步驟

1. 提供一個 Hyper Protect Crypto Services 實例並建立根金鑰。 如需相關資訊，請參閱 建立根金鑰。

   為提升安全性，建議使用具備 Hyper Protect Crypto Services 功能的 虛擬私有端點。

2. 當您 準備合約 時，請在 - env 區段中添加 kms 詳細資訊 volumes，然後使用該合約為 VPC 執行個體 建立 Hyper Protect Virtual Servers。 請參閱下列範例：

   env: |
     logging:
       logRouter:
         hostname: 34be57c7-6ff2-4685-8839-903921e90ab9.ingress.jp-tok.logs.cloud.ibm.com
         iamApiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
     volumes:
       test:
         kms:
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
             type: "public"
           - apiKey: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"
             crn: "crn:v1:bluemix:public:hs-crypto:us-south:a/xxxxxxxxxxxxx:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx:key:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx"
             type: "private"
         seed:"workload_phrase1"
         kmsTimeout: 10
         apiKey: "L4SsSE32xxxxxjAgfHCVkdW8xl_CiqMn4Lpc1dzTD"
     signingKey: "xxxxxxxxx"
   workload: |
     volumes:
       test:
         mount: "/mnt/data"
         seed: "workload_phrase2"
         filesystem: "ext4"
   

為了避免攻擊者誤用 KMS 詳細資料，強烈建議部署人員 (提供 env 區段) 加密 並 簽署 合約。 如需加密的相關資訊，請參閱 合約加密。 對於簽章，將公開簽署金鑰 (signingKey 欄位) 新增至 env 區段，並透過將 envWorkloadSignature 區段新增至合約來簽署整個合約。 簽署的目的在於確保 和 env workload 部分始終共同使用，且不會被第三方竄改。 如需相關資訊，請參閱 合約簽章。

• kms

  在 kms 欄位中，一律放置您要用作第一個項目的 KMS 配置。 接下來的項目是較舊的 KMS 配置 (用來在移轉至現行配置之前解密包裝的種子)。 最多支援五個項目。 有關變更 KMS 設定的詳細資訊，請參閱 《 變更至不同的 Windows 遠端管理伺服器(Hyper Protect Crypto Services)執行個體或根金鑰 》。

  如果合約中的 kms 詳細資料無效，則實例會立即關閉。

• kmsTimeout

  您可以在合約中指定 kmsTimeout (介於 0-1000 分鐘之間)。 如果未指定，則預設逾時值為 10 分鐘。 此值決定在初始啟動或重新啟動期間，實例嘗試解封種子所耗費的時間長度。 過了此逾時之後，會記載訊息並關閉實例。

• type

  您可以使用此欄位，將實例在專用網路中指定為「專用」，並將實例在公用網路中指定為「公用」。 此項目用於支援切換至不同的 Hyper Protect Crypto Services 實例或CRK。

若您的卷宗為新建立，實例會在資料卷宗中建立兩個分割區，並呼叫 Hyper Protect Crypto Services 產生第三個種子，再以 CRK 進行封裝。 包裝的種子儲存在 meta 資料分割區中。 接著，該實例會使用種子（先進行解包處理）以及合約中的兩個種子，生成一個 LUKS 通過密碼來加密第二個分割區。

您也可以選擇 手動 在磁區中建立兩個分割區，建立隨機值作為第三個種子，包裝它，並將它儲存在 meta 資料分割區中:

1. 使用 Linux 工具在區塊裝置上建立 parted 兩個分割區。

   • 第一個區段標記為 metadata，長度為 100 位元組，其位元組序列為：MiB。 元資料分區僅保留供內部元資料使用，工作負載不得存取。 建立一個檔案系統（ ext4 ），並建立名為 keyfile 的檔案。
   • 第 2 個磁碟分割標示為 data，並填滿整個磁碟空間。

2. 使用 Hyper Protect Crypto Services KMS API 進行密鑰封裝，以生成基於硬體安全模組（HSM）的隨機明文，並在不傳遞原始值的情況下完成封裝。

3. 將回應物件中的密文複製至密鑰檔案。

4. 準備包含KMS資訊的合約，並為VPC實例建立 Hyper Protect Virtual Servers，該實例需配備手動分割的磁碟區，且該磁碟區內含封裝的種子。

當執行個體運行時，關鍵守護程序會定期與 Hyper Protect Crypto Services 執行個體建立聯繫。 套用相同的逾時 kmsTimeout。 若無法連上 Hyper Protect Crypto Services 實例、CRK 狀態異常 Active，或存取參數（kms 詳細資訊）不再匹配，該守護程序將觸發重新啟動。

若您的實例關閉，請檢查 Log Analysis 中的記錄。

輪替根金鑰

如果 CRK 手動 或根據 金鑰輪替原則 自動輪替，則金鑰常駐程式會偵測金鑰輪替並重新包裝種子。

切換至不同的 Hyper Protect Crypto Services 實例或根金鑰

若需使用不同的 Hyper Protect Crypto Services 實例或根金鑰ID，請將新的KMS設定置於合約的首項條目中，並重新建立 Hyper Protect Virtual Servers 實例。 請在合約中保留舊的 KMS 設定（即目前使用的設定）。 在實例化過程中，VPC 的 Hyper Protect Virtual Servers 會使用舊配置解封裝加密種子，並採用新配置重新封裝該種子。 合約中最多支援五個項目。

完成變更之後，可以從下一個互動中移除舊項目。

停用根金鑰

如果您 停用根金鑰，金鑰的狀態會變成 已暫停。 Hyper Protect Virtual Servers 的VPC關鍵守護程序會定期檢查CRK的狀態。 若狀態非為「Active」，虛擬伺服器將重新啟動。 在重新啟動期間，關鍵守護程序會持續透過輪詢檢查狀態，當所需時間超過 kmsTimeout 時，虛擬伺服器便會關閉。 您需要 啟用根金鑰，才能將金鑰帶回 作用中。

請確定您的 CRK 未過期。 否則，其狀態將轉為停用，虛擬伺服器會重新啟動並最終關閉。 如需金鑰狀態的相關資訊，請參閱 監視加密金鑰的生命週期。