步骤

1. 供应 Hyper Protect Crypto Services 实例并创建根密钥。 有关更多信息，请参阅 创建根密钥。

   为了增强安全性，建议将 虚拟专用端点 与 Hyper Protect Crypto Services配合使用。

2. 准备 合同 时，请在 env- volumes 部分中添加 kms 详细信息，然后使用该合同为 VPC 实例 创建 Hyper Protect Virtual Server。 例如：

   env: |
     logging:
       logDNA:
         hostname: syslog-a.eu-gb.logging.cloud.ibm.com
         ingestionKey: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
         port: 6514
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"seed1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "seed2"
         filesystem: "ext4"
   

为了避免攻击者滥用 KMS 详细信息，强烈建议部署者 (提供 env 部分) 加密 并 签署 合同。 有关加密的更多信息，请参阅 合同加密。 对于签名，请向 env 部分添加公用签名密钥 (signingKey 字段)，并通过向合同添加 envWorkloadSignature 部分来签署整个合同。 签名的目的是确保 workload 和 env 部分始终一起使用，并且不会被第三方篡改。 有关更多信息，请参阅 合同签名。

• kms

  在 kms 字段中，始终放置要用作第一个条目的 KMS 配置。 以下条目是较旧的 KMS 配置 (用于在迁移到当前配置之前对包装种子进行解密)。 最多支持 5 个条目。 有关更改 KMS 配置的更多信息，请参阅 更改为不同的 Hyper Protect Crypto Service 实例或根密钥。

  如果合同中的 kms 详细信息无效，那么实例将立即关闭。

• kmsTimeout

  您可以在合同中指定 kmsTimeout (介于 0-1000 分钟之间)。 如果未指定，那么缺省超时值为 10 分钟。 此值确定实例在初始引导或重新引导期间尝试解包种子的时间长度。 当此超时到期时，将记录消息并关闭实例。

• type

  使用此字段将实例指定为“专用”(当它在专用网络中时) 和“公用”(当它在公用网络中时)。 这用于支持切换到其他 Hyper Protect Crypto Services 实例或 CRK。

如果卷是新卷，那么实例会在数据卷中创建两个分区，调用 Hyper Protect Crypto Services 以生成第三个种子，并使用 CRK 将其打包。 包装的种子将存储在元数据分区中。 然后，该实例会生成 LUKS 口令，其中包含种子 (先解包) 和合同中的两个种子，以加密第二个分区。

您还可以选择 手动 在卷中创建两个分区，创建随机值作为第三个种子，将其打包，并将其存储在元数据分区中:

1. 使用 linux 命令 parted 在块设备上创建两个分区。

   • 1st 分区标记为 metadata，长度为 100 MiB (请注意，元数据分区仅保留供内部元数据使用，不 供工作负载访问)。 在使用分区之前创建文件系统 (ext4)。 使用名称 keyfile 创建文件。
   • 2nd 分区被标记为 data，并填充了完整的磁盘空间。

2. 使用 Hyper Protect Crypto Services KMS API Wrap a key 来生成根植于 HSM 的随机纯文本，并在不传递值的情况下将其打包。

3. 使用 linux 命令将从响应对象返回的密文复制到 keyfile。

4. 使用 KMS 信息准备合同，并使用包含打包种子的手动分区卷创建 Hyper Protect Virtual Server 实例。

当实例正在运行时，密钥守护程序会定期联系 Hyper Protect Crypto Services 实例。 相同的超时 kmsTimeout 适用。 如果无法访问 Hyper Protect Crypto Services 实例，CRK 的状态不是 Active，或者访问参数 (kms 详细信息) 不再匹配，那么守护程序将触发重新引导。

如果实例关闭，请在 " Log Analysis " 中检查日志。

旋转根密钥

如果 手动 或根据 密钥轮换策略 自动轮换 CRK，那么密钥守护程序将检测密钥轮换并重新包装种子。

更改为其他 Hyper Protect Crypto Service 实例或根密钥

如果要使用其他 Hyper Protect Crypto Service 实例或其他根密钥标识，请将新的 KMS 配置作为合同中的第一个条目，然后重新创建 Hyper Protect Virtual Server 实例。 将旧的 KMS 配置 (当前正在使用) 保留在合同中。 在实例化期间，Hyper Protect Virtual Server for VPC 使用旧配置解包加密种子，并使用新配置来重新打包种子。 合同中最多支持 5 个条目。

完成更改后，可以从下一次交互中除去旧条目。

禁用根密钥

如果 禁用根密钥，那么密钥的状态将变为 已暂挂。 Hyper Protect Virtual Servers for VPC 的密钥守护程序定期检查 CRK 的状态。 如果状态不是 活动，那么虚拟服务器将重新引导。 在重新引导期间，密钥守护程序会继续通过轮询来检查状态，当所花费的时间超过 kmsTimeout 时，虚拟服务器会关闭。 您需要 启用根密钥 以将密钥恢复为 活动。

请确保您的 CRK 未到期。 否则，其状态将变为 已取消激活，并且虚拟服务器将重新引导并最终关闭。 有关密钥状态的更多信息，请参阅 监视加密密钥的生命周期。