Datenverschlüsselung verwalten
Verwalten Sie die vom Kunden verwaltete Verschlüsselung für VPC-Ressourcen, indem Sie Root-Schlüssel rotieren, deaktivieren oder löschen. Gemäß den Verschlüsselungsrichtlinien der „ IBM Cloud® “ lassen sich Sicherheitsrisiken durch regelmäßige Schlüsselrotation und ein ordnungsgemäßes Schlüssellebenszyklusmanagement verringern, da dadurch die Gefährdung durch kompromittierte Schlüssel begrenzt wird.
Die Hyper Protect Crypto Services sind veraltet. Kunden können bestehende Instanzen bis zum 20. März 2027 nutzen. Weitere Informationen finden Sie unter IBM Cloud Hyper Protect Crypto Services wird nicht mehr unterstützt. Um einen kontinuierlichen Schutz zu gewährleisten, sollten Sie erwägen, Ihre bestehenden Verschlüsselungsschlüssel auf eine dedizierte Key Protect-Instanz zu migrieren. Weitere Informationen finden Sie im Migrationsleitfaden.
Verwalten Sie Ihre Rootschlüssel, indem Sie die folgenden Aktionen ausführen:
- Entscheiden Sie, ob Sie Ihren eigenen HSM-Rootschlüssel importieren oder einen Rootschlüssel durch das KMS generieren möchten. Wenn Sie eine Rotationsrichtlinie für eine automatische Schlüsselrotation einrichten möchten, müssen Sie vom Schlüsselmanagementservice generierte Rootschlüssel verwenden.
- Zeigen Sie die Zuordnung von Root-Schlüsseln zu den von ihnen geschützten Ressourcen an, indem Sie die Registrierungen der Root-Schlüssel einsehen.
- Entscheiden Sie, wann das Inaktivieren oder Löschen eines Rootschlüssels erforderlich ist. Seien Sie vorsichtig, wenn Sie Root Keys deaktivieren oder löschen.
- Aktivieren Sie einen inaktivierten Schlüssel oder stellen Sie einen gelöschten Schlüssel wieder her.
- Wechseln Sie Ihre Rootschlüssel in regelmäßigen Intervallen (Schlüsselrotation) oder stellen Sie sicher, dass Sie importierte Rootschlüssel manuell turnusmäßig wechseln. Durch das Verkürzen des Verschlüsselungszeitraums eines Schlüssels verringert sich die Möglichkeit einer Sicherheitsverletzung.
- Entscheiden Sie, ob Sie Ihre Daten vorübergehend unzugänglich machen möchten, indem Sie die IAM-Dienstautorisierung aufheben.
Rootschlüsselregistrierungen anzeigen
Block Storage for VPC Volumes, Snapshots, File Storage for VPC-Freigaben und benutzerdefinierte Images, die mit Ihrem Schlüssel verschlüsselt sind, werden im Schlüsselverwaltungsdienst unter dem Root-Schlüssel registriert. Durch Anzeigen der Registrierung können Sie Ihre Ressourcen den zugehörigen Verschlüsselungsschlüsseln zuordnen. Sie können schnell erkennen, welche Ressourcen durch einen Rootschlüssel geschützt werden. Sie können das Risiko, das mit der Deaktivierung oder dem Löschen eines Schlüssels verbunden ist, auch einschätzen, indem Sie überprüfen, welche Schlüssel Daten aktiv schützen.
Weitere Informationen finden Sie unter Zuordnungen zwischen Root-Schlüsseln und verschlüsselten Ressourcen von IBM Cloud anzeigen.
Verwalten von Root-Schlüsseln in der Konsole
Über die Benutzeroberfläche können Sie Ihre Root-Schlüssel deaktivieren, aktivieren, löschen, wiederherstellen oder rotieren. In der folgenden Tabelle werden die einzelnen Aktionen beschrieben und es werden Links zu detaillierten Anleitungen für Key Protect bereitgestellt.
