Vorteile der vom Kunden verwalteten Verschlüsselung

Die vom Kunden verwaltete Verschlüsselung bietet gegenüber der von IBM verwalteten Verschlüsselung mehrere Vorteile.

Sie haben die Kontrolle über Ihre Schlüssel:

• Da Sie vom Kunden verwaltete Schlüssel verwenden, haben Sie die Kontrolle über die Verschlüsselung Ihrer Block Storage for VPC-Volumes, Dateifreigaben und benutzerdefinierten Images.
• Sie gewähren dem IBM VPC-Service Zugriff auf Ihre Rootschlüssel, damit diese zum Verschlüsseln Ihrer Daten verwendet werden. Sie können den Zugriff jederzeit aus beliebigen Gründen widerrufen.
• Ihre Daten werden während der Übertragung vom Speichersystem zum Hypervisor und Host innerhalb der VPC und im Ruhezustand in Block Storage for VPC und File Storage for VPCgeschützt.

Boot- und Datendatenträger verschlüsseln:

• Ihre Block Storage for VPC-Daten werden immer mit Ihren eigenen Schlüsseln verschlüsselt, sowohl im Ruhezustand als auch in Bewegung.
• Jeder Boot- und Datendatenträger ist im Ruhezustand durch einen eindeutigen Masterverschlüsselungsschlüssel verschlüsselt. Sollte der Schlüssel kompromittiert werden, sind keine anderen Block Storage for VPC-Volumes davon betroffen, da der kompromittierte Schlüssel nur ein einzelnes Volume schützt.
• Primäre Startvolumes, die aus Standard-Images von Linux oder Windows erstellt werden, werden standardmäßig mit der von IBM verwalteten Verschlüsselung verschlüsselt. Wenn Sie eine Instanz aus einem Standard-Image erstellen und eine vom Kunden verwaltete Verschlüsselung für Datenvolumes festlegen, werden die Daten, die auf diese Volumes geschrieben werden, durch die vom Kunden verwaltete Verschlüsselung geschützt.
• Sie steuern auf Datenträgerebene die Anzahl und die Nutzung der Rootschlüssel, die für die Envelope-Verschlüsselung verwendet werden sollen. So können Sie zum Beispiel Ihren Bootdatenträger wahlweise mit einem Rootschlüssel verschlüsseln und zur Verschlüsselung von Datenträgern einen anderen Rootschlüssel verwenden.
• Snapshots, die aus Boot- und Datenvolumes erstellt werden, übernehmen die vom Kunden verwaltete Verschlüsselung des Quellvolumes.

Dateifreigaben verschlüsseln:

• Dateifreigabedaten werden immer mit Ihren eigenen ruhenden Schlüsseln verschlüsselt.

• Sie haben die Kontrolle über Anzahl und Verwendung der Rootschlüssel, die für die Envelope-Verschlüsselung auf der Ebene der Datenfreigaben verwendet werden sollen. Das bedeutet, Sie können entweder alle Ihre Dateifreigaben mit demselben Rootschlüssel verschlüsseln oder jede Dateifreigabe mit einem anderen Schlüssel. Alternativ können Sie einige Dateifreigaben mit einem Stammschlüssel und andere mit unterschiedlichen Stammschlüsseln verschlüsseln. Sie können die Verwendung Ihrer Rootschlüssel ganz flexibel nach Ihren individuellen Sicherheitsanforderungen implementieren.

• Verwalten Sie die Rootschlüssel für Ihre Dateifreigaben, indem Sie Schlüssel wechseln (rotieren), inaktivieren oder löschen. Sie können gelöschte Schlüssel innerhalb von 30 Tagen nach ihrer Löschung wiederherstellen.

Angepasste Images verschlüsseln:

• Sie können ein Image manuell verschlüsseln, indem Sie mit QEMU eine verschlüsselte Kopie davon erstellen.
• Sie können verschlüsselte angepasste Images aus verschlüsselten Bootdatenträgern erstellen. Weitere Informationen finden Sie unter Informationen zu verschlüsselten angepassten Images.

