Pasos

1. Proporcione una instancia de Hyper Protect Crypto Services y cree una clave raíz. Para obtener más información, consulte Creación de claves raíz.

   Para mejorar la seguridad, se recomienda utilizar puntos finales privados virtuales con Hyper Protect Crypto Services.

2. Cuando prepare el contrato, añada kms detalles en la env- volumes sección y, a continuación, utilice el contrato para crear una instancia de Hyper Protect Virtual Servers para VPC. Consulte el ejemplo siguiente:

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

Para evitar el uso indebido de los detalles de KMS por parte de un atacante, se recomienda encarecidamente que el desplegador (que proporciona la sección env ) cifre y firme el contrato. Para obtener más información sobre el cifrado, consulte Cifrado de contrato. Para la firma, añada una clave de firma pública (campo signingKey ) a la sección env y firme el contrato completo añadiendo una sección envWorkloadSignature al contrato. El propósito de la firma es garantizar que las workload secciones env y siempre se utilicen juntas y no sean manipuladas por terceros. Para obtener más información, consulte Firma de contrato.

• kms

  En el campo kms, coloque siempre la configuración de KMS que desea utilizar como primera entrada. Las entradas siguientes son configuraciones de KMS más antiguas (utilizadas para descifrar la semilla encapsulada antes de migrar a la configuración actual). Se da soporte a un máximo de cinco entradas. Para obtener más información sobre cómo cambiar las configuraciones de KMS, consulte Cambiar a una instancia o clave raíz diferente de Hyper Protect Crypto Services.

  Si los detalles de kms del contrato no son válidos, la instancia concluye inmediatamente.

• kmsTimeout

  Puede especificar kmsTimeout (entre 0 y 1000 minutos) en el contrato. Si no se especifica, el valor predeterminado del tiempo de espera es de 10 minutos. Este valor determina cuánto tiempo intenta la instancia desempaquetar la semilla durante el arranque inicial o el reinicio. Cuando transcurra este tiempo de espera, se registrarán los mensajes y la instancia se cerrará.

• type

  Utilice este campo para especificar las instancias como "private" cuando está en una red privada y "public" cuando está en la red pública. Esta entrada se utiliza para respaldar el cambio a una instancia diferente de Hyper Protect Crypto Services o CRK.

Si el volumen es nuevo, la instancia crea dos particiones en el volumen de datos, llama a Hyper Protect Crypto Services para generar una tercera semilla y la envuelve con el CRK. La semilla envuelta se almacena en la partición de metadatos. A continuación, la instancia genera una contraseña LUKS con la semilla (desempaquetada primero) y las dos semillas del contrato para cifrar la segunda partición.

También puede optar por crear manualmente dos particiones en un volumen, crear un valor aleatorio como la tercera semilla, envolverlo y almacenarlo en la partición de metadatos:

1. Cree dos particiones en el dispositivo de bloque utilizando la utilidad de Linux parted.

   • La primera partición se etiqueta como metadata y tiene una longitud de 100 MiB. La partición de metadatos está reservada exclusivamente para metadatos internos y no es accesible para cargas de trabajo. Cree un sistema de archivos ( ext4 ) y cree un archivo con el nombre keyfile.
   • la segunda partición está etiquetada como data y ocupa todo el espacio del disco.

2. Utilice la API KMS de Hyper Protect Crypto Services Envuelva una clave para generar un texto sin formato aleatorio que se base en un HSM y envuélvalo sin pasar el valor.

3. Copie el texto cifrado del objeto de respuesta al archivo de claves.

4. Prepare el contrato con la información KMS y cree una instancia de VPC ( Hyper Protect Virtual Servers ) con el volumen particionado manualmente que contiene una semilla envuelta.

Cuando la instancia está en ejecución, el demonio clave se pone en contacto periódicamente con la instancia Hyper Protect Crypto Services. Se aplica el mismo tiempo de espera kmsTimeout. Si no se puede acceder a la instancia Hyper Protect Crypto Services, el estado del CRK no es Active, o los parámetros de acceso (kms detalles) ya no coinciden, el demonio activa un reinicio.

Comprueba los registros en Log Analysis si tu instancia se apaga.

Rotación de la clave raíz

Si la CRK se rota manualmente o automáticamente basándose en una política de rotación de claves, el daemon de claves detecta la rotación de claves y vuelve a envolver la semilla.

Cambiar a una instancia diferente de Hyper Protect Crypto Services o a una clave raíz diferente

Si desea utilizar una instancia diferente de Hyper Protect Crypto Services o un ID de clave raíz diferente, introduzca la nueva configuración KMS como primera entrada en el contrato y vuelva a crear la instancia Hyper Protect Virtual Servers. Mantenga la configuración KMS anterior (la que se utiliza actualmente) en el contrato. Durante la instanciación, Hyper Protect Virtual Servers para VPC desempaqueta la semilla cifrada con la configuración antigua y utiliza la nueva configuración para volver a empaquetar la semilla. Se da soporte a un máximo de cinco entradas en el contrato.

Una vez realizado el cambio, las entradas antiguas se pueden eliminar de la siguiente interacción.

Inhabilitación de la clave raíz

Si inhabilita la clave raíz, el estado de la clave pasa a ser Suspendido. El demonio clave de Hyper Protect Virtual Servers para VPC comprueba periódicamente el estado del CRK. Si el estado no es Activo, el servidor virtual se reinicia. Durante el reinicio, el demonio clave sigue comprobando el estado mediante sondeos y, cuando el tiempo que tarda supera kmsTimeout, el servidor virtual se apaga. Debe habilitar la clave raíz para volver a poner la clave en Activo.

Asegúrese de que la CRK no ha caducado. De lo contrario, su estado pasa a ser Desactivado, y el servidor virtual se reinicia y finalmente se apaga. Para obtener más información sobre los estados de las claves, consulta Supervisión del ciclo de vida de las claves de cifrado.