단계

1. Hyper Protect Crypto Services 인스턴스를 프로비저닝하고 루트 키를 생성합니다. 자세한 정보는 루트 키 작성 을 참조하십시오.

   보안을 강화하기 위해 Hyper Protect Crypto Services 와 함께 가상 사설 엔드포인트를 사용하는 것이 권장됩니다.

2. 계약 서를 작성할 때 - volumes``env 섹션에 세부 kms 사항을 추가한 후, 해당 계약서를 사용하여 VPC 인스턴스에 대한 자동 화된 인스턴스 생성( Hyper Protect Virtual Servers )을 생성하십시오. 다음 예를 참조하십시오.

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

공격자가 KMS 세부사항을 잘못 사용하지 않도록 하려면 배치자 ( env 섹션 제공) 가 계약을 암호화 하고 서명 하도록 적극 권장합니다. 암호화에 대한 자세한 정보는 계약 암호화 를 참조하십시오. 서명의 경우 env 섹션에 공개 서명 키 (signingKey 필드) 를 추가하고 계약에 envWorkloadSignature 섹션을 추가하여 전체 계약에 서명하십시오. 서명의 목적은 및 env workload 섹션이 항상 함께 사용되고 제3자에 의해 변조되지 않도록 보장하는 데 있습니다. 자세한 정보는 계약 서명 을 참조하십시오.

• kms

  kms 필드에 항상 첫 번째 항목으로 사용할 KMS 구성을 입력하십시오. 다음 항목은 이전 KMS 구성입니다 (현재 구성으로 마이그레이션하기 전에 랩핑된 시드를 복호화하는 데 사용됨). 최대 5개의 항목이 지원됩니다. KMS 구성 변경에 대한 자세한 내용은 다른 키 관리 서비스 ( Hyper Protect Crypto Services ) 인스턴스 또는 루트 키로 변경을 참조하십시오.

  계약의 kms 세부사항이 올바르지 않으면 인스턴스가 즉시 종료됩니다.

• kmsTimeout

  계약에서 kmsTimeout (0-1000분 사이) 를 지정할 수 있습니다. 명시되지 않은 경우, 기본 타임아웃 값은 10분입니다. 이 값은 초기 부팅 또는 재부팅 시 인스턴스가 시드(seed)를 언랩(unwrap)하려고 시도하는 시간을 결정합니다. 이 제한시간이 경과하면 메시지가 로그되고 인스턴스가 종료됩니다.

• type

  이 필드를 사용하여 사설 네트워크에 있는 경우 인스턴스를 "개인용" 으로 지정하고 공용 네트워크에 있는 경우 "공용" 으로 지정합니다. 이 항목은 다른 Hyper Protect Crypto Services 인스턴스 또는 CRK로 전환하는 것을 지원하기 위해 사용됩니다.

볼륨이 새 볼륨인 경우, 인스턴스는 데이터 볼륨에 두 개의 파티션을 생성하고, Hyper Protect Crypto Services 를 호출하여 세 번째 시드를 생성한 후 이를 CRK로 감쌉니다. 랩핑된 seed는 메타데이터 파티션에 저장됩니다. 그런 다음 인스턴스는 시드(먼저 언랩 처리됨)와 계약에서 가져온 두 개의 시드를 사용하여 두 번째 파티션을 암호화하기 위한 LUKS 암호 문구를 생성합니다.

또한 볼륨에 두 개의 파티션을 수동으로 작성하고, 무작위 값을 세 번째 시드로 작성하고, 랩핑하고, 메타데이터 파티션에 저장하도록 선택할 수 있습니다.

1. 리눅스 유틸리티를 사용하여 블록 장치에 두 parted 개의 파티션을 생성하십시오.

   • 첫 번째 파티션은 로 표시되며 길이는 metadata 100입니다. MiB. 메타데이터 파티션은 내부 메타데이터 전용으로 예약되어 있으며 워크로드가 접근해서는 안 됩니다. 파일 시스템( ext4 )을 생성하고 keyfile이라는 이름의 파일을 생성합니다.
   • 두 번째 파티션은 data 로 레이블이 지정되고 전체 디스크 공간을 채웁니다.

2. Hyper Protect Crypto Services KMS API 사용 키를 래핑하여 HSM 기반의 무작위 평문을 생성하고, 값을 전달하지 않고 래핑합니다.

3. 응답 객체에서 암호문을 키 파일로 복사하십시오.

4. KMS 정보로 계약을 준비하고, 래핑된 시드가 포함된 수동으로 파티션된 볼륨을 사용하여 VPC 인스턴스에 대한 디스크( Hyper Protect Virtual Servers )를 생성하십시오.

인스턴스가 실행 중일 때, 키 데몬은 주기적으로 Hyper Protect Crypto Services 인스턴스에 접속합니다. 동일한 제한시간 kmsTimeout 이 적용됩니다. Hyper Protect Crypto Services 인스턴스에 연결할 수 없거나, CRK 상태가 Active 올바르지 않거나, 액세스 매개변수(kms 세부 정보)가 더 이상 일치하지 않을 경우 데몬이 재시작을 트리거합니다.

인스턴스가 종료되면 Log Analysis 의 로그를 확인하십시오.

루트 키 회전

CRK가 수동으로 또는 키 순환 정책 에 따라 자동으로 순환되는 경우 키 디먼은 키 순환을 발견하고 시드를 다시 랩핑합니다.

다른 Hyper Protect Crypto Services 인스턴스 또는 루트 키로 변경

다른 Hyper Protect Crypto Services 인스턴스나 다른 루트 키 ID를 사용하려면, 계약의 첫 번째 항목으로 새 KMS 구성을 추가하고 Hyper Protect Virtual Servers 인스턴스를 다시 생성하십시오. 계약서에 기존 KMS 구성(현재 사용 중인)을 유지하십시오. VPC용 Hyper Protect Virtual Servers 는 인스턴스화 과정에서 암호화된 시드를 기존 구성으로 해독한 후 새 구성으로 시드를 재포장합니다. 계약에서 최대 5개의 항목이 지원됩니다.

변경이 완료된 후에는 다음 상호작용에서 이전 항목을 제거할 수 있습니다.

루트 키 사용 안함

루트 키를 사용 불가능하게 하면 키의 상태가 일시중단됨이 됩니다. Hyper Protect Virtual Servers 의 VPC용 핵심 데몬은 주기적으로 CRK의 상태를 확인합니다. 상태가 활성(Active) 이 아닐 경우 가상 서버가 재시작됩니다. 재시작 중 키 데몬은 폴링을 통해 상태를 지속적으로 확인하며, 소요 시간이 초과할 경우 가상 kmsTimeout 서버가 종료됩니다. 키를 다시 활성으로 가져오려면 루트 키를 사용으로 설정 해야 합니다.

CRK가 만료되지 않았는지 확인하십시오. 그렇지 않으면 상태가 비활성화(Deactivated)로 전환되며, 가상 서버가 재시작된 후 결국 종료됩니다. 주요 키에 대한 자세한 내용은 ‘암호화 키의 수명 주기 모니터링’을 참조하십시오.