auths 子區段

auths 區段包含儲存器登錄的相關資訊。 如果在合約中使用公用映像檔，則您不需要 auths 區段，因為不需要任何認證。 只有在儲存器映像檔是專用時，才需要 auths 子區段。 此子區段沒有任何影像資訊，如下列範例所示。 此子區段需要包含映像檔登錄的名稱，以及相同項目的認證 (例如 username-password)。 鍵必須是主機名Container Registry或預設 docker 註冊表的以下字串：

https://index.docker.io/v1/

下列 Snippet 顯示 IBM Cloud Registry 的範例。 如需使用 API 金鑰的相關資訊，請參閱 使用用戶端軟體在自動化中進行鑑別。

auths:
  us.icr.io:
    password: <apikey>
    username: iamapikey

compose 子區段

它由保存子區段組成。 保存子區段包含 docker-compose.yaml 檔案的 Base64 編碼 TGZ 檔案保存檔。 因為 Hyper Protect Container Runtime 映像檔使用 Docker Engine 及 Docker Compose 來啟動儲存器，所以必須先使用標準 docker-compose 檔案來建立儲存器的相關資訊。 此檔案隨後會進行歸檔和 Base64 編碼，此程序的輸出會在編譯部分中作為歸檔小節的值提供。 如需相關資訊，請參閱 Docker Compose概觀。

在 docker-compose 檔案的磁區資訊下指定的裝載點可能與合約的工作量區段中指定的磁區裝載點一致。

不支援執行建置作為 Docker Compose 檔案的一部分。 請確定 Docker Compose 檔案沒有 build 區段。

docker-compose 檔案同時支援 "yaml" 和 "yml" 格式。 請參閱以下 Docker-Compose 檔案的範例。

version: '3'
services:
  nginx:
    image: nginx@sha256:e73ba8654ba7fd1834e78a3d4e9d72ffaaa3372d42996af5c34ba3e1abc293e8
    privileged: true
    user: 0:0
    restart: always
    ports:
    - 80:80

在預先加密工作負載部分時，存在不知道註冊表的使用個案。 例如，當工作負載提供者希望允許部署者使用註冊表鏡像或私有註冊表時，可以動態 Container Registry 覆寫註冊表及拉取憑證。 這項工作必須在工作負載提供者和部署者之間協調。 如需相關資訊，請參閱 使用動態登錄參照。

完成以下步驟即可獲得Base64編碼的存檔檔案。 這Base64輸出可在compose.b64文件。 移至 <COMPOSE_Folder>，並執行下列指令:

tar czvf compose.tgz docker-compose.yml

base64 -w0 compose.tgz > compose.b64

確保 compose tgz 檔案僅包含目錄和常規檔案。 不支援鏈結或管道。

將 compose.b64 的內容複製為 compose-> archive 的值。

compose:
  archive: <paste the content of compose.b64 >

針對此範例，您將看到類似下列輸出的回應：

compose:
  archive: H4sIAKOFmGIAA+2RTW6DMBBGs84pRuyB8Q8k+DIRwZOGtmBkkyrcvhgnLVVV1EWkqhJv4ZHt8ednWZvqhWxcmaYzjpKhed08HETMpQRfd3k2VeRhPpEJCUxymTPkIuOALBOIG8DHq3zn4vrSjiqdLY/nsv+xb2w7nRZywlPgo/4THNm3uiKntgCWdO1aowmZnwLUTflECpwo8Jpu9NyZ2zvQgdADFEudoXyQzSu+fPPzseSvedo6qjV7mDa2anZbdH8totL6somtUlvX8K4SJshDsFKU2NmFvAZuMc9U37wceeys+Y6BI8Fi6+6vxK5RS+YFDh6RNu//tuVlZWVJd4BcjKckQAIAAA=

play 子區段

在裡面 play 小節，您可以透過定義工作負載 Pod 描述符。 每一個 Pod 都可以包含一或多個儲存器定義。 可以使用下列其中一種方式來提供描述子:

