Antes de empezar

Consulte la información siguiente:

• Diseño de KMIP for VMware
• Implementación y gestión de KMIP for VMware

Opciones de migración

IBM Cloud® las ofertas de gestión de claves introducen proveedores KMIP nativos para sustituir al proveedor de servicios Key Management Interoperability Protocol (KMIP™) para VMware®. Estos nuevos proveedores nativos tienen las siguientes ventajas:

• Mejora del rendimiento porque las llamadas de KMIP a proveedor clave están más cerca en la distancia de red y ya no cruzan los límites de autorización de servicio a servicio.
• Mejora de la visibilidad y la gestión de las claves KMIP.

Los proveedores nativos comparten un código común y su comportamiento es similar. Para obtener más información, consulte Key Protect: uso del protocolo de interoperabilidad de administración de claves(KMIP).

Migración al nuevo proveedor KMIP

Si ya utiliza el proveedor KMIP para VMware, cambie al nuevo proveedor de claves para mejorar el rendimiento:

1. Vaya a https://cloud.ibm.com/infrastructure/vmware-solutions/console/instances/kmip.

2. Seleccione su instancia KMIP existente para VMware y anote el nombre de la instancia de Key Manager.

3. Vaya a https://cloud.ibm.com/resources, expanda Seguridad. Si su instancia KMIP utiliza un servicio dedicado de gestión de claves, debe aprovisionar una nueva instancia de gestor de claves porque IBM Cloud está cambiando los servicios dedicados de gestión de claves de Hyper Protect Crypto Services (HPCS) a Key Protect Dedicated. Sin embargo, si su instancia de KMIP utiliza Key Protect, puede seguir utilizando la misma instancia de Gestor de claves del paso 2.

   Para llevar a cabo este paso, su cuenta necesita ciertos privilegios. Complete los siguientes pasos para comprobar el privilegio de su cuenta:

   1. En la consola, Gestionar > Acceso (IAM) > Usuarios.
   2. En Políticas de acceso, seleccione su ID de usuario y, a continuación, seleccione la pestaña Acceso.
   3. Asegúrese de que se añaden los permisos de servicio - Key Protect y Rol - Administrador.

4. Seleccione Adaptadores KM IP en el menú de navegación de la izquierda y haga clic en Crear adaptador KMIP.

5. Opcionalmente, escriba un nombre y, a continuación, seleccione una clave raíz.

   Añadir los detalles del certificado aquí es opcional, ya que vCenter Server genera un nuevo certificado para cada proveedor de claves que configure. El certificado se genera en el paso 11.

6. Seleccione la pestaña Endpoints del menú de navegación izquierdo para identificar el endpoint KMIP que necesita configurar. Elija el punto final Privado con tipo como KMIP.

   Aquí sólo hay disponible un punto final, a diferencia de lo que ofrece KMIP para VMware en IBM Cloud para VMware Solutions. Un único nombre de host equilibra la carga y está altamente disponible en cada región.

7. En vCenter Server, seleccione el objeto vCenter.

8. Seleccione Configurar > Proveedores de claves y, a continuación, añada un proveedor de claves estándar.

9. Verifique los detalles y haga clic en Confiar.

10. Seleccione el nuevo proveedor de claves y, a continuación, el servidor único en ese proveedor.

11. En la sección Hacer que KMS confíe en vCenter, haga clic en Establecer confianza. Utilice la opción vCenter Certificado que genera un nuevo certificado sólo para esta conexión.

12. Copie el certificado y haga clic en Listo.

Antes de copiar el certificado, espere a que se actualice la pantalla porque los detalles del certificado pueden variar si copia demasiado rápido.

13. Vuelva a la página de adaptadores KM IP y consulte los detalles de su adaptador KMIP.
14. En Detalles del adaptador, seleccione la pestaña SSL certificates. Haga clic en Añadir certificado y pegue el certificado que ha copiado de vCenter.

El estado de salud del proveedor de claves puede tardar varios minutos en cambiar en el servidor vCenter.

$kp = Get-KeyProvider <new-kmip>

foreach($vm in Get-VM) {
  if($vm.ExtensionData.Config.KeyId) {
    Set-VM $vm -KeyProvider $kp -Confirm:$false
  }
}

$kp = Get-KeyProvider <new-kmip>

foreach($vmhost in Get-VMHost) {
  if($vmhost.ExtensionData.Runtime.CryptoState -eq "safe") {
    Set-VMHost $vmhost -KeyProvider $kp
  }
}

$vmlist = @()

foreach($vm in Get-VM) {
  $vmlist += [pscustomobject]@{ vm = $vm.name; provider = $vm.ExtensionData.Config.KeyId.ProviderId.Id}
}

$vmlist | Format-Table
$hostlist = @()

foreach($vmhost in Get-VMHost) {
  $vmhostview = Get-View $vmhost
  $hostlist += [pscustomobject]@{ host = $vmhost.name; provider = $vmhostview.Runtime.CryptoKeyId.ProviderId.Id}
}

$hostlist | Format-Table
$clusterlist = @()
$vsanclusterconfig = Get-VsanView -Id "VsanVcClusterConfigSystem-vsan-cluster-config-system"

foreach($cluster in Get-Cluster) {
  $encryption = $vsanclusterconfig.VsanClusterGetConfig($cluster.ExtensionData.MoRef).DataEncryptionConfig
  $clusterlist += [pscustomobject]@{ cluster = $cluster.name; provider = $encryption.KmsProviderId.Id }
}

$clusterlist | Format-Table

Enlaces relacionados

• Fin del apoyo a KMIP para VMware
• Preguntas más frecuentes sobre la migración a KMIP para VMware
• IBM® Key Protect para IBM Cloud