Erste Schritte mit OVHcloud Key Management Service (KMS)

Als Markdown ansehen

Erfahren Sie, welche Schritte nötig sind, um Ihren ersten Key Management Service (KMS) einzurichten, einen Schlüssel zu erstellen und sich an der Data-Plane-API zu authentifizieren

Ziel

Ziel dieser Anleitung ist es, Ihnen die Schritte zu zeigen, die Sie ausführen müssen, um Ihren ersten Key Management Service (KMS) einzurichten und einen Schlüssel zu erstellen. Um die regionale Datenebenen-API aufzurufen, konfigurieren Sie eine Authentifizierungsmethode, wie in der Anleitung OKMS-Authentifizierungsmethoden beschrieben.

Voraussetzungen

Sie verfügen über einen OVHcloud Kunden-Account.

Zugriff auf das OVHcloud Kundencenter

Direkter Link:
Navigationspfad: Identität, Sicherheit und Operationen > Key Management Service > Wählen Sie Ihre OKMS-Domain aus

In der praktischen Anwendung

Ihren KMS bestellen

Jeder KMS ist mit einer Region verknüpft, sodass die dort gespeicherten Schlüssel garantiert in dieser Region verbleiben.

Sie können mehrere KMS bestellen, entweder in verschiedenen Regionen oder in derselben Region.

Da die Abrechnung eines KMS auf der Anzahl der darauf gespeicherten Schlüssel basiert, verursacht die Bestellung eines KMS an sich keine Kosten.

Klicken Sie auf die Schaltfläche OKMS-Domain bestellen.

Geben Sie die Region Ihres KMS an.

Sie können die Bestellung anschließend in einem anderen Tab abschließen. Falls sich dieser nicht automatisch geöffnet hat, wird der Bestell-Link angezeigt:

Nach einigen Sekunden ist der KMS in Ihrem Kundencenter verfügbar.

OVHcloud Kundencenter

OVHcloud API

Einen Verschlüsselungsschlüssel erstellen

Klicken Sie im Tab Verschlüsselungsschlüssel auf die Schaltfläche Service Key erstellen.

In einem Formular können Sie den Schlüssel konfigurieren und dessen Typ, Größe und Verwendung auswählen.

Warning

Nur die Schlüsselerstellung über regionalisierte APIs ist durch die PCI-DSS-Zertifizierungen abgedeckt.

Sobald der Schlüssel erstellt ist, klicken Sie darauf, um auf seine Details zuzugreifen.

Das Dashboard zeigt die kryptografischen Eigenschaften des Schlüssels sowie die Aktionen zum Umbenennen, Deaktivieren oder Löschen an.

Um das Risiko einer versehentlichen Löschung zu verringern, muss ein Schlüssel vor dem Löschen deaktiviert werden.

Warning

Ein gelöschter Schlüssel kann auf keine Weise wiederhergestellt werden, und seine Löschung führt zum Verlust aller damit verschlüsselten Daten. Jede Löschung sollte mit größter Vorsicht durchgeführt werden.

Einen Verschlüsselungsschlüssel erstellen

Sie können einen Schlüssel über die folgende API erstellen:

Methode	Pfad	Beschreibung
POST	/okms/resource/{okmsId}/serviceKey	Einen CMK erstellen oder importieren

Die API erwartet die folgenden Werte:

Feld	Wert	Beschreibung
name	string	Name des Schlüssels
context	string	Zusätzliche Anmeldeinformation zur Überprüfung der Echtheit des Schlüssels
type	oct, RSA, EC	Schlüsseltyp: Byte-Sequenz (oct) für symmetrische Schlüssel, RSA (RSA), Elliptic Curve (EC)
size	Integer	Schlüsselgröße - siehe Tabelle unten
operations	Array	Verwendung des Schlüssels - siehe Tabelle unten
curve	P-256, P-384, P-521	(optional) Kryptografische Kurve für Schlüssel vom Typ EC

Beispiel für die Erstellung eines symmetrischen Schlüssels:

{
  "name": "My first AES key",
  "context": "project A",
  "type": "oct",
  "size": 256,
  "operations": [
    "encrypt",
    "decrypt"
  ]
}

Beispiel für die Erstellung eines asymmetrischen Schlüssels:

{
  "name": "My first RSA key",
  "context": "project A",
  "type": "RSA",
  "size": 4096,
  "operations": [
    "sign",
    "verify"
  ]
}

Beispiel für die Erstellung eines EC-Schlüssels:

{
  "name": "My first EC key",
  "context": "project A",
  "type": "EC",
  "operations": [
    "sign",
    "verify"
  ],
  "curve": "P-256"
}

Je nach Schlüsseltyp sind die möglichen Größen und Operationen die folgenden:

Oct:
- Größe: 128, 192, 256
- Operationen:
  - encrypt, decrypt
  - wrapKey, unwrapKey
RSA:
- Größe: 2048, 3072, 4096
- Operationen:
  - sign, verify
  - wrapKey, unwrapKey
EC:
- Größe: nicht angeben
- curve: P-256, P-384, P-521
- Operationen: sign, verify

Info

Bei RSA-Schlüsseln schließen sich wrapKey / unwrapKey und sign / verify gegenseitig aus.

Warning

Nur die Schlüsselerstellung über regionalisierte APIs ist durch die PCI-DSS-Zertifizierungen abgedeckt.

An der OKMS-Datenebene authentifizieren

Konfigurieren Sie vor dem Aufruf der regionalen REST-API eine Authentifizierungsmethode (Personal Access Token, Service-Account oder Zugriffszertifikat). Siehe OKMS-Authentifizierungsmethoden.

Für die Nutzung der REST-API werden ein PAT oder ein Service-Account empfohlen. Bevorzugen Sie Zugriffszertifikate für KMIP-Integrationen, die eine zertifikatbasierte Authentifizierung erfordern.

Den OVHcloud KMS verwenden

Sobald Ihr OVHcloud KMS eingerichtet ist, können Sie ihn auf zwei verschiedene Arten verwenden:

Über die REST-API, um Ihre Daten zu verschlüsseln oder zu signieren (Authentifizierung mit einem PAT, einem Service-Account oder einem Zertifikat).
Über das KMIP-Protokoll, um KMIP-kompatible Produkte zu verbinden (Zugriffszertifikat erforderlich).

Weiterführende Informationen

Schlüssel auf OVHcloud KMS mit BYOK importieren und exportieren

OKMS-Authentifizierungsmethoden

Den OVHcloud KMS mit Ihren Daten verwenden

Treten Sie unserer User Community bei.

War diese Seite hilfreich?