Hervorragende Leistung:

• Die vom Kunden verwaltete Verschlüsselung nutzt Hypervisor-Verschlüsselung auf der VPC-Infrastruktur, was eine hervorragende verschlüsselte I/O- Block Storage for VPC sleistung für Ihre virtuellen Serverinstanzen gewährleistet.
• Mit der VPC-Infrastruktur können Sie innerhalb weniger Minuten 1.000 Instanzen mit vom Kunden verwalteten, verschlüsselten Startvolumes erstellen und starten.
• Da die Ver- und Entschlüsselung vom Hypervisor verwaltet werden, muss das Gastbetriebssystem keine Änderungen an den Daten vornehmen. Das Gastbetriebssystem hat keine Kenntnis davon, dass eine Verschlüsselung erfolgt.

Schlüsselrotation und Auditüberwachung:

• Sie können Ihre Root-Schlüssel manuell über die API oder die CLI rotieren lassen oder eine Rotationsrichtlinie einrichten, um Ihre Schlüssel automatisch zu rotieren. Durch die Rotation von Schlüsseln werden die ursprünglichen Verschlüsselungsinformationen des Rootschlüssels ersetzt und neue Informationen generiert. Weitere Informationen finden Sie unter Schlüsselrotation für VPC-Ressourcen.

• Die vom Kunden verwaltete Verschlüsselung stellt Prüfprotokolle zur Verwendung des Hauptschlüssels bereit. Die Ereignisse werden in IBM Cloud Logs generiert und automatisch gesammelt.

IBM Cloud VPC-Verschlüsselungstechnologie

Die Verschlüsselung erfolgt über die Hypervisor-Technologie von IBM Cloud VPC für Ihre Instanzen. Diese Funktion bietet ein höheres Maß an Sicherheit als Lösungen, die lediglich eine Verschlüsselung der gespeicherten Daten auf Speicherknotenebene bieten. Daten werden innerhalb des IBM Cloud stets mittels Umschlagverschlüsselung verschlüsselt.

Für Archivimages und angepasste Images wird das Dateiformat QEMU Copy On Write Version 2 (QCOW2) verwendet. Das LUKS-Verschlüsselungsformat sichert die Dateien im Format QCOW2. IBM Cloud verwendet die Cipher-Suite-und XTS-Verschlüsselungsmodusoptionen AES-256 mit LUKS. Diese Kombination bietet ein deutlich höheres Sicherheitsniveau als AES-CBC sowie eine bessere Verwaltung von Passphrasen für die Schlüsselrotation und stellt Optionen zum Austausch von Schlüsseln bereit, falls Ihre Schlüssel kompromittiert werden sollten.

Insgesamt schützen vier Schlüssel Ihre Daten:

• Ein von IBMverwalteter Schlüssel verschlüsselt Ihre Daten im Back-End-Speichersystem. Die von IBMverwaltete Verschlüsselung auf dem Speichersystem wird immer angewendet, auch wenn Sie die vom Kunden verwaltete Verschlüsselung verwenden. Dieser Schlüssel schützt Ihre Daten bei der Übertragung und als ruhende Daten.

  Die Verschlüsselung der Netzwerkverbindung zwischen Ihrer Workload außerhalb von IBM Cloud und einer Workload innerhalb von IBM Cloud liegt in Ihrer Verantwortung. Weitere Informationen finden Sie unter Verwendung von Verschlüsselung bei Sicherheit und Regelkonformität.

• Ein Datenverschlüsselungsschlüssel (DEK) verschlüsselt Daten in der Datei QCOW2 und schützt die Blockdatencluster auf der virtuellen Platte. Das DEK wird mithilfe der Open-Source-Technologie QEMU verwaltet und beim Erstellen einer „ QCOW2 “-Datei automatisch generiert.

  Bei Block Storage for VPC-Volumes, die aus Standard-Images erstellt werden, wird das DEK von QEMU generiert, das auf von IBM bereitgestellten KVM-Hypervisoren läuft. Für Block Storage for VPC Volumes, die aus benutzerdefinierten Images erstellt werden, wird es von QEMU generiert, das auf Ihrem lokalen Knoten läuft. Der DEK (ein AES-256-Schlüssel) wird mit einer LUKS-Kennphrase verschlüsselt und in der QCOW2-Datei in verschlüsselter Form gespeichert.

