ステップ

1. Hyper Protect Crypto Services インスタンスを用意し、ルートキーを作成する。 詳しくは、 ルート鍵の作成 を参照してください。

   セキュリティを強化するため、 Hyper Protect Crypto Services では 仮想プライベートエンドポイント の使用が推奨されます。

2. 契約 書を作成する際は、- env セクション volumes に詳細 kms を追加し、その契約書を使用してVPCインスタンスの Hyper Protect Virtual Serversを作成 してください。 以下の例を参照してください。

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

攻撃者による KMS の詳細の誤用を回避するために、( env セクションを提供する) デプロイヤーが契約を 暗号化 し、 署名 することを強くお勧めします。 暗号化について詳しくは、 契約の暗号化 を参照してください。 署名については、公開署名鍵 (signingKey フィールド) を env セクションに追加し、 envWorkloadSignature セクションを契約に追加して契約全体に署名します。 署名の目的は、および env``workload セクションが常に組み合わせて使用され、第三者による改ざんを受けないことを保証することである。 詳しくは、 契約署名 を参照してください。

• kms

  kms フィールドには、最初の項目として使用する KMS 構成を必ず入力してください。 以下の項目は、古い KMS 構成です (現在の構成にマイグレーションする前に、ラップされたシードを暗号化解除するために使用されます)。 最大 5 つの項目がサポートされます。 KMS構成の変更に関する詳細については、 「別の Hyper Protect Crypto Services インスタンスまたはルートキーへの変更」 を参照してください。

  契約の kms の詳細が有効でない場合、インスタンスは即時にシャットダウンします。

• kmsTimeout

  契約で kmsTimeout (0 分から 1000 分の間) を指定できます。 指定しない場合、デフォルトのタイムアウト値は 10 分です。 この値は、インスタンスが初期起動または再起動時にシードの展開を試行する時間を決定します。 このタイムアウトが経過すると、メッセージがログに記録され、インスタンスがシャットダウンします。

• type

  このフィールドを使用して、インスタンスがプライベート・ネットワーク内にある場合は「プライベート」、パブリック・ネットワーク内にある場合は「パブリック」として指定します。 このエントリは、別の Hyper Protect Crypto Services インスタンスまたはCRKへの切り替えをサポートするために使用されます。

ボリュームが新規の場合、インスタンスはデータボリューム内に2つのパーティションを作成し、 Hyper Protect Crypto Services を呼び出して3つ目のシードを生成し、それをCRKでラップします。 ラップされたシードは、メタデータ・パーティションに保管されます。 その後、インスタンスはシード（最初に展開される）と契約から取得した2つのシードを用いてLUKSパスフレーズを生成し、第二パーティションを暗号化する。

また、ボリューム内に 2 つのパーティションを 手動で 作成し、3 番目のシードとしてランダム値を作成し、ラップしてメタデータ・パーティションに保管することもできます。

1. Linuxユーティリティを使用して、ブロックデバイス上に parted 2つのパーティションを作成する。

   • 第1パーティションは とラベル付けされ、長 metadata さは100です。 MiB。 メタデータパーティションは内部メタデータ専用に予約されており、ワークロードによるアクセスは許可されません。 ファイルシステムを作成します（ ext4 ）。 keyfile という名前のファイルを作成します。
   • 第2パーティションは data。

2. Hyper Protect Crypto Services KMS API を使用して、HSM に根ざしたランダムなプレーンテキストを生成する キーをラップし、その値を渡すことなくラップします。

3. 応答オブジェクトから暗号文をキーファイルにコピーする。

4. KMS情報を含む契約を準備し、ラップされたシードを含む手動パーティション分割ボリュームを備えたVPCインスタンス用の Hyper Protect Virtual Servers を作成する。

インスタンスが実行中である場合、キーデーモンは定期的に Hyper Protect Crypto Services インスタンスに接続します。 同じタイムアウト kmsTimeout が適用されます。 Hyper Protect Crypto Services インスタンスに到達できない場合、CRKの状態が正常でない Active 場合、またはアクセスパラメータ（kms 詳細）が一致しなくなった場合、デーモンは再起動をトリガーします。

インスタンスがシャットダウンした場合は、 Log Analysis のログを確認してください。

ルート鍵のローテート

CRK が 手動で または 鍵ローテーション・ポリシー に基づいて自動的にローテートされる場合、鍵デーモンは鍵ローテーションを検出し、シードを再ラップします。

別の Hyper Protect Crypto Services インスタンスまたはルートキーへの変更

別の Hyper Protect Crypto Services インスタンスまたは別のルートキーIDを使用したい場合は、新しいKMS構成を契約の最初のエントリとして設定し、 Hyper Protect Virtual Servers インスタンスを再作成してください。 契約書には、現在使用されている古いKMS設定をそのまま維持する。 インスタンス化時、VPC向け Hyper Protect Virtual Servers は暗号化されたシードを旧設定で展開し、新設定を用いてシードを再包装する。 契約では、最大 5 つのエントリーがサポートされます。

変更が行われた後、古いエントリーを次の対話から削除できます。

ルート鍵の無効化

ルート鍵を無効にする と、鍵の状態は 「中断状態」 になります。 Hyper Protect Virtual Servers のVPC向けキーデーモンは、CRKの状態を定期的に確認します。 状態がアクティブでない場合、仮想サーバーは再起動します。 再起動中、キーデーモンはポーリングによって状態を継続的に確認し、その処理時間がを超過した場合 kmsTimeout、仮想サーバーはシャットダウンする。 鍵を 「アクティブ」 に戻すには、 ルート鍵を有効にする 必要があります。

CRK の有効期限が切れていないことを確認してください。 そうでない場合、その状態は非アクティブになり、仮想サーバーは再起動し、最終的にシャットダウンします。 主要な状態に関する詳細については、「 暗号化キーのライフサイクルの監視」を 参照してください。