| Benutzeraktion | Benutzerschnittstellenprozedur für Key Protect |
|---|---|
| Schlüssel inaktivieren | Rootschlüssel inaktivieren. |
| Schlüssel aktivieren | Aktivieren eines Rootschlüssels. |
| Schlüssel löschen | Schlüssel in der Konsole löschen(einzelne Berechtigung). |
| Löschen von Schlüsseln, die eine doppelte Autorisierungsrichtlinie haben. | |
| Schlüssel wiederherstellen | Gelöschten Schlüssel über die Konsole wiederherstellen |
| Manuelles Drehen einer Taste | Schlüsselrotation manuell ausführen |
Verwaltung von Root-Schlüsseln über die API
Über die API können Sie Ihre Root-Schlüssel deaktivieren, aktivieren, löschen, wiederherstellen oder rotieren. In der folgenden Tabelle werden die einzelnen Aktionen beschrieben und es werden Links zu detaillierten Anleitungen für die Key Protect-API bereitgestellt.
| Benutzeraktion | API-Prozedur Key Protect | API-Prozedur Hyper Protect Crypto Services |
|---|---|---|
| Schlüssel inaktivieren | Rootschlüssel inaktivieren | Rootschlüssel inaktivieren |
| Schlüssel aktivieren | Inaktivierten Rootschlüssel aktivieren | Inaktivierten Rootschlüssel aktivieren |
| Schlüssel löschen | Schlüssel über die API löschen (einfache Autorisierung) | Schlüssel über die API löschen (einfache Autorisierung) |
| Löschen von Schlüsseln, die eine doppelte Autorisierungsrichtlinie haben) | Löschvorgang für einen Schlüssel über die API genehmigen (doppelte Autorisierung) | |
| Schlüssel wiederherstellen | Gelöschten Schlüssel mit der API wiederherstellen | Gelöschten Schlüssel mit der API wiederherstellen |
| Manuelles Drehen einer Taste | Schlüsselrotation manuell ausführen | Rootschlüssel manuell wechseln |
Da das Löschen eines Root-Schlüssels alle Ressourcen, die durch ihn geschützt sind, unbrauchbar macht (Status = unusable), programmieren Sie Ihre Anwendung so, dass sie den Status der Ressource (z. B. ein Image, ein Volume, einen
Snapshot oder eine Dateifreigabe) überprüft, bevor sie versucht, sie zu verwenden. Wenn der Root-Schlüssel wiederherstellbar ist, stellen Sie ihn zur Verwendung wieder her oder erstellen und verwenden Sie einen anderen Root-Schlüssel.
Zustände der Kundenstammschlüssel und Ressourcenstatus
Rootschlüssel werden aufgrund der von Ihnen ausgeführten Aktionen in verschiedene Status versetzt und unterschiedliche Rootschlüsselstatus wirken sich unterschiedlich auf Ressourcen aus. In den folgenden Abschnitten wird beschrieben, wie Benutzeraktionen den Status des Root-Schlüssels beeinflussen und wie der Status des Root-Schlüssels den Status der Ressourcen ändert, die mit diesem Schlüssel verschlüsselt sind.
Weitere Informationen zu Root-Schlüsselzuständen aus Sicht des KMS finden Sie unter Schlüsselzustände und -übergänge.
Rootschlüssel inaktivieren
Wenn Sie einen Rootschlüssel inaktivieren, werden dadurch die zugehörigen Verschlüsselungs- und Entschlüsselungsoperationen ausgesetzt. Die verschlüsselten Ressourcen werden für den normalen Betrieb unbrauchbar. Das vorübergehende Deaktivieren eines Root-Schlüssels ist eine bewährte Vorgehensweise, wenn Sie eine mögliche Sicherheitslücke, eine Kompromittierung oder eine Datenpanne vermuten. Sie können einen deaktivierten Root-Schlüssel wieder aktivieren, sobald die Sicherheitsbedrohung nicht mehr besteht.
Wenn Sie einen Root-Schlüssel deaktivieren, werden Workloads weiterhin in virtuellen Serverinstanzen ausgeführt, und die Startvolumes bleiben verschlüsselt. Datenträger bleiben angehängt. Die Daten der Dateifreigabe werden verschlüsselt. Wenn Sie die virtuelle Serverinstanz stoppen, kann sie jedoch nicht neu gestartet werden. Außerdem können Sie eine Ressource nicht mit einem deaktivierten Schlüssel bereitstellen. Bevor Sie einen Schlüssel inaktivieren, sollten Sie überprüfen, welche Ressourcen von ihm geschützt werden.
