Schritte

1. Stellen Sie eine „ Hyper Protect Crypto Services “-Instanz bereit und erstellen Sie einen Root-Schlüssel. Weitere Informationen finden Sie unter Rootschlüssel erstellen.

   Zur Erhöhung der Sicherheit wird empfohlen, virtuelle private Endpunkte mit Hyper Protect Crypto Services zu verwenden.

2. Wenn Sie den Vertrag vorbereiten, fügen Sie kms Details im Abschnitt env volumes- hinzu und verwenden Sie dann den Vertrag, um eine Hyper Protect Virtual Servers für die VPC-Instanz zu erstellen. Sehen Sie sich das folgende Beispiel an:

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

Um Missbrauch der KMS-Details durch einen Angreifer zu vermeiden, wird dem Bereitsteller (der den Abschnitt env bereitstellt) dringend empfohlen, den Vertrag zu verschlüsseln und zu unterzeichnen. Weitere Informationen zur Verschlüsselung finden Sie unter Vertragsverschlüsselung. Fügen Sie für die Signatur einen öffentlichen Signierschlüssel (Feld signingKey ) zu Ihrem Abschnitt env hinzu und signieren Sie den gesamten Vertrag, indem Sie einen Abschnitt envWorkloadSignature zum Vertrag hinzufügen. Der Zweck der Signatur besteht darin, sicherzustellen, dass die Abschnitte workload``env und immer zusammen verwendet werden und nicht von Dritten manipuliert werden können. Weitere Informationen finden Sie unter Vertragssignatur.

• kms

  Fügen Sie im Feld kms immer die KMS-Konfiguration ein, die Sie als ersten Eintrag verwenden wollen. Bei den folgenden Einträgen handelt es sich um ältere KMS-Konfigurationen (zur Entschlüsselung des eingeschlossenen Seedwerts vor der Migration auf die aktuelle Konfiguration). Es werden maximal fünf Einträge unterstützt. Weitere Informationen zum Ändern von KMS-Konfigurationen finden Sie unter Wechseln zu einer anderen Instanz von „ Hyper Protect Crypto Services “ oder einem anderen Stammschlüssel.

  Wenn die kms-Details des Vertrags nicht gültig sind, wird die Instanz sofort beendet.

• kmsTimeout

  Sie können kmsTimeout (zwischen 0 und 1000 Minuten) im Vertrag angeben. Erfolgt keine Angabe, beträgt der Standardwert für das Zeitlimit 10 Minuten. Dieser Wert bestimmt, wie lange die Instanz beim ersten Start oder Neustart versucht, den Startwert zu entpacken. Nach Ablauf dieses Zeitlimits werden Nachrichten protokolliert und die Instanz wird beendet.

• type

  In diesem Feld geben Sie die Instanzen als "privat" an, wenn sie sich in einem privaten Netz befinden, und als "öffentlich", wenn sie sich im öffentlichen Netz befinden. Dieser Eintrag wird verwendet, um den Wechsel zu einer anderen Instanz von Hyper Protect Crypto Services oder CRK zu unterstützen.

Wenn Ihr Volume neu ist, erstellt die Instanz zwei Partitionen im Datenvolume, ruft „ Hyper Protect Crypto Services “ auf, um einen dritten Startwert zu generieren, und umhüllt diesen mit dem CRK. Der eingeschlossene Seedwert wird in der Metadatenpartition gespeichert. Anschließend generiert die Instanz eine LUKS-Passphrase mit dem Seed (zuerst entpackt) und den beiden Seeds aus dem Vertrag, um die zweite Partition zu verschlüsseln.

