Avant de commencer

Passez en revue les informations suivantes :

• Conception de KMIP for VMware
• Implémentation et gestion de KMIP for VMware

Options de migration

IBM Cloud® les offres de gestion des clés introduisent des fournisseurs natifs de KMIP pour remplacer le protocole d'interopérabilité de gestion des clés (KMIP™) pour le fournisseur de services VMware®. Ces nouveaux fournisseurs locaux présentent les avantages suivants :

• Amélioration des performances car les appels de KMIP vers le fournisseur de clés sont plus proches en distance de réseau et ne traversent plus les limites d'autorisation de service à service.
• Amélioration de la visibilité et de la gestion des clés KMIP.

Les fournisseurs natifs partagent un code commun et leur comportement est similaire. Pour plus d'informations, consultez Key Protect: Utilisation du protocole d'interopérabilité de gestion des clés(KMIP).

Migration vers le nouveau fournisseur KMIP

Si vous utilisez déjà le fournisseur KMIP pour VMware, passez au nouveau fournisseur de clés pour améliorer les performances :

1. Accédez à https://cloud.ibm.com/infrastructure/vmware-solutions/console/instances/kmip.

2. Sélectionnez votre instance KMIP for VMware existante et notez le nom de l'instance Key Manager.

3. Allez sur https://cloud.ibm.com/resources, développez Sécurité. Si votre instance KMIP utilise un service de gestion de clés dédié, vous devez provisionner une nouvelle instance de gestion de clés car IBM Cloud change les services de gestion de clés dédiés de Hyper Protect Crypto Services (HPCS) à Key Protect Dedicated. Toutefois, si votre instance KMIP utilise Key Protect, vous pouvez continuer à utiliser la même instance de gestionnaire de clés qu'à l'étape 2.

   Pour mettre en œuvre cette étape, votre compte doit disposer de certains privilèges. Suivez les étapes suivantes pour vérifier les privilèges de votre compte :

   1. Dans la console, cliquez sur Gérer > Accès (IAM ) > Utilisateurs.
   2. Sous Politiques d'accès, sélectionnez votre ID utilisateur, puis l'onglet Accès.
   3. Veillez à ce que les autorisations Service - Key Protect et Role - Administrator soient ajoutées.

4. Sélectionnez Adaptateurs KMIP dans le menu de navigation de gauche, puis cliquez sur Créer un adaptateur KMIP.

5. Si vous le souhaitez, vous pouvez saisir un nom, puis sélectionner une clé racine.

   L'ajout des détails du certificat est facultatif car le serveur vCenter génère un nouveau certificat pour chaque fournisseur de clé que vous configurez. Le certificat est généré à l'étape 11.

6. Sélectionnez l'onglet Endpoints dans le menu de navigation de gauche pour identifier le point de terminaison KMIP que vous devez configurer. Choisissez le point de terminaison privé avec le type KMIP.

   Un seul point d'extrémité est disponible ici, contrairement à l'offre KMIP pour VMware dans IBM Cloud pour VMware Solutions. Un seul nom d'hôte équilibre la charge et est hautement disponible dans chaque région.

7. Dans vCenter Server, sélectionnez l'objet vCenter.

8. Sélectionnez Configure > Key Providers, puis ajoutez un fournisseur de clés standard.

9. Vérifiez les détails et cliquez sur Trust.

10. Sélectionnez le nouveau fournisseur de clés, puis le serveur unique de ce fournisseur.

11. Dans la section Make KMS trust vCenter, cliquez sur Establish Trust. Utilisez l'option vCenter Certificate qui génère un nouveau certificat uniquement pour cette connexion.

12. Copiez le certificat et cliquez sur Terminé.

Avant de copier le certificat, attendez que l'écran se rafraîchisse, car les détails du certificat peuvent varier si vous copiez trop rapidement.

13. Retournez à la page des adaptateurs KM IP et affichez les détails de votre adaptateur KMIP.
14. Sous Détails de l'adaptateur, sélectionnez l'onglet Certificats SSL. Cliquez sur Ajouter un certificat et collez le certificat que vous avez copié à partir de vCenter.

L'état de santé du fournisseur de clés peut prendre plusieurs minutes avant d'être modifié dans le serveur vCenter.

$kp = Get-KeyProvider <new-kmip>

foreach($vm in Get-VM) {
  if($vm.ExtensionData.Config.KeyId) {
    Set-VM $vm -KeyProvider $kp -Confirm:$false
  }
}

$kp = Get-KeyProvider <new-kmip>

foreach($vmhost in Get-VMHost) {
  if($vmhost.ExtensionData.Runtime.CryptoState -eq "safe") {
    Set-VMHost $vmhost -KeyProvider $kp
  }
}

$vmlist = @()

foreach($vm in Get-VM) {
  $vmlist += [pscustomobject]@{ vm = $vm.name; provider = $vm.ExtensionData.Config.KeyId.ProviderId.Id}
}

$vmlist | Format-Table
$hostlist = @()

foreach($vmhost in Get-VMHost) {
  $vmhostview = Get-View $vmhost
  $hostlist += [pscustomobject]@{ host = $vmhost.name; provider = $vmhostview.Runtime.CryptoKeyId.ProviderId.Id}
}

$hostlist | Format-Table
$clusterlist = @()
$vsanclusterconfig = Get-VsanView -Id "VsanVcClusterConfigSystem-vsan-cluster-config-system"

foreach($cluster in Get-Cluster) {
  $encryption = $vsanclusterconfig.VsanClusterGetConfig($cluster.ExtensionData.MoRef).DataEncryptionConfig
  $clusterlist += [pscustomobject]@{ cluster = $cluster.name; provider = $encryption.KmsProviderId.Id }
}

$clusterlist | Format-Table

Liens connexes

• Fin du soutien à KMIP pour VMware
• Questions fréquemment posées sur la migration de KMIP vers VMware
• IBM® Key Protect pour IBM Cloud