Schlüsselrotation für VPC-Ressourcen

Wechseln Sie die Root-Schlüssel der Kunden für Speichervolumes, Dateifreigaben und benutzerdefinierte Images, um die Sicherheit zu erhöhen. Durch die Schlüsselrotation wird das kryptografische Material ausgetauscht, wobei der Zugriff erhalten bleibt.

Die Hyper Protect Crypto Services sind veraltet. Kunden können bestehende Instanzen bis zum 20. März 2027 nutzen. Weitere Informationen finden Sie unter IBM Cloud Hyper Protect Crypto Services wird nicht mehr unterstützt. Um einen kontinuierlichen Schutz zu gewährleisten, sollten Sie erwägen, Ihre bestehenden Verschlüsselungsschlüssel auf eine dedizierte Key Protect-Instanz zu migrieren. Weitere Informationen finden Sie im Migrationsleitfaden.

Übersicht über die Schlüsselrotation

Vom Kunden verwaltete verschlüsselte Ressourcen wie Datenträger, Dateifreigaben und angepasste Images verwenden Ihren Rootschlüssel (CRK) als Root-of-Trust-Schlüssel. Die Funktion des Rootschlüssels besteht darin, eine LUKS-Kennphrase zu verschlüsseln, die einen Datenverschlüsselungsschlüssel (DEK) verschlüsselt, der die Ressource schützt. Sie können Ihren CRK in eine KMS-Instanz (Key Management Service) importieren oder den KMS für Sie generieren lassen. Unterstützte Schlüsselverwaltungsdienste sind Key Protect und Hyper Protect Crypto Services. Key Protect ist der bevorzugte Schlüsselverwaltungsdienst, der sowohl in der Standard- (mandantenfähig) als auch in der Dedicated- (mandantenfähig) Bereitstellungsoption verfügbar ist. Rootschlüssel werden in der KMS-Instanz turnusgemäß gewechselt.

Wenn Sie einen Rootschlüssel turnusmäßig wechseln, wird durch das Erstellen oder Importieren neuer Verschlüsselungsschlüsselinformationen eine neue Version des Schlüssels erstellt. Der alte Rootschlüssel wird zurückgezogen, d. h. sein Schlüsselmaterial bleibt für die Entschlüsselung vorhandener Ressourcen verfügbar, aber nicht für die Verschlüsselung neuer Ressourcen.

In jeder KMS-Instanz können mehrere Rootschlüssel für die Schlüsselrotation zur Verfügung stehen. Bei diesen Rootschlüsseln kann es sich um eine Kombination aus Schlüsseln handeln, die Sie in die Cloud importiert haben, oder die automatisch in der KMS-Instanz generiert wurden.

Sie können eine Rotationsrichtlinie einrichten, um die automatische Schlüsselrotation zu planen. Von der KMS-Instanz wird ein neuer Rootschlüssel im Rotationsintervall generiert und der Rootschlüssel wird automatisch durch die neuen Schlüsselinformationen ersetzt.

Für Rootschlüssel, die Sie in die KMS-Instanz importieren, weil Sie neue Schlüsselinformationen bereitstellen, die nicht im KMS enthalten sind, können Sie keine automatische Schlüsselrotation einrichten. Stattdessen müssen Sie Ihre Schlüssel manuell rotieren, indem Sie das neue kryptografische Schlüsselmaterial verwenden, das Sie importiert haben.

Funktionsweise der Schlüsselrotation

Die Schlüsselrotation besteht im Wesentlichen aus dem sicheren Austausch der Rootschlüsselinformationen, was die Zeitspanne verkürzt, in der die Rootschlüssel, mit denen Ihre Ressourcen geschützt werden, zur Verwendung autorisiert sind (Kryptoperiode). Neue Ressourcen werden mit den aktuellsten Root-Schlüsseln verschlüsselt.