• 在 play 的 resources 子區段中，採用一般 YAML 格式。 本節是描述子陣列，並支援兩種類型的描述子: Pod 和 ConfigMaps。

  下列範例說明如何使用 resources 區段:

  workload: |
    type: workload
    play:
      resources:
        - apiVersion: v1
          kind: Pod
          metadata:
            name: busybox
          spec:
            containers:
            - name: main
              image: ...
              command:
              - printenv
              envFrom:
              - configMapRef:
                  name: contract.config.map
                  optional: false
            restartPolicy: Never
  

  以下範例說明如何使用 initcontainers 與 resources 區段：

  workload: |
    type: workload
    play:
      resources:
        - apiVersion: v1
          kind: Pod
          metadata:
            name: busybox
          spec:
            initContainers:
            - name: attest
              image: ...
              volumeMounts:
              - mountPath: /var/hyperprotect
                name: datavolume
            containers:
            - name: main
              image: ...
              command:
              - printenv
              envFrom:
              - configMapRef:
                  name: contract.config.map
                  optional: false
            restartPolicy: Never
  

• 在裡面 archive 的小節 play，存檔是Base64編碼、gzip 壓縮的 tar 檔。 Pod 或 ConfigMaps 在此 tar 檔案的最上層以 YAML 檔案表示。 檔案也可能包含額外的檔案，所有檔案都會在 Pod 啟動前萃取到主機檔案系統。 現行工作目錄 是解壓縮檔案的目錄，因此可以使用具有相對路徑的磁區裝載來從 YAML 檔案裝載檔案或目錄。

  範例：

  workload: |
    type: workload
    play:
      archive: ${COMPOSE_VALUE}
    auths:
      us.icr.io:
        username: iamapikey
        password: Eqx0TS....
    volumes:
      test-volume:
        mount: /var/hyperprotect
        seed: "workload_phrase"
        filesystem: ext4
  

• 在 play 的 templates 子區段中採用範本格式。 本節是 YAML 格式的描述子陣列。 艙或 ConfigMaps 可能會有變異點 (POV)，而這些變異點在撰寫描述符時是不知道的。 這些 POV 可表示為 範本，並在部署時根據合約中的資訊完成值。 我們使用 go templates 作為範本語法，這與用於 helm 圖表的範本語法相同，因此可以輕鬆與 k8s交換範本。 我們支援下列 Built-In 物件:

  • 環境: 此物件包含在工作量與環境區段之間合併的環境變數。 該物件以 {{ .Env }} 形式提供。

  範例：

  workload: |
    type: workload
    auths:
     docker.io:
      password: <password>
      username: test
    play:
      templates:
        - apiVersion: v1
          kind: Pod
          metadata:
            name: busybox
          spec:
            initContainers:
            - name: initcontainer
              image: docker.io/library/init-config@sha256:b1306efee704017b0e02efadc011d374063a4e9c47b86bdc57744fc3f0666383
            containers:
            - name: main
              image: "{{ .Env.REGISTRY }}/hpse-docker-busybox-s390x@sha256:732efa374f1e6c964caeacab0bcb370385ee386041a14d4a32176462e3f75c7b"
              command:
              - printenv
              envFrom:
              - configMapRef:
                  name: contract.config.map
                  optional: false
            restartPolicy: Never
  env: |
    type: env
    logging:
      logRouter:
        hostname: 34be57c7-6ff2-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
        iamApiKey: <iamApiKey of the service instance> / xxxx
        port: 443
    env:
      REGISTRY: docker-io/test
  

