Prima di iniziare

Esamina le seguenti informazioni:

• Progettazione di KMIP for VMware
• Implementazione e gestione di KMIP for VMware

Opzioni di migrazione

IBM Cloud® le offerte di gestione delle chiavi introducono provider KMIP nativi per sostituire il Key Management Interoperability Protocol (KMIP™) per i provider di servizi VMware®. Questi nuovi fornitori nativi presentano i seguenti vantaggi:

• Prestazioni migliorate perché le chiamate da KMIP a key provider sono più vicine in termini di distanza dalla rete e non attraversano più i confini di autorizzazione da servizio a servizio.
• Migliore visibilità e gestione delle chiavi KMIP.

I provider nativi condividono un codice comune e il loro comportamento è simile. Per ulteriori informazioni, vedere Key Protect: utilizzo del protocollo di interoperabilità per la gestione delle chiavi(KMIP).

Migrazione al nuovo provider KMIP

Se si utilizza già il provider KMIP per VMware, passare al nuovo provider di chiavi per migliorare le prestazioni:

1. Andare su https://cloud.ibm.com/infrastructure/vmware-solutions/console/instances/kmip.

2. Selezionate l'istanza KMIP esistente per VMware e prendete nota del nome dell'istanza di Key Manager.

3. Accedere a https://cloud.ibm.com/resources, espandere Sicurezza. Se l'istanza KMIP utilizza un servizio di gestione delle chiavi dedicato, è necessario eseguire il provisioning di una nuova istanza di key manager perché IBM Cloud sta cambiando i servizi di gestione delle chiavi dedicate da Hyper Protect Crypto Services (HPCS) a Key Protect Dedicated. Tuttavia, se l'istanza di KMIP utilizza Key Protect, si può continuare a utilizzare la stessa istanza di Key Manager del passaggio 2.

   Per implementare questo passaggio, l'account deve disporre di determinati privilegi. Completate i seguenti passaggi per verificare i privilegi del vostro account:

   1. Nella console, Gestione > Accesso (IAM) > Utenti.
   2. In Criteri di accesso, selezionare l'ID utente e quindi la scheda Accesso.
   3. Assicurarsi che siano state aggiunte le autorizzazioni Service - Key Protect e Role - Administrator.

4. Selezionate gli adattatori KMIP dal menu di navigazione sinistro e fate clic su Crea adattatore KMIP.

5. È possibile digitare un nome e selezionare una chiave principale.

   L'aggiunta dei dettagli del certificato è facoltativa, poiché vCenter Server genera un nuovo certificato per ogni key provider configurato. Il certificato viene generato nel passaggio 11.

6. Selezionare la scheda Endpoint dal menu di navigazione sinistro per identificare l'endpoint KMIP da configurare. Scegliere l'endpoint privato con il tipo KMIP.

   Qui è disponibile un solo endpoint, a differenza dell'offerta KMIP per VMware in IBM Cloud per VMware Solutions. Un singolo hostname bilancia il carico ed è altamente disponibile in ogni regione.

7. In vCenter Server, scegliere l'oggetto vCenter.

8. Selezionare Configura > Provider di chiavi, quindi aggiungere un provider di chiavi standard.

9. Verificate i dettagli e fate clic su Fiducia.

10. Selezionare il nuovo provider di chiavi e quindi il singolo server di tale provider.

11. Nella sezione Crea il trust di KMS vCenter, fare clic su Stabilisci trust. Utilizzare l'opzione vCenter Certificate che genera un nuovo certificato solo per questa connessione.

12. Copiare il certificato e fare clic su Fine.

Prima di copiare il certificato, attendere che la schermata si aggiorni, perché i dettagli del certificato possono variare se si copia troppo velocemente.

13. Tornare alla pagina degli adattatori KMIP e visualizzare i dettagli dell'adattatore KMIP.
14. In Dettagli adattatore, selezionare la scheda Certificati SSL. Fare clic su Aggiungi certificato e incollare il certificato copiato da vCenter.

La modifica dello stato di salute del key provider nel server vCenter potrebbe richiedere alcuni minuti.

$kp = Get-KeyProvider <new-kmip>

foreach($vm in Get-VM) {
  if($vm.ExtensionData.Config.KeyId) {
    Set-VM $vm -KeyProvider $kp -Confirm:$false
  }
}

$kp = Get-KeyProvider <new-kmip>

foreach($vmhost in Get-VMHost) {
  if($vmhost.ExtensionData.Runtime.CryptoState -eq "safe") {
    Set-VMHost $vmhost -KeyProvider $kp
  }
}

$vmlist = @()

foreach($vm in Get-VM) {
  $vmlist += [pscustomobject]@{ vm = $vm.name; provider = $vm.ExtensionData.Config.KeyId.ProviderId.Id}
}

$vmlist | Format-Table
$hostlist = @()

foreach($vmhost in Get-VMHost) {
  $vmhostview = Get-View $vmhost
  $hostlist += [pscustomobject]@{ host = $vmhost.name; provider = $vmhostview.Runtime.CryptoKeyId.ProviderId.Id}
}

$hostlist | Format-Table
$clusterlist = @()
$vsanclusterconfig = Get-VsanView -Id "VsanVcClusterConfigSystem-vsan-cluster-config-system"

foreach($cluster in Get-Cluster) {
  $encryption = $vsanclusterconfig.VsanClusterGetConfig($cluster.ExtensionData.MoRef).DataEncryptionConfig
  $clusterlist += [pscustomobject]@{ cluster = $cluster.name; provider = $encryption.KmsProviderId.Id }
}

$clusterlist | Format-Table

Link correlati

• Fine del supporto per KMIP per VMware
• Domande frequenti per la migrazione KMIP per VMware
• IBM® Key Protect per IBM Cloud