Sie können auch manuell zwei Partitionen in einem Datenträger erstellen, einen Zufallswert als dritten Seedwert erstellen, ihn einschließen und in der Metadatenpartition speichern:

1. Erstellen Sie mit dem Linux-Dienstprogramm zwei Partitionen auf parted dem Blockgerät.

   • Die erste Partition ist mit bezeichnet metadata und hat eine Länge von 100 MiB. Die Metadatenpartition ist ausschließlich für interne Metadaten reserviert und darf nicht von einer Arbeitslast aufgerufen werden. Erstellen Sie ein Dateisystem ( ext4 ) und erstellen Sie eine Datei mit dem Namen keyfile.
   • die zweite Partition wird als data bezeichnet und füllt den gesamten Speicherplatz aus.

2. Verwenden Sie die KMS-API „ Hyper Protect Crypto Services “ (Schlüssel einwickeln)Wickeln Sie einen Schlüssel ein, um einen zufälligen Klartext zu generieren, der in einem HSM verwurzelt ist, und wickeln Sie ihn ein, ohne den Wert weiterzugeben.

3. Kopieren Sie den Chiffretext aus dem Antwortobjekt in die Schlüsseldatei.

4. Bereiten Sie den Vertrag mit den KMS-Informationen vor und erstellen Sie eine VPC-Instanz „ Hyper Protect Virtual Servers ” mit dem manuell partitionierten Volume, das einen umschlossenen Startwert enthält.

Wenn die Instanz ausgeführt wird, kontaktiert der Schlüssel-Daemon regelmäßig die Instanz „ Hyper Protect Crypto Services “. Dasselbe Zeitlimit kmsTimeout gilt. Wenn die Instanz „ Hyper Protect Crypto Services “ nicht erreichbar ist, der Status des CRK nicht Active „“ ist oder die Zugriffsparameter (kms Details) nicht mehr übereinstimmen, löst der Daemon einen Neustart aus.

Überprüfen Sie die Protokolle unter „ Log Analysis “, wenn Ihre Instanz heruntergefahren wird.

Rootschlüssel rotieren

Wenn der CRK manuell oder automatisch basierend auf einer Schlüsselrotationsrichtlinie rotiert wird, erkennt der Schlüsseldämon die Schlüsselrotation und führt ein erneutes Wrapping des Seeds durch.

Wechsel zu einer anderen Instanz von „ Hyper Protect Crypto Services “ oder einem anderen Stammschlüssel

Wenn Sie eine andere Hyper Protect Crypto Services-Instanz oder eine andere Root-Key-ID verwenden möchten, fügen Sie die neue KMS-Konfiguration als ersten Eintrag in den Vertrag ein und erstellen Sie die Hyper Protect Virtual Servers-Instanz neu. Behalten Sie die alte KMS-Konfiguration (die derzeit verwendet wird) im Vertrag bei. Während der Instanziierung entpackt „ Hyper Protect Virtual Servers “ für VPC den verschlüsselten Seed mit der alten Konfiguration und verwendet die neue Konfiguration, um den Seed neu zu verpacken. Im Vertrag werden maximal fünf Einträge unterstützt.

Nach der Änderung können die alten Einträge aus der nächsten Interaktion entfernt werden.

Rootschlüssel inaktivieren

Wenn Sie den Rootschlüssel inaktivieren, lautet der Status des Schlüssels Ausgesetzt. Der Schlüsseldämon von Hyper Protect Virtual Servers für VPC überprüft regelmäßig den Status des CRK. Wenn der Status nicht „Aktiv“ ist, wird der virtuelle Server neu gestartet. Während des Neustarts überprüft der Key Daemon den Status durch Abfragen, und wenn die dafür benötigte Zeit überschritten wird kmsTimeout, wird der virtuelle Server heruntergefahren. Sie müssen den Rootschlüssel aktivieren, um den Schlüssel wieder in Aktiv zu versetzen.

Stellen Sie sicher, dass Ihr CRK nicht abgelaufen ist. Andernfalls wird sein Status auf „Deaktiviert“ gesetzt, und der virtuelle Server wird neu gestartet und schließlich heruntergefahren. Weitere Informationen zu Schlüsselzuständen finden Sie unter Überwachen des Lebenszyklus von Verschlüsselungsschlüsseln.