  {{ .Env REGISTRY }} 表示式參照 REGISTRY 環境變數，在此範例中，此環境變數定義在合約的 env 區段中。

  範本必須是有效的 YAML，因此如果取代表示式顯示為字串的第一部分，則必須跳出它。 否則會與 區塊映射句法。 這與 helm 模板不同，其中表達式應用於文件的文本表示而不是模型表示。

apiVersion: v1
kind: Pod
metadata:
  name: busybox
spec:
  containers:
  - name: main
    image: ...
    command:
    - printenv
    envFrom:
    - configMapRef:
        name: contract.config.map
        optional: false
  restartPolicy: Never

apiVersion: v1
kind: Pod
metadata:
  name: busybox
spec:
  containers:
  - name: main
    image: ...
    volumeMounts:
    - name: test-volume
      readOnly: true
      mountPath: /fromHost
  volumes:
  - name: test-volume
    hostPath:
      path: /var/hyperprotect
      type: Directory
  restartPolicy: Never

images 子區段

Docker Docker Content Trust (DCT) 宣布退休。 由於 DCT 是建基於傳統的 Notary v1 架構，而該架構現在已不再積極維護，因此不被視為未來就緒或可持續的影像簽署與驗證解決方案。 因此，我們鼓勵客戶捨棄 DCT，採用符合 OCI 的影像簽章與驗證技術，以符合目前的供應鏈安全標準。 您可以將容器影像遷移到 IBM Cloud Container Registry (ICR)。 ICR 整合 Red Hat Signing Service (RHS) 作為其可信賴的簽章根，提供供應商支援的信任模式，並符合當代集裝箱安全與供應鏈最佳實務。 如需詳細資訊，請參閱 Retiring Docker Content Trust。

images 子區段僅適用於已簽署的映像檔。

<container registry>/<username or namespace>/<image name>
eg- us.icr.io/mynamespace/my-haproxy:

notary: "https://notary.us.icr.io"

cat ~/.docker/trust/tuf/us.icr.io/<username>/<imagename>/metadata/root.json

images:
  dct:
    us.icr.io/mynamespace/my-haproxy:
      notary: "https://notary.us.icr.io"
      publicKey: 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

services:
  <imagename>:
    image: s390x/redis@sha256:db467ab5c53bdeef65762a7534e26fecb94a0f218bd38afd2eaba1a670c472b1

gpg -a --export ${KEY_ID}|base64 -w0

images:
  rhs:
      OCI-image-identifier:
        publicKey: abcdef

workload- volumes 子區段

只有在建立時將資料磁區連接至實例時，才需要在合約中提供 volumes 區段。 本節中提供的資訊用於掛載附加的資料卷（由使用者提供），之後使用 workload 和 env 兩節中提供的「種子」進行加密。 您可以為「裝載」欄位提供您選擇的任何路徑。 使用者提供的路徑在內部用於掛載資料卷。 合約中提供的掛載路徑必須與 docker-compose.yaml 檔案的卷部分下提供的路徑相符，以便與容器工作負載相關的所有資料都儲存在此資料卷中。

volumes 子區段支援使用使用者提供的種子自動加密資料磁區。 如果資料磁區連接至 Hyper Protect Virtual Servers 實例，則會自動使用透過合約 volumes 子區段中「種子」欄位提供的種子來加密該資料磁區。 因此必須提供兩個種子，一個透過 workload 區段 (由工作量角色)，另一個透過 env 區段 (由部署人員角色)。 這兩個種子會在內部轉換成 UTF8 序列，然後連結。 稍後，連結序列的雜湊 (SHA256) 會計算為 hexdigest，用來作為 LUKS 通行詞組，以加密資料磁區。

目前，env 和 workload 種子要求的最小長度為 3 個字元。 自 2026 年 3 月起，此最低字元數目將增加至 15 個字元。 2026 年 3 月之後， 任何種子值若短於 15 個字元，可能會導致錯誤或部署失敗。 為避免中斷，請儘快更新所有種子值，使其長度至少達 15 個字元。 規則的定義如下。