• Eine LUKS-Passphrase (auch als Schlüsselverschlüsselungsschlüssel bezeichnet) verschlüsselt und entschlüsselt den DEK. Dieser Schlüssel wird von der VPC-Infrastruktur der zweiten Generation verwaltet und von Ihrem Rootschlüssel verschlüsselt. Sie wird als Metadaten gespeichert, die dem Datenträger Block Storage for VPC zugeordnet sind, der die Datei QCOW2 enthält.

• Ein Rootschlüssel des Kunden, der Kennphrasen für Datenträger, gemeinsam genutzte Ressourcen und angepasste Images mit Envelope-Verschlüsselung verschlüsselt, wodurch ein eingeschlossener DEK oder WDEK erstellt wird. Root-Schlüssel werden vom Kunden über KMS-Instanzen verwaltet und sicher innerhalb der KMS-Instanz gespeichert und verwaltet. Der Rootschlüssel hebt auch das Wrapping des WDEKs auf, d. h. er entschlüsselt ihn, wodurch Sie Zugriff auf Ihre verschlüsselten Daten erhalten.

Unterstützte Schlüsselmanagementservices

Key Protect ist der bevorzugte Schlüsselverwaltungsdienst für die vom Kunden verwaltete Verschlüsselung in VPC. Es ist in zwei Varianten erhältlich:

Die Wahl zwischen Standard und Dedicated:

• Verwenden Sie Standard für die meisten Workloads, die eine vom Kunden verwaltete Verschlüsselung mit einer kostengünstigen gemeinsam genutzten Infrastruktur erfordern.
• Verwenden Sie Dedicated in stark regulierten Branchen, bei sensiblen Daten, die maximale Sicherheit erfordern, oder wenn Sie die vollständige Kontrolle über die Vertrauensbasis benötigen.

Weitere Informationen zu den Unterschieden und zur Verwendung der einzelnen Optionen finden Sie unter Über Standard und Dedicated Key Protect.

Sie können Key Protect Standard als BYOK (Bring Your Own Key) und Key Protect Dedicated als KYOK (Keep Your Own Key) bezeichnen.

Envelope-Verschlüsselung

Rootschlüssel dienen als Key-Wrapping-Schlüssel und sind ein wichtiger Bestandteil der Envelope-Verschlüsselung. Bei der Envelope-Verschlüsselung verschlüsseln Rootschlüssel LUKS-Kennphrasen (auch _Schlüsselchiffrierschlüssel_genannt), die wiederum Datenverschlüsselungsschlüssel (DEKs) schützen, die Ihre Daten auf der virtuellen Platte verschlüsseln.

Der Schlüsselmanagementservice speichert Ihren Schlüssel und stellt ihn bei der Datenträgerverschlüsselung und der Verschlüsselung angepasster Images zur Verfügung. Sie verwalten Ihre Schlüssel ebenfalls im Schlüsselmanagementservice.

Den Blockspeicher-Volumes und Dateifreigaben wird ein eindeutiger Hauptverschlüsselungsschlüssel zugewiesen. Dieser eindeutige Schlüssel wird vom Host-Hypervisor der Instanz generiert. Dieser Schlüssel wird durch eine Kennphrase verschlüsselt und mit dem Rootschlüssel eingeschlossen (verschlüsselt), wodurch ein Datenverschlüsselungsschlüssel mit Wrapping bzw. WDEK (Wrapped Data Encryption Key) entsteht. Der WDEK wird in Form von Metadaten mit dem Datenträger oder dem Image gespeichert und ist nicht in den VPC-Schnittstellen verfügbar.

Benutzerdefinierte Images werden mit Ihrer eigenen LUKS-Passphrase verschlüsselt, die Sie mithilfe von QEMU erstellen. Nachdem das Image verschlüsselt wurde, verschlüsseln Sie die Passphrase mit Ihrem Root-Schlüssel, der im KMS gespeichert ist.

Weitere Informationen zur Envelope-Verschlüsselung finden Sie unter Key Protect – Schutz von Daten durch Envelope-Verschlüsselung.

