Passi

1. Esegui il provisioning di un'istanza Hyper Protect Crypto Services e crea una chiave root. Per ulteriori informazioni, vedi Creazione di chiavi root.

   Per migliorare la sicurezza, si consiglia di utilizzare endpoint privati virtuali con Hyper Protect Crypto Services.

2. Quando prepari il contratto, aggiungi i dettagli di kms nella sezione env- volumes e quindi utilizza il contratto per creare un'istanza Hyper Protect Virtual Server for VPC. Ad esempio:

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"seed1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "seed2"
         filesystem: "ext4"
   

Per evitare un uso improprio dei dettagli KMS da parte di un aggressore, si consiglia vivamente al distributore (che fornisce la sezione env ) di crittografare e firmare il contratto. Per ulteriori informazioni sulla crittografia, vedi Crittografia del contratto. Per la firma, aggiungi una chiave di firma pubblica (campo signingKey ) alla tua sezione env e firma l'intero contratto aggiungendo una sezione envWorkloadSignature al contratto. Lo scopo della firma è garantire che le sezioni workload e env siano sempre utilizzate insieme e non siano manomesse da terzi. Per ulteriori informazioni, vedere Firma del contratto.

• kms

  Nel campo kms, inserire sempre la configurazione KMS che si desidera utilizzare come prima voce. Le voci che seguono sono vecchie configurazioni KMS (utilizzate per decodificare il seed sottoposto a wrap prima di migrare alla configurazione corrente). Sono supportate un massimo di cinque voci. Per ulteriori informazioni sulla modifica delle configurazioni KMS, vedi Passaggio a un'istanza Hyper Protect Crypto Service o a una chiave root diversa.

  Se i dettagli kms del contratto non sono validi, l'istanza viene chiusa immediatamente.

• kmsTimeout

  È possibile specificare kmsTimeout (tra 0 e 1000 minuti) nel contratto. Se non specificato, il valore di timeout predefinito è 10 minuti. Questo valore determina per quanto tempo l'istanza tenterà di spacchettare il seed durante l'avvio iniziale o il riavvio. Quando questo timeout scade, i messaggi vengono registrati e l'istanza viene chiusa.

• type

  Si utilizza questo campo per specificare le istanze come "private" quando si trova in una rete privata e "public" quando si trova nella rete pubblica. Viene utilizzato per supportare il passaggio a una diversa istanza di Hyper Protect Crypto Services o CRK.

Se il tuo volume è nuovo, l'istanza crea due partizioni nel volume di dati, richiama Hyper Protect Crypto Services per generare un terzo seed e impacchettarlo con il CRK. Il seed incluso viene memorizzato nella partizione dei metadati. Quindi l'istanza genera una passphrase LUKS con il seed (prima unwrapped) e i due seed dal contratto per crittografare la seconda partizione.

È anche possibile scegliere di creare manualmente due partizioni in un volume, creare un valore random come terzo seed, impacchettarlo e memorizzarlo nella partizione dei metadati:

1. Creare due partizioni sul dispositivo a blocchi utilizzando il comando linux parted.

   • la prima partizione è denominata metadata e ha una lunghezza di 100 MiB (si noti che la partizione dei metadati è riservata solo ai metadati interni e non è accessibile a un carico di lavoro). Creare un file system ( ext4 ) prima di utilizzare la partizione. Creare un file con il nome keyfile.
   • la seconda partizione è etichettata come data e riempie l'intero spazio del disco.

2. Utilizza l' Hyper Protect Crypto Services Wrap a key per generare un testo semplice casuale con root in un HSM e impacchettarlo senza passare il valore.

3. Copia il testo cifrato restituito dall'oggetto di risposta in keyfile con i comandi linux.

4. Prepara il contratto con le informazioni KMS e crea un'istanza Hyper Protect Virtual Server con il volume partizionato manualmente contenente un seed impacchettato.

Quando l'istanza è in esecuzione, il daemon chiave contatta periodicamente l'istanza Hyper Protect Crypto Services. Si applica lo stesso timeout kmsTimeout. Se l'istanza di Hyper Protect Crypto Services non può essere raggiunta, lo stato della CRK non è Active o i parametri di accesso (dettagli kms ) non corrispondono più, il daemon attiverà un riavvio.

Controlla i log in Log Analysis se la tua istanza si arresta.

Rotazione della chiave root

Se la CRK viene ruotata manualmente o automaticamente in base a una politica di rotazione delle chiave, il daemon delle chiavi rileva la rotazione delle chiavi e riesegue il wrapping del seed.

Passaggio a una chiave root o a un'istanza Hyper Protect Crypto Service differente

Se vuoi utilizzare un'istanza Hyper Protect Crypto Service diversa o un ID chiave root diverso, inserisci la nuova configurazione KMS come prima voce del contratto e crea nuovamente un'istanza Hyper Protect Virtual Server. Lasciare la vecchia configurazione KMS (attualmente utilizzata) nel contratto. Durante la creazione dell'istanza, Hyper Protect Virtual Server per VPC riavvolge il seed crittografato con la vecchia configurazione e utilizza la nuova configurazione per riavvolgere il seed. Nel contratto è supportato un massimo di cinque voci.

Una volta effettuata la modifica, le vecchie voci possono essere rimosse dall'interazione successiva.

Disabilitazione della chiave root

Se disabiliti la chiave root, lo stato della chiave diventa Sospeso. Il daemon chiave di Hyper Protect Virtual Servers per VPC controlla periodicamente lo stato della CRK. Se lo stato non è Attivo, il server virtuale viene riavviato. Durante il riavvio, il daemon di chiave continua a controllare lo stato eseguendo il polling e, quando il tempo impiegato supera kmsTimeout, il server virtuale viene arrestato. Devi abilitare la chiave root per riportare la chiave a Active.

Assicurarsi che il CRK non sia scaduto. Altrimenti, il suo stato diventa Disattivato e il server virtuale viene riavviato ed eventualmente arrestato. Per ulteriori informazioni sugli stati delle chiavi, vedi Monitoraggio del ciclo di vita delle chiavi di crittografia.