Etapas

1. Forneça uma instância do Hyper Protect Crypto Services e crie uma chave raiz. Para obter mais informações, consulte Criando chaves raiz..

   Para aumentar a segurança, recomenda-se usar terminais privados virtuais com o Hyper Protect Crypto Services.

2. Ao preparar o contrato, adicione kms detalhes na seção env``volumes- e, em seguida, use o contrato para criar uma Hyper Protect Virtual Servers e para a instância VPC. Consulte o seguinte exemplo:

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

Para evitar o mau uso dos detalhes do KMS por um invasor, é altamente recomendado que o implementador (que fornece a seção env ) criptografe e assine o contrato. Para obter mais informações sobre criptografia, consulte Criptografia do contrato. Para a assinatura, inclua uma chave de assinatura pública (campo signingKey ) em sua seção env e assine o contrato inteiro incluindo uma seção envWorkloadSignature no contrato. O objetivo da assinatura é garantir que as seções workload``env e sejam sempre utilizadas em conjunto e não sejam adulteradas por terceiros. Para obter mais informações, consulte Assinatura do contrato..

• kms

  No campo kms, sempre coloque a configuração do KMS que você deseja usar como a primeira entrada As entradas a seguir são configurações mais antigas do KMS (usadas para decriptografar o valor inicial agrupado antes da migração para a configuração atual). Um máximo de cinco entradas é suportado Para obter mais informações sobre como alterar as configurações do KMS, consulte Alteração para uma instância ou chave raiz diferente do Serviço de Chaves do Microsoft(Hyper Protect Crypto Services).

  Se os detalhes kms do contrato não forem válidos, a instância será encerrada imediatamente.

• kmsTimeout

  É possível especificar kmsTimeout (entre 0 e 1000 minutos) no contrato Se não especificado, o valor de tempo limite padrão será 10 minutos. Este valor determina por quanto tempo a instância tenta descompactar a semente durante a inicialização ou reinicialização inicial. Quando esse tempo limite é decorrido, as mensagens são registradas e a instância é encerrada

• type

  Use esse campo para especificar as instâncias como "privadas" quando estiverem em uma rede privada e "públicas" quando estiverem na rede pública. Esta entrada é usada para dar suporte à mudança para uma instância diferente do Hyper Protect Crypto Services ou CRK.

Se o seu volume for novo, a instância cria duas partições no volume de dados, chama Hyper Protect Crypto Services para gerar uma terceira semente e envolvê-la com o CRK. O valor inicial agrupado é armazenado na partição de metadados. Em seguida, a instância gera uma senha LUKS com a semente (desembrulhada primeiro) e as duas sementes do contrato para criptografar a segunda partição.

Também é possível optar por manualmente criar duas partições em um volume, criar um valor aleatório como o terceiro valor inicial, agrupá-lo e armazená-lo na partição de metadados:

1. Crie duas partições no dispositivo de bloco usando o utilitário do Linux parted.

   • A primeira partição é identificada como metadata e tem comprimento 100 MiB. A partição de metadados é reservada apenas para metadados internos e não deve ser acessada por uma carga de trabalho. Crie um sistema de arquivos ( ext4 ) e crie um arquivo com o nome keyfile.
   • a segunda partição é rotulada como data e preenche todo o espaço em disco.

2. Use a API KMS do Hyper Protect Crypto Services Envolva uma chave para gerar um texto simples aleatório que esteja enraizado em um HSM e envolva-o sem passar o valor.

3. Copie o texto cifrado do objeto de resposta para o arquivo de chave.

4. Prepare o contrato com as informações do KMS e crie uma instância do tipo “ Hyper Protect Virtual Servers ” para VPC com o volume particionado manualmente que contém uma semente encapsulada.

Quando a instância está em execução, o daemon principal entra em contato periodicamente com a instância Hyper Protect Crypto Services. O mesmo tempo limite kmsTimeout aplica-se. Se a instância Hyper Protect Crypto Services não puder ser acessada, o estado do CRK não for Active ou os parâmetros de acesso (kms detalhes) não corresponderem mais, o daemon acionará uma reinicialização.

Verifique os registros em Log Analysis se sua instância for desligada.

Girando a chave raiz

Se o CRK for girado manualmente ou automaticamente com base em uma política de rotação de chaves, o daemon de chaves detectará a rotação de chaves e reagrupará o valor inicial

Mudança para uma instância diferente do Hyper Protect Crypto Services ou chave raiz

Se você deseja usar uma instância diferente do Hyper Protect Crypto Services ou um ID de chave raiz diferente, coloque a nova configuração do KMS como a primeira entrada no contrato e recrie a instância do Hyper Protect Virtual Servers. Mantenha a configuração KMS antiga (que está sendo usada atualmente) no contrato. Durante a instanciação, o Hyper Protect Virtual Servers para VPC desempacota a semente criptografada com a configuração antiga e usa a nova configuração para reempacotar a semente. Um máximo de cinco entradas é suportado no contrato

Depois que a mudança for concluída, as entradas antigas poderão ser removidas da próxima interação

Desativando a chave raiz

Se desativar a chave raiz, o estado da chave se tornará Suspenso. O daemon principal do Hyper Protect Virtual Servers para VPC verifica periodicamente o estado do CRK. Se o estado não estiver ativo, o servidor virtual será reiniciado. Durante a reinicialização, o Key Daemon continua verificando o estado por meio de sondagem e, quando o tempo necessário excede kmsTimeout, o servidor virtual é desligado. É necessário ativar a chave raiz para trazer a chave de volta para Active.

Certifique-se de que a sua CRK não esteja expirada Caso contrário, seu estado passa a ser Desativado, e o servidor virtual é reiniciado e, eventualmente, desligado. Para obter mais informações sobre as chaves de estado, consulte “Monitoramento do ciclo de vida das chaves de criptografia ”.