Vorbereitende Schritte

Sie können sich die folgenden Informationen ansehen:

• KMIP for VMware - Design
• KMIP for VMware Bereitstellung und Verwaltung

Migrationsoptionen

IBM Cloud® angebote zur Schlüsselverwaltung führen native KMIP-Anbieter ein, die das Key Management Interoperability Protocol (KMIP™) für VMware® ersetzen. Diese neuen einheimischen Anbieter haben die folgenden Vorteile:

• Bessere Leistung, da die Anrufe von KMIP zu den Hauptanbietern näher am Netz liegen und nicht mehr die Autorisierungsgrenzen zwischen den Diensten überschreiten.
• Verbesserte Sichtbarkeit und Verwaltung der KMIP-Schlüssel.

Die einheimischen Anbieter haben einen gemeinsamen Code und ihr Verhalten ist ähnlich. Weitere Informationen finden Sie unter Key Protect: Verwenden des Key Management Interoperability Protocol(KMIP).

Umstellung auf den neuen KMIP-Anbieter

Wenn Sie bereits den KMIP-Anbieter für VMware verwenden, wechseln Sie zum neuen Schlüsselanbieter, um die Leistung zu verbessern:

1. Rufen Sie https://cloud.ibm.com/infrastructure/vmware-solutions/console/instances/kmip auf.

2. Wählen Sie Ihre vorhandene KMIP-Instanz für VMware und notieren Sie sich den Namen der Key Manager-Instanz.

3. Gehen Sie zu https://cloud.ibm.com/resources, erweitern Sie Sicherheit. Wenn Ihre KMIP-Instanz einen dedizierten Schlüsselverwaltungsdienst verwendet, müssen Sie eine neue Schlüsselverwaltungsinstanz bereitstellen, da IBM Cloud die dedizierten Schlüsselverwaltungsdienste von Hyper Protect Crypto Services (HPCS) auf Key Protect Dedicated ändert. Wenn Ihre KMIP-Instanz jedoch Key Protect verwendet, können Sie dieselbe Key Manager-Instanz aus Schritt 2 weiter verwenden.

   Um diesen Schritt durchzuführen, benötigt Ihr Konto bestimmte Berechtigungen. Führen Sie die folgenden Schritte aus, um Ihre Kontoberechtigung zu überprüfen:

   1. Wählen Sie in der Konsole Verwalten > Zugriff (IAM) > Benutzer.
   2. Wählen Sie unter Zugriffsrichtlinien Ihre Benutzer-ID aus und wählen Sie dann die Registerkarte Zugriff.
   3. Stellen Sie sicher, dass die Berechtigungen Dienst - Key Protect und Rolle - Administrator hinzugefügt werden.

4. Wählen Sie KMIP-Adapter aus dem linken Navigationsmenü und klicken Sie auf KMIP-Adapter erstellen.

5. Geben Sie optional einen Namen ein, und wählen Sie dann einen Stammschlüssel aus.

   Das Hinzufügen von Zertifikatsdetails ist optional, da vCenter Server für jeden Schlüsselanbieter, den Sie konfigurieren, ein neues Zertifikat generiert. Das Zertifikat wird in Schritt 11 erstellt.

6. Wählen Sie die Registerkarte Endpunkte im linken Navigationsmenü, um den KMIP-Endpunkt zu identifizieren, den Sie konfigurieren müssen. Wählen Sie den privaten Endpunkt mit dem Typ KMIP.

   Im Gegensatz zum Angebot von KMIP für VMware in IBM Cloud für VMware Solutions ist hier nur ein Endpunkt verfügbar. Ein einziger Hostname gleicht die Last aus und ist in jeder Region hoch verfügbar.

7. Wählen Sie unter vCenter Server das Objekt vCenter.

8. Wählen Sie Konfigurieren > Schlüsselanbieter und fügen Sie dann einen Standardschlüsselanbieter hinzu.

9. Überprüfen Sie die Angaben und klicken Sie auf Vertrauen.

10. Wählen Sie den neuen Schlüsselanbieter und dann den einzelnen Server in diesem Anbieter.

11. Klicken Sie im Abschnitt KMS vertrauen vCenter auf Vertrauen einrichten. Verwenden Sie die Option vCenter Zertifikat, die ein neues Zertifikat nur für diese Verbindung erzeugt.

12. Kopieren Sie das Zertifikat, und klicken Sie auf Fertig.

Bevor Sie das Zertifikat kopieren, warten Sie, bis der Bildschirm aktualisiert wurde, da sich die Zertifikatsdetails ändern können, wenn Sie zu schnell kopieren.

13. Kehren Sie zur Seite KMIP-Adapter zurück und sehen Sie sich die Details zu Ihrem KMIP-Adapter an.
14. Wählen Sie unter Adapterdetails die Registerkarte SSL Zertifikate. Klicken Sie auf Zertifikat hinzufügen, und fügen Sie das Zertifikat ein, das Sie von vCenter kopiert haben.

Es kann einige Minuten dauern, bis sich der Gesundheitszustand des Hauptanbieters auf dem vCenter Server ändert.

$kp = Get-KeyProvider <new-kmip>

foreach($vm in Get-VM) {
  if($vm.ExtensionData.Config.KeyId) {
    Set-VM $vm -KeyProvider $kp -Confirm:$false
  }
}

$kp = Get-KeyProvider <new-kmip>

foreach($vmhost in Get-VMHost) {
  if($vmhost.ExtensionData.Runtime.CryptoState -eq "safe") {
    Set-VMHost $vmhost -KeyProvider $kp
  }
}

$vmlist = @()

foreach($vm in Get-VM) {
  $vmlist += [pscustomobject]@{ vm = $vm.name; provider = $vm.ExtensionData.Config.KeyId.ProviderId.Id}
}

$vmlist | Format-Table
$hostlist = @()

foreach($vmhost in Get-VMHost) {
  $vmhostview = Get-View $vmhost
  $hostlist += [pscustomobject]@{ host = $vmhost.name; provider = $vmhostview.Runtime.CryptoKeyId.ProviderId.Id}
}

$hostlist | Format-Table
$clusterlist = @()
$vsanclusterconfig = Get-VsanView -Id "VsanVcClusterConfigSystem-vsan-cluster-config-system"

foreach($cluster in Get-Cluster) {
  $encryption = $vsanclusterconfig.VsanClusterGetConfig($cluster.ExtensionData.MoRef).DataEncryptionConfig
  $clusterlist += [pscustomobject]@{ cluster = $cluster.name; provider = $encryption.KmsProviderId.Id }
}

$clusterlist | Format-Table

Zugehörige Links

• Ende der Unterstützung für KMIP für VMware
• Häufig gestellte Fragen für KMIP für VMware Migration
• IBM® Key Protect für IBM Cloud