Wenn das CRK ausgesetzt ist, kann es nicht zum Verschlüsseln neuer Ressourcen oder zum Entschlüsseln von Passphrasen verwendet werden, die bestehende Ressourcen schützen.
| Ressourcentyp | Ressourcenstatus | Ergebnis |
|---|---|---|
| Angepasstes Image | Nicht verwendbar | Images können nicht zum Erstellen von Bootdatenträgern bei der Instanzbereitstellung verwendet werden. |
| Bootdatenträger | verfügbar | Bootdatenträger bleiben weiterhin mit dem ausgesetzten Schlüssel verschlüsselt. Wenn Sie die Instanz, die dieses Startvolume verwendet, anhalten, kann sie nicht neu gestartet werden. |
| Datenvolumen | verfügbar | Datenträger bleiben verschlüsselt, zugeordnet (angehängt) und verfügbar, bis Sie die Instanz stoppen. Einzelne Datenvolumes, die mit dem gesperrten Schlüssel verschlüsselt sind, können nicht an eine Instanz angehängt werden. |
| Snapshot | Nicht verwendbar | Snapshot kann nicht zur Wiederherstellung eines Volumes oder einer Dateifreigabe verwendet werden. |
| Dateifreigabe | stabil | Auf die Daten im Dateifreigabeordner kann zugegriffen werden, aber Sie können mit diesem Schlüssel keine Dateifreigabe erstellen. |
| Instanz | verfügbar | Instanz-Workloads werden weiterhin mit dem Status verfügbar in der CLI und der API sowie mit dem Status läuft in der Konsole ausgeführt. Wenn Sie Instanzen anhalten, können diese nicht neu gestartet werden. |
Um zu sehen, welche Root-Schlüssel deaktiviert sind, sehen Sie in der Ressourcenliste der Konsole nach. Der Status der Volume- und Snapshot-Ressourcen lautet unbenutzbar. Dateifreigaben mit dem Status Stabil bleiben weiter in diesem Status. In der QuickInfo der Benutzerschnittstelle wird für die Ressource 'Schlüssel ausgesetzt' angezeigt. In der API-Antwort wird der Ursachencode encryption_key_disabled angezeigt.
Weitere Informationen zum Deaktivieren eines Root-Schlüssels finden Sie unter Deaktivieren eines Root-Schlüssels.
Aktivieren von Root-Schlüsseln
Sie können einen Root-Schlüssel, der sich im gesperrten Zustand befindet, aktivieren, wodurch der Schlüssel wieder in den aktiven Zustand versetzt wird.
Die folgende Tabelle zeigt den Status der verschlüsselten Ressourcen, wenn der Stammschlüssel aktiv ist. Das CRK steht zur Verfügung, um Passphrasen zu entschlüsseln, die bestehende Ressourcen schützen, und um neue Ressourcen zu verschlüsseln.
| Ressourcentyp | Ressourcenstatus | Ergebnis |
|---|---|---|
| Angepasstes Image | Aktiv | Mit Images lassen sich virtuelle Serverinstanzen erstellen. |
| Bootdatenträger | verfügbar | Bootdatenträger sind zum Starten von Instanzen verfügbar. |
| Datenvolumen | verfügbar | Datenträger können an Instanzen angehängt (d. h. diesen zugeordnet) werden. |
| Snapshot | stabil | Der Snapshot kann zur Wiederherstellung eines Volumes oder einer Freigabe verwendet werden. |
| Dateifreigabe | stabil | Dateifreigabe ist verfügbar. Sie können Mountziele hinzufügen oder entfernen. Sie können Daten schreiben und lesen. |
| Instanz | verfügbar | Instanzen können erneut gestartet werden. |
Weitere Informationen zum Aktivieren eines deaktivierten Root-Schlüssels finden Sie unter Aktivieren eines deaktivierten Root-Schlüssels.
Rootschlüssel löschen
Wenn Sie einen Root-Schlüssel löschen, steht dieser Schlüssel nicht mehr zur Entschlüsselung von Passphrasen zur Verfügung, die zum Schutz Ihrer Ressourcen verwendet werden. Volume-, Snapshot- und Image-Ressourcen, die durch den gelöschten Root-Schlüssel geschützt sind, haben einen unbrauchbaren Status und können nicht für normale Vorgänge verwendet werden. File Storage for VPC Freigaben zeigen einen suspendierten Status. Das Speichersystem ist offline, und auf die Daten kann nicht zugegriffen werden. Ihre Daten sind weiterhin vorhanden.