自 2026 年 3 月起，您必須遵循這些規則才能製作種子：

• 不容許空格。
• 必須至少有 15 字元。 以下是允許使用的字元：
  • 小寫字母 (a-z)
  • 大寫字母 (A-Z)
  • 數字 (0-9)
  • 特殊字元 !@#$%^&*(),.?":{}|<>_-

您可以使用以下指令來驗證十六進位摘要：

echo -n "seed1seed2" | sha256sum

在這裡，您可以瞭解如何在合約的工作量區段中提供「種子」。 如需如何透過 env 區段提供「種子」輸入的相關資訊，請參閱 env 區段。 必須同時提供加密的種子。 如果只提供其中一個種子實例關閉，則加密會失敗。

透過與整合 Hyper Protect Crypto Services，您可為靜態資料增添更高層級的加密保護與控制。 從 開始，您可以使用 生成一個 ibm-hyper-protect-container-runtime-1-0-s390x-11 隨機值作為第三 Hyper Protect Crypto Services 個種子，並用您的根金鑰進行封裝。 LUKS 通行詞組是透過使用 三個 種子來產生-meta 資料分割區中的種子，以及合約中的兩個種子。 如需相關資訊，請參閱 保護資料安全。

下列 Snippet 是 volumes 區段的範例:

volumes:
  test:
    filesystem: ext4
    mount: /mnt/data
    seed: "workload_phrase"

從 HPCR 映像版本 ibm-hyper-protect-container-runtime-1-0-s390x-9 開始，針對 VPC 實例的新增 Hyper Protect Virtual Servers 資料卷，其資料卷將被分割為兩部分。 第一個分區 ( 100Mib ) 保留給內部元數據使用；第二個分區則作為工作負載的數據卷。 只會分割新的磁區，而且您無法將分割的磁區與舊版 HPCR 映像檔搭配使用。 使用現有加密磁區佈建也可以運作。 差異是現有磁區未分割，您也可以使用此磁區回到較舊的映像檔。

從 ibm-hyper-protect-container-runtime-1-0-s390x-12 開始，部署人員和提供者可以使用「滾動種子」特性。 提供了用於滾動或旋轉種子以增加安全狀態的選項，或者如果種子已受損。 當部署人員及/或提供者想要捲動種子時，必須在 previousSeed 參數中指定現行種子資訊，且必須在 seed 參數中指定新的種子資訊。

下列 Snippet 是 volumes 區段的範例:

volumes:
  test:
    filesystem: ext4
    mount: /mnt/data
    seed: "workload_phrase1"
    previousSeed: "workload_phrase"

從 ibm-hyper-protect-container-runtime-1-0-s390x-13 開始，您可以在啟動虛擬伺服器實例時連接多個磁區。 在實體執行時附加的磁碟區會被忽略。

下列 Snippet 是 volumes 區段的範例:

volumes:
  test1:
    filesystem: "ext4"
    mount: "/mnt/data"
    seed: "seed_value_with_minimum_15_characters"
  test2:
    filesystem: "ext4"
    mount: "/mnt/test2"
    seed: "seed_value_with_minimum_15_characters"
  test3:
    filesystem: "ext4"
    mount: "/mnt/test3"
    seed: "seed_value_with_minimum_15_characters"

logging 子區段

 env:
   logging:
     logRouter:
       hostname: <host name of the service instance> /
       iamApiKey: <iamApiKey of the service instance> / xxxx
       port: <port of the service instance(443)

env- volumes 子區段

在繼續此區段之前，請先閱讀工作量區段的 工作量磁區 子區段。 如前所述，對於附加資料磁區的自動磁碟加密，您必須提供兩個客戶種子，一個在 workload- volumes 子區段中，另一個在 env- volumes 子區段中。 種子可以是您選擇的任何隨機文字。

請參閱以下 env- volumes 小節的範例：

volumes:
  test:
    seed: "seed_value_with_minimum_15_characters"

