Schritte

1. Stellen Sie eine Hyper Protect Crypto Services-Instanz bereit und erstellen Sie einen Rootschlüssel. Weitere Informationen finden Sie unter Rootschlüssel erstellen.

   Zur Verbesserung der Sicherheit wird empfohlen, virtuelle private Endpunkte mit Hyper Protect Crypto Serviceszu verwenden.

2. Wenn Sie den Vertrag vorbereiten, fügen Sie kms Details im Abschnitt env- volumes hinzu und verwenden Sie dann den Vertrag, um eine Hyper Protect Virtual Server for VPC-Instanz zu erstellen. Beispiel:

   env: |
     logging:
       logDNA:
         hostname: syslog-a.eu-gb.logging.cloud.ibm.com
         ingestionKey: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
         port: 6514
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"seed1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "seed2"
         filesystem: "ext4"
   

Um Missbrauch der KMS-Details durch einen Angreifer zu vermeiden, wird dem Bereitsteller (der den Abschnitt env bereitstellt) dringend empfohlen, den Vertrag zu verschlüsseln und zu unterzeichnen. Weitere Informationen zur Verschlüsselung finden Sie unter Vertragsverschlüsselung. Fügen Sie für die Signatur einen öffentlichen Signierschlüssel (Feld signingKey ) zu Ihrem Abschnitt env hinzu und signieren Sie den gesamten Vertrag, indem Sie einen Abschnitt envWorkloadSignature zum Vertrag hinzufügen. Die Signatur soll sicherstellen, dass die Abschnitte workload und env immer zusammen verwendet werden und nicht von einem Dritten manipuliert werden. Weitere Informationen finden Sie unter Vertragssignatur.

• kms

  Fügen Sie im Feld kms immer die KMS-Konfiguration ein, die Sie als ersten Eintrag verwenden wollen. Bei den folgenden Einträgen handelt es sich um ältere KMS-Konfigurationen (zur Entschlüsselung des eingeschlossenen Seedwerts vor der Migration auf die aktuelle Konfiguration). Es werden maximal fünf Einträge unterstützt. Weitere Informationen zum Ändern von KMS-Konfigurationen enthält der Abschnitt Zu einer anderen Hyper Protect Crypto Service-Instanz oder einem anderen Rootschlüssel wechseln.

  Wenn die kms-Details des Vertrags nicht gültig sind, wird die Instanz sofort beendet.

• kmsTimeout

  Sie können kmsTimeout (zwischen 0 und 1000 Minuten) im Vertrag angeben. Erfolgt keine Angabe, beträgt der Standardwert für das Zeitlimit 10 Minuten. Dieser Wert legt fest, wie lange die Instanz versucht, das Wrapping des Seeds während des ersten Bootens oder Warmstarts aufzuheben. Nach Ablauf dieses Zeitlimits werden Nachrichten protokolliert und die Instanz wird beendet.

• type

  In diesem Feld geben Sie die Instanzen als "privat" an, wenn sie sich in einem privaten Netz befinden, und als "öffentlich", wenn sie sich im öffentlichen Netz befinden. Dies wird verwendet, um den Wechsel zu einer anderen Hyper Protect Crypto Services-Instanz oder CRK zu unterstützen.

Wenn Ihr Datenträger neu ist, erstellt die Instanz zwei Partitionen auf dem Datenträger für Daten und ruft Hyper Protect Crypto Services auf, um einen dritten Seed zu generieren und mit dem CRK einzuschließen. Der eingeschlossene Seedwert wird in der Metadatenpartition gespeichert. Anschließend generiert die Instanz eine LUKS-Kennphrase mit dem Seed (nicht eingeschlossen zuerst) und den beiden Seeds aus dem Vertrag, um die zweite Partition zu verschlüsseln.