| Ressourcentyp | Ressourcenstatus | Ergebnis |
|---|---|---|
| Angepasstes Image | Nicht verwendbar | Solche Images können nicht zum Erstellen von Bootdatenträgern zwecks Bereitstellung einer neuen Virtual Server-Instanz verwendet werden. |
| Bootdatenträger | Nicht verwendbar | Die zugeordnete virtuelle Serverinstanz wurde gestoppt. Eine gestoppte Instanz kann nicht gestartet werden, wenn sich der Bootdatenträger der Instanz im Status unusable befindet. |
| Datenvolumen | Nicht verwendbar | Wenn der Datenträger einer aktiven Instanz zugeordnet ist, wird die Instanz gestoppt. Einzelne Datenträger können nicht an Instanzen angehängt werden. Sie können den Datenträger löschen. |
| Snapshot | Nicht verwendbar | Der Snapshot ist unzugänglich und kann nicht zur Wiederherstellung eines Volumes oder einer Dateifreigabe verwendet werden. |
| Dateifreigabe | ausgesetzt | Das File Storage-System ist offline, und auf die Daten kann nicht zugegriffen werden. |
| Instanz | Nicht verwendbar | Instanzen, deren Startvolume gelöscht wurde und die automatisch angehalten wurden, können nicht neu gestartet werden. |
Ein Root-Schlüssel kann in drei Zuständen gelöscht werden: aktiv, ausgesetzt oder deaktiviert. Der deaktivierte Status tritt automatisch ein, wenn das Ablaufdatum eines Schlüssels erreicht ist. Unabhängig vom Zustand vor dem Löschen können Schlüssel wiederhergestellt werden.
Sie haben eine Karenzzeit von 30 Tagen, in der Sie den gelöschten Schlüssel wiederherstellen können. Andernfalls ist kein Zugriff mehr auf Ihre verschlüsselten Ressourcen möglich. Nach 30 Tagen kann Ihr Root-Schlüssel nicht mehr wiederhergestellt werden, und Ihre Ressourcen sind unwiederbringlich verloren.
Standardmäßig verhindert das KMS, dass Sie einen Rootschlüssel löschen, der eine Ressource aktiv schützt. Sie können mit der API das Löschen eines Stammschlüssels in Key Protect und Hyper Protect Crypto Services erzwingen. Wenn Sie das Löschen eines Rootschlüssels erzwingen, werden die folgenden Aktionen automatisch ausgeführt:
- Wenn der gelöschte Root-Schlüssel Volumes schützt, wird die zugehörige virtuelle Serverinstanz angehalten.
- Wenn der gelöschte Rootschlüssel Dateifreigaben schützt, wird die Dateifreigabe ausgesetzt.
- Beim Löschen eines Rootschlüssels wird die Verwendung des Schlüssels für sämtliche Ressourcen in der VPC gelöscht.
Das Löschen des Rootschlüssels führt zu den folgenden Bedingungen.
- Alle Instanzen mit einem unbrauchbaren Startvolume werden nicht neu gestartet.
- Nicht verwendbare Datenträger können einer Instanz nicht zugeordnet werden (d. h., sie können nicht an eine Instanz angehängt werden).
- Sie können einen Datenträger nicht aus einem Snapshot wiederherstellen.
- Sie können nicht auf eine Dateifreigabe zugreifen.
- Aus unbrauchbaren Images können keine Instanzen bereitgestellt werden.
- Die Abrechnung wird für nicht verwendbare Ressourcen solange fortgesetzt, bis Sie sie löschen.
Bevor Sie das Löschen eines Rootschlüssels erzwingen, sollten Sie alle Ressourcen überprüfen, die diesem Rootschlüssel zugeordnet sind. Erwägen Sie, den Schlüssel vorübergehend zu inaktivieren, anstatt ihn zu löschen, um die Verwendung dieses Rootschlüssels auszusetzen. Root-Schlüssel können innerhalb von 30 Tagen wiederhergestellt werden, jedoch nur, wenn es sich um importierte Root-Schlüssel handelt und nicht um solche, die vom KMS generiert wurden.
Weitere Informationen zum Löschen von Root-Schlüsseln finden Sie unter Schlüssel löschen.