Hinweise zur regionsspezifischen und regionsübergreifenden Verwendung von Rootschlüsseln

Wenn Sie die vom Kunden verwaltete Verschlüsselung für Volumes, Dateifreigaben und benutzerdefinierte Images verwenden, können Sie Ihre Root-Schlüssel in derselben Region wie Ihre Ressourcen oder in einer anderen Region (regionsübergreifend) aufbewahren.

Regionsübergreifende Schlüssel bieten eine erweiterte Schlüsselverfügbarkeit, haben jedoch den Nachteil einer geringfügig erhöhten Latenzzeit. Sie können Rootschlüssel in einer Region erstellen und verwalten und sie auf Ressourcen in einer anderen Region anwenden. Regionsübergreifende Schlüssel sind in allen Regionen verfügbar.

Um die bestmögliche Leistung bei größtmöglicher Sicherheit zu erzielen, sollten Sie Rootschlüssel in derselben Region wie Ihre verschlüsselten Ressourcen verwenden. Der regionale Service verwendet private Endpunkte für mehrere Verfügbarkeitszonen. Sollte eine bestimmte Zone nicht verfügbar sein, können Sie weiterhin von einer anderen Zone aus auf Ihre Root-Schlüssel und verschlüsselten Ressourcen zugreifen.

Wenn Sie Rootschlüssel regional oder regionsübergreifend verwenden, wird der gesamte Netzverkehr an einen privaten Endpunkt geleitet. Mit anderen Worten: Ihre Schlüssel verschlüsseln und entschlüsseln Ressourcen über ein privates Netzwerk, auf das vom Internet aus kein Zugriff möglich ist. Weitere Informationen zu privaten Endpunkten finden Sie unter Sicherer Zugriff auf Dienste mithilfe von Service-Endpunkten. Sie können eine Liste der privaten Endpunkte in der Konsole anzeigen, indem Sie zu Ressourcenliste > Sicherheit navigieren und auf eine Key Protect-Instanz klicken. Wählen Sie im linken Menü Endpunkte aus.

Einrichten einer vom Kunden verwalteten Verschlüsselung

Um eine vom Kunden verwaltete Verschlüsselung für Ihre VPC-Ressourcen einzurichten, müssen Sie einen Schlüsselverwaltungsdienst bereitstellen, Root-Schlüssel erstellen oder importieren und den Dienstzugriff autorisieren. Detaillierte Anweisungen zur Einrichtung und zu den Voraussetzungen finden Sie unter Planung der Datenverschlüsselung.

Nachdem die Einrichtung abgeschlossen ist, können Sie Ihre Schlüssel verwalten, indem Sie sie je nach Bedarf deaktivieren, aktivieren, drehen oder löschen. Weitere Informationen finden Sie unter Verwalten der Datenverschlüsselung.

Ablaufdiagramme für das Festlegen der vom Kunden verwalteten Verschlüsselung für Datenträger

Sie können die vom Kunden verwaltete Verschlüsselung angeben, wenn Sie Block Storage for VPC-Datenträger während der Instanzbereitstellung erstellen. Sie können dies auch angeben, wenn Sie ein eigenständiges Volume erstellen.

Abbildung 1 zeigt die Vorgehensweise für das Erstellen eines Datendatenträgers mit vom Kunden verwalteter Verschlüsselung bei der Instanzbereitstellung. Der Datenträger wird der Instanz automatisch zugeordnet.

Abbildung 2 zeigt die Vorgehensweise zum Erstellen eines eigenständigen Volumes und dessen spätere Anbindung an eine Instanz.

Informationen zu verschlüsselten angepassten Images

Sie können ein angepasstes QCOW2-Image erstellen, das die Anforderungen für die IBM Cloud VPC-Infrastruktur erfüllt, und dieses Image mit Ihrer eigenen Kennphrase und Ihrem eigenen Rootschlüssel verschlüsseln.. Wenn Sie das angepasste Image mit Ihrer eigenen Kennphrase verschlüsselt haben, laden Sie es in IBM Cloud Object Storage hoch.

