Passi

1. Fornire un'istanza Hyper Protect Crypto Services e creare una chiave root. Per ulteriori informazioni, vedi Creazione di chiavi root.

   Per migliorare la sicurezza, si consiglia di utilizzare endpoint privati virtuali con Hyper Protect Crypto Services.

2. Quando prepari il contratto, aggiungi kms i dettagli nella sezione env``volumes-, quindi utilizza il contratto per creare un Hyper Protect Virtual Servers e per l'istanza VPC. Vedi il seguente esempio:

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

Per evitare un uso improprio dei dettagli KMS da parte di un aggressore, si consiglia vivamente al distributore (che fornisce la sezione env ) di crittografare e firmare il contratto. Per ulteriori informazioni sulla crittografia, vedi Crittografia del contratto. Per la firma, aggiungi una chiave di firma pubblica (campo signingKey ) alla tua sezione env e firma l'intero contratto aggiungendo una sezione envWorkloadSignature al contratto. Lo scopo della firma è garantire che le workload sezioni env e siano sempre utilizzate insieme e non vengano manomesse da terzi. Per ulteriori informazioni, vedere Firma del contratto.

• kms

  Nel campo kms, inserire sempre la configurazione KMS che si desidera utilizzare come prima voce. Le voci che seguono sono vecchie configurazioni KMS (utilizzate per decodificare il seed sottoposto a wrap prima di migrare alla configurazione corrente). Sono supportate un massimo di cinque voci. Per ulteriori informazioni sulla modifica delle configurazioni KMS, vedere Passaggio a un'istanza o a una chiave root di KMS(Hyper Protect Crypto Services)diversa.

  Se i dettagli kms del contratto non sono validi, l'istanza viene chiusa immediatamente.

• kmsTimeout

  È possibile specificare kmsTimeout (tra 0 e 1000 minuti) nel contratto. Se non specificato, il valore di timeout predefinito è 10 minuti. Questo valore determina per quanto tempo l'istanza tenta di decomprimere il seed durante l'avvio iniziale o il riavvio. Quando questo timeout scade, i messaggi vengono registrati e l'istanza viene chiusa.

• type

  Si utilizza questo campo per specificare le istanze come "private" quando si trova in una rete privata e "public" quando si trova nella rete pubblica. Questa voce viene utilizzata per supportare il passaggio a un'istanza Hyper Protect Crypto Services o CRK diversa.

Se il volume è nuovo, l'istanza crea due partizioni nel volume di dati, chiama Hyper Protect Crypto Services per generare un terzo seed e lo avvolge con il CRK. Il seed incluso viene memorizzato nella partizione dei metadati. Quindi, l'istanza genera una passphrase LUKS con il seed (prima decompresso) e i due seed del contratto per crittografare la seconda partizione.

È anche possibile scegliere di creare manualmente due partizioni in un volume, creare un valore random come terzo seed, impacchettarlo e memorizzarlo nella partizione dei metadati:

1. Crea due partizioni sul dispositivo a blocchi utilizzando l'utilità linux parted.

   • La prima partizione è etichettata come metadata e ha una lunghezza di 100 MiB. La partizione dei metadati è riservata esclusivamente ai metadati interni e non è accessibile da un carico di lavoro. Crea un file system ( ext4 ) e crea un file con il nome keyfile.
   • la seconda partizione è etichettata come data e riempie l'intero spazio del disco.

2. Utilizza l'API KMS di Hyper Protect Crypto Services Avvolgi una chiave per generare un testo in chiaro casuale radicato in un HSM e avvolgilo senza trasmettere il valore.

3. Copia il testo cifrato dall'oggetto risposta al file chiave.

4. Prepara il contratto con le informazioni KMS e crea un'istanza VPC ( Hyper Protect Virtual Servers ) con il volume partizionato manualmente che contiene un seed avvolto.

Quando l'istanza è in esecuzione, il demone chiave contatta periodicamente l'istanza Hyper Protect Crypto Services. Si applica lo stesso timeout kmsTimeout. Se l'istanza Hyper Protect Crypto Services non è raggiungibile, lo stato del CRK non è Active, oppure i parametri di accesso (kms dettagli) non corrispondono più, il demone avvia un riavvio.

Controlla i registri in Log Analysis se la tua istanza si spegne.

Rotazione della chiave root

Se la CRK viene ruotata manualmente o automaticamente in base a una politica di rotazione delle chiave, il daemon delle chiavi rileva la rotazione delle chiavi e riesegue il wrapping del seed.

Passaggio a un'istanza o a una chiave root diversa di Hyper Protect Crypto Services

Se desideri utilizzare un'istanza Hyper Protect Crypto Services diversa o un ID chiave root diverso, inserisci la nuova configurazione KMS come prima voce nel contratto e ricrea l'istanza Hyper Protect Virtual Servers. Mantenere la vecchia configurazione KMS (attualmente in uso) nel contratto. Durante l'istanziazione, Hyper Protect Virtual Servers per VPC decomprime il seed crittografato con la vecchia configurazione e utilizza la nuova configurazione per ricomprimere il seed. Nel contratto è supportato un massimo di cinque voci.

Una volta effettuata la modifica, le vecchie voci possono essere rimosse dall'interazione successiva.

Disabilitazione della chiave root

Se disabiliti la chiave root, lo stato della chiave diventa Sospeso. Il demone chiave di Hyper Protect Virtual Servers per VPC controlla periodicamente lo stato del CRK. Se lo stato non è Attivo, il server virtuale si riavvia. Durante il riavvio, il Key Daemon continua a controllare lo stato tramite polling e, quando il tempo richiesto supera kmsTimeout, il server virtuale si spegne. Devi abilitare la chiave root per riportare la chiave a Active.

Assicurarsi che il CRK non sia scaduto. Altrimenti, il suo stato diventa Disattivato e il server virtuale si riavvia e alla fine si spegne. Per ulteriori informazioni sugli stati delle chiavi, vedi Monitoraggio del ciclo di vita delle chiavi di crittografia.