champ d'application de l'autorisation :
      • Toutes les clés d'un porte-clés: cliquez sur Ajouter une condition, sélectionnez ID du porte-clés et indiquez l'ID de votre porte-clés.
      • Une clé de chiffrement spécifique : cliquez sur Ajouter une condition, sélectionnez Type de ressource et indiquez la valeur clé. Cliquez ensuite sur Ajouter une condition, sélectionnez ID de la ressource et indiquez l'ID de votre clé de cryptage.
   5. Attribuez le rôle de « Lecteur ».
   6. Cliquez sur Autoriser pour confirmer l'autorisation.

   Si vous choisissez de supprimer ultérieurement votre instance Secrets Manager, cette autorisation est également supprimée par IAM.

4. Créez votre instance d' Secrets Manager, en utilisant la clé racine que vous avez préalablement autorisée.

Suppression d'une instance Secrets Manager

Si vous n'avez plus besoin d'une instance de Secrets Manager, vous pouvez supprimer l'instance de service et toutes les données stockées. Votre instance entre dans un état désactivé et après 7 jours, ses données sont définitivement supprimées. Vous pouvez également choisir de supprimer votre instance de service en utilisant la console.

Au cours de la période de récupération de 7 jours, ne supprimez pas les autorisations entre Secrets Manager et les autres services intégrés, tels que Key Protect. Secrets Manager utilise l'autorisation pour annuler l'enregistrement de votre instance à partir de toutes les ressources associées de ces services. Une fois que l'instance est définitivement supprimée, l'autorisation est également supprimée par IAM.

1. Supprimez le service et faites-le entrer dans une période de récupération de 7 jours.

   ibmcloud resource service-instance-delete "INSTANCE_NAME"
   

   Remplacez INSTANCE_NAME par le nom de l'instance Secrets Manager à supprimer.

2. Facultatif : pour supprimer définitivement votre instance, obtenez l'ID de récupération.

   ibmcloud resource reclamations --resource-instance-id INSTANCE_ID
   

   Remplacez INSTANCE_ID par votre ID d'instance Secrets Manager.

   Si vous choisissez de supprimer définitivement l'instance en supprimant sa récupération, vous ne pouvez pas restaurer vos données.

3. Facultatif : supprimez définitivement l'instance de récupération.

   ibmcloud resource reclamation-delete RECLAMATION_ID
   

   Remplacez <reclamation_ID> par la valeur que vous avez extraite à l'étape précédente.

Restauration d'une instance de service supprimée

Si vous n'avez pas supprimé définitivement votre instance, vous pouvez la restaurer au cours de la période de récupération de 7 jours.

1. Affichez les instances de service qui sont disponibles pour restauration.

   ibmcloud resource reclamations
   

   Dans la liste des instances disponibles, copiez l'ID de récupération de l'instance Secrets Manager à restaurer.

2. Restaurez la récupération.

   ibmcloud resource reclamation-restore RECLAMATION_ID
   

   Remplacez <reclamation_ID> par la valeur que vous avez extraite à l'étape précédente.