當您使用「種子滾動」特性時，您可以使用下列 Snippet 作為範例:

volumes:
  test:
    seed: "seed_value_with_minimum_15_characters"
    previousSeed: "env_phrase12345"

當您使用多個磁區時，部署人員必須確保預先建立磁區，並在合約檔案中指定磁區 ID。 否則，必須指定磁區名稱，且必須以相同名稱建立磁區。 如果兩者都未指定，則卷鍵會被視為卷名，且必須在建立虛擬伺服器實體時或之前，以相同的名稱建立卷。 以下是範例片段：

 env: |
   logging:
     logRouter:
       hostname: 34be57c7-6ff2-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
       iamApiKey: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
       port: 443
   volumes:
     test1:
       apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
       volumeID: "r006-f7b44467-01af-xxx-xxxx-xxxxxxx"
       seed: "seed_value_with_minimum_15_characters"
     test2:
       apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
       volumeName: "volume2"
       seed: "seed_value_with_minimum_15_characters"
     test3:
       apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
       seed: "seed_value_with_minimum_15_characters"

其中：

• 磁碟區名稱：是您在 VPC 上建立磁碟區時指定的名稱。
• 磁區 ID: 是所建立磁區的系統產生磁區 ID。
• 磁區索引鍵: 是每一個磁區的唯一磁區名稱。

卷密钥必须与 工作负载 - 卷 分节中的密钥相同。

如前所述，您可以與 Hyper Protect Crypto Services 整合，以產生第三個種子並使用根金鑰包裝它。 請參閱下列範例。 如需相關資訊，請參閱 保護資料安全。

volumes:
 test:
   kms:
     - apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
       crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
       type: "public"
     - apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
       crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
       type: "private"
   seed: "seed_value_with_minimum_15_characters"
   apiKey: "**********************"
   kmsTimeout: 10

signingKey 子區段

如需如何使用 signingKey 的相關資訊，請參閱 合約簽章。

env 子區段

• 如果在 workload 區段中使用 Pod 描述子:

  請參閱 play 子區段 中的範本格式範例。

• 如果在 workload 區段中使用 Docker Compose 檔案:

  如果 Docker Compose 檔案具有環境區段，您可以使用下列 Snippet 作為範例:

  environment:
    KEY1: "${Value1}"
    KEY2: "${Value2}"
  

  當 docker compose 檔案有環境部分時，就像前面的範例所示，你可以在部署程式的 env 部分傳送值。 下列範例顯示如何指定 env 變數的值:

  env:
   value1: "abc"
   value2: "xyz"
  

下載加密憑證並擷取公開金鑰

1. 下載憑證。 下表列出了根據映像檔版本所對應的加密憑證到期日期，以及映像檔的停用／過時日期。

附注

• 已棄用 - 您可以使用映像從 IBM Cloud CLI 建立實體。 在映像的狀態變更為廢棄之前，廢棄狀態可能會減低使用該映像的意願。 影像目錄總是維護兩個最新的影像版本：n 和 n-1。 當有新版本 ( n+1 ) 時，系統會廢棄最舊的版本 ( n-1 )。
• 過期：與映像關聯的憑證過期後，映像就無法用於配置實體。
• 務必下載與影像對應的加密憑證，並加密合約。

若要檢查映像檔淘汰或已作廢狀態，您也可以使用 IBM Cloud 映像檔清單指令。

您可以參閱映像檔清單指令的 文件，以取得映像檔的狀態。

2. 依照驗證 合約加密證書主題中的說明來驗證 加密證書。

建立合約的已加密 workload 區段

合約中任何區段的值可以是純文字或加密。 在 Ubuntu 系統上完成以下步驟，對合約中使用的工作量部分進行加密：

1. 根據工作量需求建立 docker-compose.yaml 檔案。 例如，

   services:
     redisnode01:
       image: s390x/redis@sha256:db467ab5c53bdeef65762a7534e26fecb94a0f218bd38afd2eaba1a670c472b1
       ports:
         - "6379:6379"
   

