Ein kompatibles Produkt über das KMIP-Protokoll verbinden

So kommunizieren Sie über das KMIP-Protokoll mit dem OVHcloud KMS

Ziel

Ziel dieser Anleitung ist es, Ihnen die Verwendung des KMIP-Protokolls sowie die verschiedenen vom OVHcloud KMS unterstützten Operationen und Typen vorzustellen.

Voraussetzungen

Sie verfügen über einen OVHcloud Kunden-Account.
Sie haben ein OVHcloud KMS bestellt.
Sie haben für den KMIP-Zugriff ein Zugriffszertifikat erstellt und eine IAM-Richtlinie konfiguriert. KMIP unterstützt nur die zertifikatbasierte Authentifizierung — siehe OKMS-Authentifizierungsmethoden.

In der praktischen Anwendung

Beschreibung

KMIP (Key Management Interoperability Protocol) ist ein Protokoll, das die Kommunikation mit einem KMS standardisieren soll.

So können alle Produkte, die KMIP unterstützen (wie VMware vSphere, Veeam, Nutanix usw.), nativ mit einem KMIP-kompatiblen KMS wie dem OVHcloud KMS verbunden werden, unabhängig davon, ob sie von OVHcloud gehostet werden oder nicht.

Dies ermöglicht eine einfache Verbindung sowie eine reversible Konfiguration.

Verbindung eines KMIP-kompatiblen Produkts mit dem OVHcloud KMS

Die Konfiguration hängt vom zu integrierenden Produkt ab, erfordert auf dem OVHcloud KMS jedoch keine spezifische Konfiguration außer dem Erstellen eines Zugriffszertifikats und der Vergabe der erforderlichen KMIP-IAM-Rechte. KMIP unterstützt keine Authentifizierung über PAT oder Service-Account. Softwarehersteller bieten für diesen Zweck in der Regel dedizierte Anleitungen an.

Als Beispiel wurden die folgenden Produkte mit dem OVHcloud KMS validiert:

Nutanix
VMware
MongoDB
OpenBao
Barbican - für die On-Premise-Nutzung
NetApp - für die On-Premise-Nutzung

Direkte Nutzung

Es ist auch möglich, die KMIP-API direkt zu verwenden.

Die Authentifizierung bei diesem Protokoll erfolgt mit einem Client-Zertifikat, ebenso wie bei der REST-API. Dazu muss ein TLS-Kanal mit einem gültigen Zugriffszertifikat geöffnet werden.

Anschließend können KMIP-Nachrichten ausgetauscht werden, wie sie im Standard definiert sind. Je nach Technologie-Stack empfehlen wir die folgenden Bibliotheken:

PyKMIP für Python: https://github.com/OpenKMIP/PyKMIP.
Libkmip für C: https://github.com/OpenKMIP/libkmip.

Sie können auch unser SDK für Go verwenden: https://github.com/ovh/kmip-go

IAM Rights

KMIP-Operationen mit IAM-Benutzern erfordern die unten beschriebenen spezifischen Berechtigungen:

KMIP-Operation	Beschreibung	Aktion
Create	Verwaltetes Objekt erstellen	okms:kmip:create
Get	Verwaltetes Objekt abrufen	okms:kmip:get
Register	Verwaltetes Objekt registrieren	okms:kmip:register
Activate	Verwaltetes Objekt aktivieren	okms:kmip:activate
Revoke	Verwaltetes Objekt widerrufen	okms:kmip:revoke
Destroy	Verwaltetes Objekt zerstören	okms:kmip:destroy
CreateKeyPair	Schlüsselpaar erstellen	okms:kmip:createKeyPair
AddAttribute	Attribut eines verwalteten Objekts hinzufügen	okms:kmip:addAttribute
GetAttributes	Ein oder mehrere Attribute eines verwalteten Objekts abrufen	okms:kmip:getAttributes
GetAttributeList	Liste der Attributnamen abrufen	okms:kmip:getAttributeList
ModifyAttribute	Attribut eines verwalteten Objekts ändern	okms:kmip:modifyAttribute
DeleteAttribute	Attribut eines verwalteten Objekts löschen	okms:kmip:deleteAttribute
Locate	Verwaltetes Objekt lokalisieren	okms:kmip:locate
Archive	Verwaltetes Objekt archivieren	okms:kmip:archive
Recover	Verwaltetes Objekt wiederherstellen	okms:kmip:recover
Re-key	Schlüssel neu erzeugen	okms:kmip:rekey
Re-key Key Pair	Schlüsselpaar neu erzeugen	okms:kmip:rekeyKeyPair
ObtainLease	Lease für verwaltetes Objekt erhalten	okms:kmip:obtainLease
GetUsageAllocation	Nutzungszuteilung eines verwalteten Objekts abrufen	okms:kmip:getUsageAllocation
Encrypt	Mit verwaltetem Objekt verschlüsseln	okms:kmip:encrypt
Decrypt	Mit verwaltetem Objekt entschlüsseln	okms:kmip:decrypt
Sign	Mit verwaltetem Objekt signieren	okms:kmip:sign
Signature Verify	Mit verwaltetem Objekt verifizieren	okms:kmip:signatureVerify

KMIP-Abdeckung

Das OVHcloud KMS deckt einen Teil der Versionen 1.0 bis 1.4 des KMIP-Standards ab.