Um ein verschlüsseltes benutzerdefiniertes Image in IBM Cloud VPC zu importieren, richten Sie zunächst eine Key Management Service (KMS)-Instanz ein. Erstellen Sie in der KMS-Instanz einen Root-Schlüssel zum Verpacken (Verschlüsseln) der Passphrase. Durch das Wrapping der Kennphrase entsteht ein Datenverschlüsselungsschlüssel mit Wrapping (Wrapped Data Encryption Key, WDEK). Der WDEK schützt die Kennphrase beim Import, indem er Ihre Daten geheim hält. Die Passphrase wird verschlüsselt im Image-Service gespeichert und erst dann entschlüsselt, wenn ein virtueller Server gestartet wird, der das verschlüsselte Image verwendet.

Sobald die erforderlichen IAM-Berechtigungen vorliegen, können Sie das verschlüsselte Image von IBM Cloud Object Storage importieren. Sie importieren das Image in die VPC und geben den Cloud-Ressourcennamen (CRN) für Ihren Root-Schlüssel an, der im KMS gespeichert ist. Außerdem geben Sie den verschlüsselten Text (Ciphertext) für Ihren WDEK an, d. h. die Kennphrase, die Sie zum Verschlüsseln Ihres Image verwenden und vom Rootschlüssel eingeschlossen ist.

Wenn Sie den Import über die API oder die Benutzeroberfläche durchführen, stellen Sie eine einzelne QCOW2-Boot-Image-Datei bereit, deren Größe zwischen 10 GB und 250 GB liegen kann. Diese Datei ist für das Konto, in das sie importiert wird, privat. Die Region, in die Sie das verschlüsselte Image importieren, ist die Region, in der Sie virtuelle Serverinstanzen aus dem Image erstellen. Das verschlüsselte Image wird zusammen mit anderen angepassten Images angezeigt, zu deren Verwendung Sie berechtigt sind. In der Konsole zeigt ein Schloss-Symbol neben dem Namen an, dass es sich um ein verschlüsseltes benutzerdefiniertes Image handelt.

Wenn Sie ein verschlüsseltes Image importieren, das nicht genau 100 GB groß ist, und es verwenden, um eine Instanz bereitzustellen, und dann versuchen, ein angepasstes Image aus dem Bootdatenträger dieser Instanz zu erstellen, gibt der Aufruf POST /images einen Fehler zurück.

Wenn Sie eine virtuelle Serverinstanz mit dem verschlüsselten Image bereitstellen, sind keine weiteren Verschlüsselungsinformationen erforderlich. Der WDEK und der CRN des Rootschlüssels werden als Metadaten zusammen mit dem Image gespeichert. Der WDEK wird verwendet, um auf das verschlüsseltes Image zuzugreifen, wenn eine virtueller Serverinstanz gestartet wird, die das verschlüsselte Image verwendet.

Bei der Bereitstellung werden Daten im Bootdatenträger der Instanz ebenfalls mit demselben Rootschlüssel, den auch das angepasste Image verwendet, und mit einer generierten Kennphrase verschlüsselt. Alternativ können Sie einen anderen Rootschlüssel für den Bootdatenträger angeben.

Nachdem die virtuelle Serverinstanz erstellt wurde, können Sie das benutzerdefinierte Image anzeigen und die CRN des Root-Schlüssels einsehen. Sie können außerdem den Root-Schlüssel rotieren und sich vom KMS benachrichtigen lassen, wenn Ihr verschlüsseltes WDEK-Image automatisch neu verpackt (neu verschlüsselt) wird.

Alle sekundären Volumes, die Sie aus dem verschlüsselten benutzerdefinierten Image erstellen und anhängen, verwenden eine andere Passphrase als das Basis-Image. Optional können Sie einen anderen Root-Schlüssel für sekundäre Volumes angeben, die während der Instanzbereitstellung erstellt werden.

Weitere Informationen zum Erstellen angepasster Images finden Sie unter Verschlüsseltes angepasstes Image erstellen. Lesen Sie auch die Informationen zum Erstellen eines angepassten Image für Linux und angepasstes Image für Windows.

Ablaufdiagramm für das Festlegen der vom Kunden verwalteten Verschlüsselung für angepasste Images

Abbildung 3 zeigt die Vorgehensweise zum Verschlüsseln benutzerdefinierter Images mit Ihren eigenen Verschlüsselungsschlüsseln.