   如需相關資訊，請參閱 Docker Compose概觀。

2. 建立合約的 工作量區段，並在 workload.yaml 檔案中新增內容。

   以下是 ​workload.yaml 的範例：

   type: workload
   auths:
     us.icr.io:
      password: ${API_KEY}
      username: iamapikey
   compose:
    archive: ${COMPOSE_VALUE}
   volumes:
    test0:
      mount: "/mnt/data"
      seed: "workload_seed12"
      filesystem: "ext4"
    env:
      key: "value"
   

3. 匯出 workload.yaml 檔及 ibm-hyper-protect-container-runtime-1-0-s390x-29-encrypt.crt 的完整路徑:

   WORKLOAD="<PATH to workload.yaml>"
   CONTRACT_KEY="<PATH to ibm-hyper-protect-container-runtime-1-0-s390x-29-encrypt.crt>"
   

4. 請使用以下指令來建立一個隨機密碼。 合約透過對稱 AES 加密，並隨機設定密碼。

   PASSWORD="$(openssl rand 32 | base64 -w0)"
   

5. 從 OpenSSL 3.0 開始，OpenSSL rsautl 子指令將被廢棄，由 pkeyutl 子指令取代。 使用下列其中一個指令，以 ibm-hyper-protect-container-runtime-1-0-s390x-29-encrypt.crt 加密密碼：

   • 使用 rsautl (已棄用)：

      ENCRYPTED_PASSWORD="$(echo -n "$PASSWORD" | base64 -d | openssl rsautl -encrypt -inkey $CONTRACT_KEY -certin | base64 -w0)"
   

   • 使用 pkeyutl （建議）：

     ENCRYPTED_PASSWORD="$(echo -n "$PASSWORD" | base64 -d | openssl pkeyutl -encrypt -inkey $CONTRACT_KEY -certin -pkeyopt rsa_padding_mode:pkcs1 | base64 -w0)"
     

6. 使用下列指令，以隨機密碼來加密 workload.yaml 檔案:

   ENCRYPTED_WORKLOAD="$(echo -n "$PASSWORD" | base64 -d | openssl enc -aes-256-cbc -pbkdf2 -pass stdin -in "$WORKLOAD" | base64 -w0)"
   

7. 使用下列指令來取得合約的已加密區段:

   echo "hyper-protect-basic.${ENCRYPTED_PASSWORD}.${ENCRYPTED_WORKLOAD}"
   

8. 取得步驟 7 的輸出，並將它新增至 user-data.yaml 檔案。

   workload: hyper-protect-basic.js7TGt77EQ5bgTIKk5C0pViFTRHqWtn..............
   

   字首 hyper-protect-basic 是必要的。

建立合約的已加密 env 區段

在 Ubuntu 系統上完成下列步驟，以加密合約中使用的 env 部分：

1. 建立合約的 env 區段，並在 env.yaml 檔案中新增內容。

   以下是 env.yaml 的範例：

   type: env
     logging:
     syslog:
       hostname: ${RSYSLOG_SERVER_IP}
       port: 6514
       server: "${RSYSLOG_SERVER_ROOT_CA}"
       cert: "${RSYSLOG_CLIENT_CA}"
       key: "${RSYSLOG_CLIENT_KEY}"
     volumes:
       test0:
         seed: "stsolutiontest1"
   

2. 匯出 env.yaml 檔及 ibm-hyper-protect-container-runtime-1-0-s390x-29-encrypt.crt 的完整路徑:

   ENV="<PATH to env.yaml>"
   CONTRACT_KEY="<PATH to ibm-hyper-protect-container-runtime-1-0-s390x-29-encrypt.crt>"
   

3. 請使用以下指令來建立一個隨機密碼：

   PASSWORD="$(openssl rand 32 | base64 -w0)"
   