Gelöschte Rootschlüssel wiederherstellen
Beim Wiederherstellen eines importierten Rootschlüssels wird der Schlüssel in den Status Aktiv zurückversetzt und der Zugriff auf den Schlüssel wird wiederhergestellt. Sie können den Zugriff auf alle Ressourcen wiederherstellen, die zuvor durch den Root-Schlüssel geschützt waren. Sie können nun wieder reguläre Aktionen ausführen, wie beispielsweise das Neustarten einer Instanz und das erneute Anbinden von Datenvolumes. Die IDs der Datenträgeranhänge sind anders als vor dem Löschen des ursprünglichen Kundenstammschlüssels.
Root-Schlüssel, die vom KMS erzeugt wurden, können nicht wiederhergestellt werden.
Weitere Informationen zum Wiederherstellen von Root-Schlüsseln finden Sie unter Schlüssel wiederherstellen.
Rotierende Kundenstammschlüssel
Sie können Ihre Root-Schlüssel für mehr Sicherheit rotieren. Durch das Rotieren der Schlüssel wird der Status der verschlüsselten Ressourcen nicht verändert. Der alte Schlüssel bleibt aktiv und wird weiterhin zur Entschlüsselung bestehender Ressourcen verwendet, während neue Ressourcen mit der neuen Schlüsselversion verschlüsselt werden.
Ausführliche Informationen zur Schlüsselrotation, einschließlich Rotationsrichtlinien, manuelle Rotationsverfahren und Vorteile, finden Sie unter Schlüsselrotation für VPC-Ressourcen.
Entfernen der IAM-Dienstautorisierung für einen Root-Schlüssel
Sie können den Zugriff auf Ihre Daten verhindern und die Daten weiterhin in der Cloud beibehalten, indem Sie die IAM-Berechtigung zum Verwenden des betreffenden Rootschlüssels entfernen.
Wenn Sie für Ihren Rootschlüssel die Verwendung autorisieren, erteilen Sie IBM die Berechtigung, den Schlüssel für die Verschlüsselung Ihrer Ressource zu verwenden. Die Autorisierung erfolgt auf der Ebene des Schlüsselverwaltungsdienstes über IAM, wenn Sie den Dienst zwischen Ihrem Dienst (z. B. Cloud Block Storage ) und dem Schlüsselverwaltungsdienst autorisieren.
Sie können alle Berechtigungen für Services in Ihrem Konto entfernen, wenn Sie über die Administratorrolle für den Zielservice verfügen (in diesem Fall ist dies der Schlüsselmanagementservice). Wenn Sie eine Zugriffsrichtlinie entfernen, die vom Quelldienst für seine abhängigen Dienste erstellt wurde, kann der Quelldienst den Workflow nicht abschließen oder auf den Zieldienst zugreifen.
Da die Root-Schlüssel unter Ihrer Kontrolle stehen, müssen Sie sich nicht an IBM wenden, um die Autorisierung zu widerrufen.
Entfernen Sie nicht die IAM-Autorisierung zwischen Cloud Block Storage und der KMS-Instanz und löschen Sie anschließend kein Block Storage-Volume, keinen Snapshot und keine Image-Ressource. Durch diese Aktion bleibt der Root-Schlüssel in der KMS-Instanz weiterhin bei der gelöschten Ressource registriert. Sie müssen alle BYOK-Volumes, Snapshots oder Images löschen, bevor Sie die IAM-Autorisierung entfernen.
So machen Sie Ihre Daten unzugänglich, behalten sie aber auf der IBM Cloud bei:
- Entfernen Sie die IAM-Berechtigung für den Zugriff vom Quellenservice Cloud Block Storage auf Ihre Zielinstanz des Schlüsselmanagementservice.
- Stoppen Sie alle virtuellen Serverinstanzen mit zugeordneten verschlüsselten Datenträgern, die durch diesen Rootschlüssel geschützt sind.
Ereignisse im IBM Cloud Logs anzeigen
Zu Prüfungszwecken können Sie den Aktivitätspfad für einen Schlüssel überwachen, indem Sie Ihren Schlüsselverwaltungsdienst mit IBM Cloud Logs. Nachdem beide Dienste bereitgestellt wurden und laufen, werden Ereignisse generiert und automatisch in IBM Cloud Logs erfasst, wenn Sie Aktionen an Schlüsseln durchführen.
Weitere Informationen finden Sie unter Key Protect – Überwachung des Lebenszyklus von Verschlüsselungsschlüsseln.