Details zur Abdeckung finden Sie hier:

Legende:

N/A : Nicht anwendbar

✅ : Vollständig kompatibel

🚧 : Teilweise kompatibel

❌ : Nicht implementiert

🚫 : Veraltet

Messages

	v1.0	v1.1	v1.2	v1.3	v1.4
Request Message	✅	✅	✅	✅	✅
Response Message	✅	✅	✅	✅	✅

Operations

Operation	v1.0	v1.1	v1.2	v1.3	v1.4
Create	✅	✅	✅	✅	✅
Create Key Pair	✅	✅	✅	✅	✅
Register	✅	✅	✅	✅	✅
Re-key	✅	✅	✅	✅	✅
DeriveKey	❌	❌	❌	❌	❌
Certify	❌	❌	❌	❌	❌
Re-certify	❌	❌	❌	❌	❌
Locate	✅	✅	✅	✅	✅
Check	❌	❌	❌	❌	❌
Get	✅	✅	✅	✅	✅
Get Attributes	✅	✅	✅	✅	✅
Get Attribute List	✅	✅	✅	✅	✅
Add Attribute	✅	✅	✅	✅	✅
Modify Attribute	✅	✅	✅	✅	✅
Delete Attribute	✅	✅	✅	✅	✅
Obtain Lease	✅	✅	✅	✅	✅
Get Usage Allocation	✅	✅	✅	✅	✅
Activate	✅	✅	✅	✅	✅
Revoke	✅	✅	✅	✅	✅
Destroy	✅	✅	✅	✅	✅
Archive	✅	✅	✅	✅	✅
Recover	✅	✅	✅	✅	✅
Validate	❌	❌	❌	❌	❌
Query	✅	✅	✅	✅	✅
Cancel	❌	❌	❌	❌	❌
Poll	❌	❌	❌	❌	❌
Notify	❌	❌	❌	❌	❌
Put	❌	❌	❌	❌	❌
Discover	N/A	✅	✅	✅	✅
Re-key Key Pair	N/A	✅	✅	✅	✅
Encrypt	N/A	N/A	✅	✅	✅
Decrypt	N/A	N/A	✅	✅	✅
Sign	N/A	N/A	✅	✅	✅
Signature Verify	N/A	N/A	✅	✅	✅
MAC	N/A	N/A	❌	❌	❌
MAC Verify	N/A	N/A	❌	❌	❌
RNG Retrieve	N/A	N/A	❌	❌	❌
RNG Seed	N/A	N/A	❌	❌	❌
Hash	N/A	N/A	❌	❌	❌
Create Split Key	N/A	N/A	❌	❌	❌
Join Split Key	N/A	N/A	❌	❌	❌
Export	N/A	N/A	N/A	N/A	❌
Import	N/A	N/A	N/A	N/A	❌

Managed Objects

Objekt	v1.0	v1.1	v1.2	v1.3	v1.4
Certificate	✅	✅	✅	✅	✅
Symmetric Key	✅	✅	✅	✅	✅
Public Key	✅	✅	✅	✅	✅
Private Key	✅	✅	✅	✅	✅
Split Key	✅	✅	✅	✅	✅
Template	✅	✅	✅	🚫	🚫
Secret Data	✅	✅	✅	✅	✅
Opaque Object	✅	✅	✅	✅	✅
PGP Key	N/A	N/A	✅	✅	✅