4. 從 OpenSSL 3.0 開始，OpenSSL rsautl 子指令將被廢棄，由 pkeyutl 子指令取代。 使用下列其中一個指令，以 ibm-hyper-protect-container-runtime-1-0-s390x-29-encrypt.crt 加密密碼：

   • rsautl (已棄用)：

      ENCRYPTED_PASSWORD="$(echo -n "$PASSWORD" | base64 -d | openssl rsautl -encrypt -inkey $CONTRACT_KEY -certin | base64 -w0)"
   

   • pkeyutl (建議）：

     ENCRYPTED_PASSWORD="$(echo -n "$PASSWORD" | base64 -d | openssl pkeyutl -encrypt -inkey $CONTRACT_KEY -certin -pkeyopt rsa_padding_mode:pkcs1 | base64 -w0)"
     

5. 使用下列指令，以隨機密碼來加密 env.yaml:

   ENCRYPTED_ENV="$(echo -n "$PASSWORD" | base64 -d | openssl enc -aes-256-cbc -pbkdf2 -pass stdin -in "$ENV" | base64 -w0)"
   

6. 使用下列指令來取得合約的已加密區段:

   echo "hyper-protect-basic.${ENCRYPTED_PASSWORD}.${ENCRYPTED_ENV}"
   

7. 若要加密工作量區段，請參閱 建立合約的已加密 workload 區段。

8. 取得步驟 6 的輸出，並將它新增至 user-data.yaml 檔案。

   env: hyper-protect-basic.VWg/5/SWE+9jLfhr8q4i.........
   

加密與認證憑證到期警告記錄

HPVS 會將警告訊息記錄至已設定的記錄服務，內容涉及即將到期和已過期的加密與驗證憑證。

以下是通知時間表：

• 到期前 30 天：每 24 小時產生一次警告訊息，通知證書將在一個月後到期。

  範例：

  HPL12011W: The Encryption certificate is going to expire -> Warning: The encryption certificate will expire on 12 February 2026 at 16:17:41 UTC, over 20 days. Upgrade to the latest image to unlock the latest features and avoid potential security vulnerabilities!!!
  

• 到期前 7 天：當到期日臨近時，每 12 小時會記錄警告訊息，強調需要採取行動。

  範例：

  HPL12011W: The Encryption certificate is going to expire -> Warning: The encryption certificate will expire on 27 January 2026 at 16:17:41 UTC, over 4 days. Upgrade to the latest image to unlock the latest features and avoid potential security vulnerabilities!!!
  

• 證書到期後:如果證書已過期，HPVS 會記錄警告訊息 每 4 小時，直到 HPVS 映像升級為止。

  範例：

  HPL12013W: The Encryption certificate expired -> Urgent: The encryption certificate expired on 15 June 2025 at 17:15:59 UTC, over 7 months. Immediate upgrade to the latest image is required to unlock the latest features and prevent serious security breaches.
  

1. 取得記載實例的詳細資料

您可以使用 IBM Log Analysis 或一般 syslog 後端來配置記載。 此範例使用 IBM Log Analysis。 您可以選擇不同的計劃。 若要瞭解如何取得所需的詳細資訊，例如主機名稱和擷取金鑰，請參閱 Hyper Protect Virtual Servers for VPC 的記錄。

2. 建立 env 區段

如果您使用的是純文字合約，請確保不要錯過管道符號 '|'。 如果您計劃加密區段，則不需要此項目。

env: |
  type: env
  logging:
    logRouter:
      hostname: 34be57c7-6ff2-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
      iamApiKey: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
      port: 443

3. 準備 docker-compose 檔案

假設您具有記載詳細資料，請尋找簡式 Docker Compose 檔案。 以下範例有一個公開的 NGINX 容器。 使用範例建立 docker-compose.yaml。

services:
  nginx:
    image: docker.io/library/nginx@sha256:b1306efee704017b0e02efadc011d374063a4e9c47b86bdc57744fc3f0666383
    ports:
    - 80:80
    - 443:443