Sie können auch manuell zwei Partitionen in einem Datenträger erstellen, einen Zufallswert als dritten Seedwert erstellen, ihn einschließen und in der Metadatenpartition speichern:

1. Erstellen Sie mit dem Linux-Befehl parted zwei Partitionen auf der Blockeinheit.

   • Die 1st Partition hat die Bezeichnung metadata und hat eine Länge von 100 MiB (beachten Sie, dass die Metadatenpartition nur für interne Metadaten reserviert ist und nicht für den Zugriff durch eine Workload). Erstellen Sie ein Dateisystem (ext4), bevor Sie die Partition verwenden. Erstellen Sie eine Datei mit dem Namen keyfile.
   • Die 2nd Partition wird als data bezeichnet und füllt den gesamten Plattenspeicherplatz aus.

2. Verwenden Sie die Hyper Protect Crypto Services KMS-API Wrap a key, um einen zufälligen einfachen Text zu generieren, der in einem HSM verwurzelt ist, und ihn einzuschließen, ohne den Wert zu übergeben.

3. Kopieren Sie den vom Antwortobjekt zurückgegebenen verschlüsselten Text mit Linux-Befehlen in die Schlüsseldatei.

4. Bereiten Sie den Vertrag mit den KMS-Informationen vor und erstellen Sie eine Hyper Protect Virtual Server mit dem manuell partitionierten Datenträger, der einen eingeschlossenen Seedwert enthält.

Wenn die Instanz ausgeführt wird, stellt der Schlüsseldämon regelmäßig eine Verbindung zur Hyper Protect Crypto Services-Instanz her. Dasselbe Zeitlimit kmsTimeout gilt. Wenn die Hyper Protect Crypto Services-Instanz nicht erreicht werden kann, der CRK-Status nicht Active ist oder die Zugriffsparameter (kms-Details) nicht mehr übereinstimmen, löst der Dämon einen Warmstart aus.

Überprüfen Sie die Protokolle in Log Analysis, wenn Ihre Instanz beendet wird.

Rootschlüssel rotieren

Wenn der CRK manuell oder automatisch basierend auf einer Schlüsselrotationsrichtlinie rotiert wird, erkennt der Schlüsseldämon die Schlüsselrotation und führt ein erneutes Wrapping des Seeds durch.

Zu einer anderen Hyper Protect Crypto Service-Instanz oder einem anderen Rootschlüssel wechseln

Wenn Sie eine andere Hyper Protect Crypto Service-Instanz oder eine andere Rootschlüssel-ID verwenden wollen, stellen Sie die neue KMS-Konfiguration als ersten Eintrag in den Vertrag und erstellen Sie eine Hyper Protect Virtual Server erneut. Behalten Sie die alte KMS-Konfiguration (die derzeit verwendet wird) im Vertrag bei. Während der Instanziierung hebt Hyper Protect Virtual Server for VPC das Wrapping des verschlüsselten Seedwerts mit der alten Konfiguration auf und verwendet die neue Konfiguration, um den Seedwert erneut einzuschließen. Im Vertrag werden maximal fünf Einträge unterstützt.

Nach der Änderung können die alten Einträge aus der nächsten Interaktion entfernt werden.

Rootschlüssel inaktivieren

Wenn Sie den Rootschlüssel inaktivieren, lautet der Status des Schlüssels Ausgesetzt. Der Schlüsseldämon von Hyper Protect Virtual Servers for VPC überprüft regelmäßig den Status des CRK. Wenn der Status nicht Aktiv ist, wird der virtuelle Server neu gestartet. Während des Warmstarts überprüft der Schlüsseldämon den Status durch Abfragen. Wenn die Zeit, die er benötigt, kmsTimeout überschreitet, wird der virtuelle Server heruntergefahren. Sie müssen den Rootschlüssel aktivieren, um den Schlüssel wieder in Aktiv zu versetzen.

Stellen Sie sicher, dass Ihr CRK nicht abgelaufen ist. Andernfalls wird der Status in Inaktiviert geändert und der virtuelle Server wird neu gestartet und schließlich heruntergefahren. Weitere Informationen über Schlüsselzustände finden Sie unter Überwachung des Lebenszyklus von Verschlüsselungsschlüsseln.