Base Objects

Objekt	v1.0	v1.1	v1.2	v1.3	v1.4
Attribute	✅	✅	✅	✅	✅
Credential	✅	✅	✅	✅	✅
Key Block	✅	✅	✅	✅	✅
Key Value	✅	✅	✅	✅	✅
Key Wrapping Data	✅	✅	✅	✅	✅
Key Wrapping Specification	✅	✅	✅	✅	✅
Transparent Key Structures	🚧	🚧	🚧	🚧	🚧
Template-Attribute Structures	✅	✅	✅	✅	✅
Extension Information	N/A	✅	✅	✅	✅
Data	N/A	N/A	❌	❌	❌
Data Length	N/A	N/A	❌	❌	❌
Signature Data	N/A	N/A	❌	❌	❌
MAC Data	N/A	N/A	❌	❌	❌
Nonce	N/A	N/A	✅	✅	✅
Correlation Value	N/A	N/A	N/A	❌	❌
Init Indicator	N/A	N/A	N/A	❌	❌
Final Indicator	N/A	N/A	N/A	❌	❌
RNG Parameter	N/A	N/A	N/A	✅	✅
Profile Information	N/A	N/A	N/A	✅	✅
Validation Information	N/A	N/A	N/A	✅	✅
Capability Information	N/A	N/A	N/A	✅	✅
Authenticated Encryption Additional Data	N/A	N/A	N/A	N/A	❌
Authenticated Encryption Tag	N/A	N/A	N/A	N/A	❌

Transparent Key Structures

Objekt	v1.0	v1.1	v1.2	v1.3	v1.4
Symmetric Key	✅	✅	✅	✅	✅
DSA Private/Public Key	❌	❌	❌	❌	❌
RSA Private/Public Key	✅	✅	✅	✅	✅
DH Private/Public Key	❌	❌	❌	❌	❌
ECDSA Private/Public Key	✅	✅	✅	🚫	🚫
ECDH Private/Public Key	❌	❌	❌	🚫	🚫
ECMQV Private/Public	❌	❌	❌	🚫	🚫
EC Private/Public	N/A	N/A	N/A	✅	✅

Attributes

Attribut	v1.0	v1.1	v1.2	v1.3	v1.4
Unique Identifier	✅	✅	✅	✅	✅
Name	✅	✅	✅	✅	✅
Object Type	✅	✅	✅	✅	✅
Cryptographic Algorithm	✅	✅	✅	✅	✅
Cryptographic Length	✅	✅	✅	✅	✅
Cryptographic Parameters	✅	✅	✅	✅	✅
Cryptographic Domain Parameters	✅	✅	✅	✅	✅
Certificate Type	✅	✅	✅	✅	✅
Certificate Identifier	✅	🚫	🚫	🚫	🚫
Certificate Subject	✅	🚫	🚫	🚫	🚫
Certificate Issuer	✅	🚫	🚫	🚫	🚫
Digest	✅	✅	✅	✅	✅
Operation Policy Name	✅	✅	✅	🚫	🚫
Cryptographic Usage Mask	✅	✅	✅	✅	✅
Lease Time	✅	✅	✅	✅	✅
Usage Limits	✅	✅	✅	✅	✅
State	✅	✅	✅	✅	✅
Initial Date	✅	✅	✅	✅	✅
Activation Date	✅	✅	✅	✅	✅
Process Start Date	✅	✅	✅	✅	✅
Protect Stop Date	✅	✅	✅	✅	✅
Deactivation Date	✅	✅	✅	✅	✅
Destroy Date	✅	✅	✅	✅	✅
Compromise Occurence Date	✅	✅	✅	✅	✅
Compromise Date	✅	✅	✅	✅	✅
Revocation Reason	✅	✅	✅	✅	✅
Archive Date	✅	✅	✅	✅	✅
Object Group	✅	✅	✅	✅	✅
Link	✅	✅	✅	✅	✅
Application Specific Information	✅	✅	✅	✅	✅
Contact Information	✅	✅	✅	✅	✅
Last Change Date	✅	✅	✅	✅	✅
Custom Attribute	✅	✅	✅	✅	✅
Certificate Length	N/A	✅	✅	✅	✅
X.509 Certificate Identifier	N/A	✅	✅	✅	✅
X.509 Certificate Subject	N/A	✅	✅	✅	✅
X.509 Certificate Issuer	N/A	✅	✅	✅	✅
Digital Signature Algorithm	N/A	✅	✅	✅	✅
Fresh	N/A	✅	✅	✅	✅
Alternative Name	N/A	N/A	✅	✅	✅
Key Value Present	N/A	N/A	✅	✅	✅
Key Value Location	N/A	N/A	✅	✅	✅
Original Creation Date	N/A	N/A	✅	✅	✅
Random Number Generator	N/A	N/A	N/A	✅	✅
PKCS#12 Friendly Name	N/A	N/A	N/A	N/A	✅
Description	N/A	N/A	N/A	N/A	✅
Comment	N/A	N/A	N/A	N/A	✅
Sensitive	N/A	N/A	N/A	N/A	✅
Always Sensitive	N/A	N/A	N/A	N/A	✅
Extractable	N/A	N/A	N/A	N/A	✅
Never Extractable	N/A	N/A	N/A	N/A	✅

Weiterführende Informationen

Die Website von OASIS.

Treten Sie unserer User Community bei.

War diese Seite hilfreich?