4. 取得 Docker-compose 檔案的 base64-encoded 版本

tar -czvf compose.tgz docker-compose.yaml

base64 -i compose.tgz > compose.b64

5. 使用它來建立編寫區段

  compose:
    archive: H4sIADXNg2IAA+3W326CMBQGcK59it555XbanraMq70KlOLIJhjqzPb2q6g3S9xiIi7T75eQlj+hDYcP6vvVuo/hMZsQJc6YsU2+t2NfsmKyyhHLjKRUSmbCTDmpo/e4KQchsqHvNz9d99v5f8of6l/3/jUMi8Puw+fq7XJj7ApsmU/WX2m7r7/j9Abs6s/W2kzQ5aZw2p3XfxuG2PZdIeZ6Poth2LY+xGImRLdsu49dR4h2VS5DsT/yHF9KZWxRSU02NCGkxJJ0FQVSoSlrn8Jba5eyrEsOT55dlduq9sY55sbrhlJpda7HG6/7YRP3YyxETkVOhz6zLtI2++unc/tO5b+84AfgrPyn4JM0pDXyfw3I/32bMvdH5+SfOK0TpdZWIv/XgPzftynX/Udn/f/NmH+l8P+/CuQfAAAAAAAAAAAAAOD2fAEPQbuiACgAAA==

6. 移入工作量區段

如果您使用的是純文字合約，請確保不要錯過管道符號 (|)。

workload: |
  type: workload
  compose:
    archive: H4sIADXNg2IAA+3W326CMBQGcK59it555XbanraMq70KlOLIJhjqzPb2q6g3S9xiIi7T75eQlj+hDYcP6vvVuo/hMZsQJc6YsU2+t2NfsmKyyhHLjKRUSmbCTDmpo/e4KQchsqHvNz9d99v5f8of6l/3/jUMi8Puw+fq7XJj7ApsmU/WX2m7r7/j9Abs6s/W2kzQ5aZw2p3XfxuG2PZdIeZ6Poth2LY+xGImRLdsu49dR4h2VS5DsT/yHF9KZWxRSU02NCGkxJJ0FQVSoSlrn8Jba5eyrEsOT55dlduq9sY55sbrhlJpda7HG6/7YRP3YyxETkVOhz6zLtI2++unc/tO5b+84AfgrPyn4JM0pDXyfw3I/32bMvdH5+SfOK0TpdZWIv/XgPzftynX/Udn/f/NmH+l8P+/CuQfAAAAAAAAAAAAAOD2fAEPQbuiACgAAA==

7. 您的簡易合約已備妥

env: |
  type: env
  logging:
    logRouter:
      hostname: 34be57c7-6ff2-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
      iamApiKey: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
      port: 443
workload: |
  type: workload
  compose:
    archive: H4sIADXNg2IAA+3W326CMBQGcK59it555XbanraMq70KlOLIJhjqzPb2q6g3S9xiIi7T75eQlj+hDYcP6vvVuo/hMZsQJc6YsU2+t2NfsmKyyhHLjKRUSmbCTDmpo/e4KQchsqHvNz9d99v5f8of6l/3/jUMi8Puw+fq7XJj7ApsmU/WX2m7r7/j9Abs6s/W2kzQ5aZw2p3XfxuG2PZdIeZ6Poth2LY+xGImRLdsu49dR4h2VS5DsT/yHF9KZWxRSU02NCGkxJJ0FQVSoSlrn8Jba5eyrEsOT55dlduq9sY55sbrhlJpda7HG6/7YRP3YyxETkVOhz6zLtI2++unc/tO5b+84AfgrPyn4JM0pDXyfw3I/32bMvdH5+SfOK0TpdZWIv/XgPzftynX/Udn/f/NmH+l8P+/CuQfAAAAAAAAAAAAAOD2fAEPQbuiACgAAA==