Wenn Sie einen Root-Schlüssel rotieren, identifiziert der Dienst alle Ressourcen, die durch diesen Schlüssel geschützt sind, und verschlüsselt die Ressourcen automatisch neu. Bei diesem Verschlüsselungsprozess wird eine LUKS-Kennphrase eingeschlossen (verschlüsselt), die einen Datenverschlüsselungsschlüssel (DEK) schützt. Der vom System generierte DEK verschlüsselt die Daten auf der virtuellen Platte. Dieser Prozess wird Envelope-Verschlüsselung genannt, der einen eingeschlossenen DEK oder WDEK erstellt. Der Begriff WDEK bezieht sich nicht auf den Datenverschlüsselungsschlüssel, der die Daten auf der virtuellen Festplatte schützt. Stattdessen wird die LUKS-Kennphrase verschlüsselt.

Die neue Version des Rootschlüssels wird verwendet, um das Wrapping der neu umschlossenen LUKS-Kennphrase aufzuheben, wenn die Ressource das nächste Mal entschlüsselt wird. Sie wird beispielsweise verwendet, wenn Sie einen Datenträger beim Neustart einer Instanz entschlüsseln.

Der Service zieht die alte Rootschlüsselversion zurück, bleibt jedoch für die Entschlüsselung vorhandener Ressourcen verfügbar. Sie können die Schlüsselversionen auflisten, um zu sehen, wie oft der Schlüssel gewechselt wurde, und die aktuellste Version anzuzeigen. Ältere Versionen des Root-Schlüssels funktionieren weiterhin, bis sie ablaufen oder bis keine Ressourcen mehr zur Entschlüsselung verfügbar sind. Wenn Sie den Rootschlüssel manuell inaktivieren oder löschen oder die Instanz erneut starten, funktioniert der alte Schlüssel nicht mehr.

Nach dem turnusgemäßen Wechsel der Rootschlüssel wird die neue Rootschlüsselversion zur Verschlüsselung neuer Ressourcen verfügbar.

Weitere Informationen zum Schlüsselrotationsprozess finden Sie in den folgenden Abschnitten:

Vorteile der Schlüsselrotation

Die Rotation der Rootschlüssel bietet folgende Sicherheitsvorteile:

  • Sie können begrenzen, wie lange die Daten durch einen einzigen Rootschlüssel geschützt werden. Durch die Verkürzung der Zeit, in der Ihre Ressourcen mit einem bestimmten Rootschlüssel verschlüsselt werden, verringern Sie die Wahrscheinlichkeit eines Sicherheitsverstoßes.
  • Sie begrenzen die Anzahl der Ressourcen, die mit einer beliebigen Version des Rootschlüssels verschlüsselt werden, da Ressourcen, die nach der Schlüsselrotation erstellt werden, mit unterschiedlichen Schlüsselinformationen verschlüsselt werden.
  • Wenn Ihre Organisation eine Sicherheitsbedrohung erkennt, können Sie Ihre Schlüssel sofort wechseln, um Ihre Ressourcen zu schützen.
  • Durch die regelmäßige Änderung von Schlüsseln lassen sich die Kosten mindern, die mit einer Kompromittierung von Schlüsseln verbunden sind.

Optionen der Schlüsselrotation

Sie können Rootschlüssel in der KMS-Instanz durch das Festlegen einer Rotationsrichtlinie turnusmäßig wechseln oder die Schlüssel manuell wechseln. Bei Verwendung einer Rotationsrichtlinie werden die Schlüssel auf Basis eines Zeitplans turnusgemäß gewechselt; bei einer manuellen Rotation werden die Schlüssel bei Bedarf ausgetauscht.

Sie können Ihre importierten oder von KMS generierten Root-Schlüssel außerdem jederzeit manuell rotieren. Key Protect erlaubt eine Rotation pro Stunde für jeden Root-Schlüssel. Vom KMS wird der Schlüssel bei einer Anforderung sofort ersetzt. Verwenden Sie diese Option, wenn Sie einen neuen Rootschlüssel in die KMS-Instanz importieren und den Schlüssel sofort wechseln möchten.

Weitere Informationen zu diesen Optionen finden Sie unter Rotationsrichtlinien verwalten und Schlüssel manuell rotieren.

Metadaten von Rootschlüsseln

Wenn Sie Ihren Root-Schlüssel rotieren, behält der Schlüssel dieselben Metadaten und dieselbe Schlüssel-ID bei. Die Schlüsselrotation hat den verschlüsselten Rootschlüsseltext und die keyVersion-Daten geändert.