Étapes

1. Fournissez une instance d' Hyper Protect Crypto Services et créez une clé racine. Pour plus d'informations, voir Création de clés racine.

   Pour renforcer la sécurité, il est recommandé d'utiliser des points de terminaison privés virtuels avec Hyper Protect Crypto Services.

2. Lorsque vous préparez le contrat, ajoutez kms les détails dans la env``volumes section, puis utilisez le contrat pour créer une instance Hyper Protect Virtual Servers pour VPC. Voir l'exemple suivant :

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

Pour éviter une mauvaise utilisation des détails KMS par un agresseur, il est fortement recommandé au déployeur (qui fournit la section env ) de chiffrer et de signer le contrat. Pour plus d'informations sur le chiffrement, voir Chiffrement de contrat. Pour la signature, ajoutez une clé de signature publique (champ signingKey ) à votre section env et signez l'intégralité du contrat en ajoutant une section envWorkloadSignature au contrat. Le but de la signature est de garantir que les sections workload env et sont toujours utilisées ensemble et ne sont pas altérées par un tiers. Pour plus d'informations, voir Signature du contrat.

• kms

  Dans la zone kms, placez toujours la configuration KMS que vous souhaitez utiliser comme première entrée. Les entrées qui suivent sont des configurations KMS plus anciennes (utilisées pour déchiffrer la valeur de départ encapsulée avant la migration vers la configuration en cours). Cinq entrées au maximum sont prises en charge. Pour plus d'informations sur la modification des configurations KMS, consultez la section Modification de l' Hyper Protect Crypto Services instance ou de la clé racine.

  Si les détails kms du contrat ne sont pas valides, l'instance s'arrête immédiatement.

• kmsTimeout

  Vous pouvez spécifier kmsTimeout (entre 0 et 1000 minutes) dans le contrat. S'il n'est pas spécifié, la valeur de délai d'attente par défaut est de 10 minutes. Cette valeur détermine la durée pendant laquelle l'instance tente de déballer la graine lors du démarrage initial ou du redémarrage. Une fois ce délai écoulé, les messages sont consignés et l'instance s'arrête.

• type

  Cette zone permet de spécifier les instances comme étant "privées" lorsqu'elles se trouvent dans un réseau privé et "publiques" lorsqu'elles se trouvent dans le réseau public. Cette entrée est utilisée pour prendre en charge le passage à une autre instance d' Hyper Protect Crypto Services s ou à un autre CRK.

Si votre volume est nouveau, l'instance crée deux partitions dans le volume de données, appelle Hyper Protect Crypto Services pour générer une troisième graine et l'enveloppe avec le CRK. La valeur de départ encapsulée est stockée dans la partition de métadonnées. Ensuite, l'instance génère une phrase secrète LUKS à partir de la graine (déballée au préalable) et des deux graines du contrat afin de chiffrer la deuxième partition.

Vous pouvez également choisir de créer manuellement deux partitions dans un volume, de créer une valeur aléatoire comme troisième valeur de départ, de l'encapsuler et de le stocker dans la partition de métadonnées:

1. Créez deux partitions sur le périphérique bloc à l'aide de l'utilitaire Linux parted.

   • La première partition est étiquetée et metadata a une longueur de 100 MiB. La partition de métadonnées est réservée aux métadonnées internes uniquement et n' est pas accessible par une charge de travail. Créez un système de fichiers ( ext4 ) et créez un fichier nommé keyfile.
   • la deuxième partition est appelée data et occupe tout l'espace disque.

2. Utilisez l'API KMS d' Hyper Protect Crypto Services Enveloppez une clé pour générer un texte brut aléatoire qui est ancré dans un HSM et enveloppez-le sans transmettre la valeur.

3. Copiez le texte chiffré de l'objet réponse dans le fichier clé.

4. Préparez le contrat avec les informations KMS et créez une instance VPC ( Hyper Protect Virtual Servers ) avec le volume partitionné manuellement qui contient une graine encapsulée.

Lorsque l'instance est en cours d'exécution, le démon clé contacte périodiquement l'instance Hyper Protect Crypto Services. Le même délai d'attente kmsTimeout s'applique. Si l'instance Hyper Protect Crypto Services n'est pas accessible, si l'état du CRK n'est pas Active ou si les paramètres d'accès (kms détails) ne correspondent plus, le démon déclenche un redémarrage.

Vérifiez les journaux dans Log Analysis si votre instance s'arrête.

Rotation de la clé racine

Si la clé CRK est pivotée manuellement ou automatiquement en fonction d'une règle de rotation des clés, le démon de clés détecte la rotation des clés et encapsule à nouveau la valeur de départ.

Passage à une autre instance d' Hyper Protect Crypto Services s ou à une autre clé racine

Si vous souhaitez utiliser une autre instance Hyper Protect Crypto Services ou un autre ID de clé racine, placez la nouvelle configuration KMS en tant que première entrée dans le contrat et recréez l'instance Hyper Protect Virtual Servers. Conservez l'ancienne configuration KMS (actuellement utilisée) dans le contrat. Lors de l'instanciation, Hyper Protect Virtual Servers pour VPC décompresse la graine cryptée avec l'ancienne configuration et utilise la nouvelle configuration pour recompresser la graine. Un maximum de cinq entrées sont prises en charge dans le contrat.

Une fois la modification effectuée, les anciennes entrées peuvent être supprimées de l'interaction suivante.

Désactivation de la clé racine

Si vous désactivez la clé racine, l'état de la clé devient Interrompu. Le démon clé d' Hyper Protect Virtual Servers pour VPC vérifie périodiquement l'état du CRK. Si l'état n'est pas actif, le serveur virtuel redémarre. Pendant le redémarrage, le démon Key vérifie l'état par interrogation et, lorsque le temps nécessaire dépasse kmsTimeout, le serveur virtuel s'arrête. Vous devez activer la clé racine pour ramener la clé à l'état Actif.

Assurez-vous que votre CRK n'est pas arrivé à expiration. Sinon, son état passe à Désactivé, et le serveur virtuel redémarre puis finit par s'arrêter. Pour plus d'informations sur les états des clés, consultez la section Suivi du cycle de vie des clés de chiffrement.