Cómo conectar un producto compatible utilizando el protocolo KMIP

Cómo comunicarse con el KMS OVHcloud mediante el protocolo KMIP

Objetivo

El objetivo de esta guía es presentar el uso del protocolo KMIP, así como las diferentes operaciones y tipos soportados por el KMS OVHcloud.

Requisitos

Disponer de una cuenta de cliente de OVHcloud.
Haber contratado un KMS OVHcloud.
Haber creado un certificado de acceso y configurado una política IAM para el acceso KMIP. KMIP solo admite la autenticación mediante certificado — consulte Métodos de autenticación OKMS.

Procedimiento

Descripción

El protocolo KMIP (Key Management Interoperability Protocol) es un protocolo diseñado para estandarizar las comunicaciones con un KMS. Así, cualquier producto compatible con KMIP (como VMware vSphere, Veeam, Nutanix, etc.) puede interconectarse de forma nativa con un KMS compatible con KMIP como el KMS OVHcloud, tanto si estos productos están alojados en OVHcloud como si no.

Esto permite garantizar una conexión facilitada, así como la reversibilidad de esta configuración.

Conexión de un producto compatible con KMIP con el KMS OVHcloud

El procedimiento de configuración varía en función del producto que se desee integrar, pero no requiere ninguna otra configuración previa en el KMS OVHcloud que generar un certificado de acceso y conceder los derechos IAM KMIP necesarios. KMIP no admite la autenticación mediante PAT o cuenta de servicio. Los editores de software suelen ofrecer guías dedicadas a este fin.

A modo de ejemplo, los siguientes productos se han validado para su uso con el KMS OVHcloud:

Nutanix
VMware
MongoDB
OpenBao
Barbican - para un uso On-Premise
NetApp - para un uso On-Premise

Uso directo

También es posible utilizar las API KMIP directamente.

La autenticación en este protocolo se realiza mediante un certificado de cliente, del mismo modo que con la API REST. Por lo tanto, es necesario abrir un flujo TLS proporcionando un certificado de acceso válido.

A partir de ahí, es posible intercambiar mensajes KMIP tal y como se definen en el estándar. En función de su stack tecnológico, le recomendamos librerías como:

PyKMIP para python: https://github.com/OpenKMIP/PyKMIP.
Libkmip para C: https://github.com/OpenKMIP/libkmip.

También puede utilizar nuestro SDK para Go: https://github.com/ovh/kmip-go

IAM Rights

Las operaciones KMIP con usuarios IAM requieren autorizaciones específicas que se describen a continuación:

Operación KMIP	Descripción	Acción
Create	Crear un objeto gestionado	okms:kmip:create
Get	Listar un objeto gestionado	okms:kmip:get
Register	Registrar un objeto gestionado	okms:kmip:register
Activate	Activar un objeto gestionado	okms:kmip:activate
Revoke	Revocar un objeto gestionado	okms:kmip:revoke
Destroy	Destruir un objeto gestionado	okms:kmip:destroy
CreateKeyPair	Crear un par de claves	okms:kmip:createKeyPair
AddAttribute	Añadir un atributo a un objeto gestionado	okms:kmip:addAttribute
GetAttributes	Listar los atributos de un objeto gestionado	okms:kmip:getAttributes
GetAttributeList	Listar los nombres de los atributos	okms:kmip:getAttributeList
ModifyAttribute	Modificar el atributo de un objeto gestionado	okms:kmip:modifyAttribute
DeleteAttribute	Eliminar el atributo de un objeto gestionado	okms:kmip:deleteAttribute
Locate	Localizar un objeto gestionado	okms:kmip:locate
Archive	Archivar un objeto gestionado	okms:kmip:archive
Recover	Restaurar un objeto gestionado	okms:kmip:recover
ReKey	Regenerar una clave	okms:kmip:rekey
Re-key Key Pair	Regenerar un par de claves	okms:kmip:rekeyKeyPair
ObtainLease	Obtener el lease de un objeto gestionado	okms:kmip:obtainLease
GetUsageAllocation	Listar la asignación de uso de un objeto gestionado	okms:kmip:getUsageAllocation
Encrypt	Cifrar con un objeto gestionado	okms:kmip:encrypt
Decrypt	Descifrar con un objeto gestionado	okms:kmip:decrypt
Sign	Firmar con un objeto gestionado	okms:kmip:sign
Signature Verify	Verificar con un objeto gestionado	okms:kmip:signatureVerify

Cobertura KMIP

El KMS OVHcloud cubre un subconjunto de las versiones 1.0 a 1.4 del estándar KMIP. A continuación se detalla la cobertura.

Leyenda:

N/A : No aplicable

✅ : Totalmente compatible

🚧 : Parcialmente compatible

❌ : No implementado

🚫 : Obsoleto

Messages

	v1.0	v1.1	v1.2	v1.3	v1.4
Request Message	✅	✅	✅	✅	✅
Response Message	✅	✅	✅	✅	✅

Operations

Operación	v1.0	v1.1	v1.2	v1.3	v1.4
Create	✅	✅	✅	✅	✅
Create Key Pair	✅	✅	✅	✅	✅
Register	✅	✅	✅	✅	✅
Re-key	✅	✅	✅	✅	✅
DeriveKey	❌	❌	❌	❌	❌
Certify	❌	❌	❌	❌	❌
Re-certify	❌	❌	❌	❌	❌
Locate	✅	✅	✅	✅	✅
Check	❌	❌	❌	❌	❌
Get	✅	✅	✅	✅	✅
Get Attributes	✅	✅	✅	✅	✅
Get Attribute List	✅	✅	✅	✅	✅
Add Attribute	✅	✅	✅	✅	✅
Modify Attribute	✅	✅	✅	✅	✅
Delete Attribute	✅	✅	✅	✅	✅
Obtain Lease	✅	✅	✅	✅	✅
Get Usage Allocation	✅	✅	✅	✅	✅
Activate	✅	✅	✅	✅	✅
Revoke	✅	✅	✅	✅	✅
Destroy	✅	✅	✅	✅	✅
Archive	✅	✅	✅	✅	✅
Recover	✅	✅	✅	✅	✅
Validate	❌	❌	❌	❌	❌
Query	✅	✅	✅	✅	✅
Cancel	❌	❌	❌	❌	❌
Poll	❌	❌	❌	❌	❌
Notify	❌	❌	❌	❌	❌
Put	❌	❌	❌	❌	❌
Discover	N/A	✅	✅	✅	✅
Re-key Key Pair	N/A	✅	✅	✅	✅
Encrypt	N/A	N/A	✅	✅	✅
Decrypt	N/A	N/A	✅	✅	✅
Sign	N/A	N/A	✅	✅	✅
Signature Verify	N/A	N/A	✅	✅	✅
MAC	N/A	N/A	❌	❌	❌
MAC Verify	N/A	N/A	❌	❌	❌
RNG Retrieve	N/A	N/A	❌	❌	❌
RNG Seed	N/A	N/A	❌	❌	❌
Hash	N/A	N/A	❌	❌	❌
Create Split Key	N/A	N/A	❌	❌	❌
Join Split Key	N/A	N/A	❌	❌	❌
Export	N/A	N/A	N/A	N/A	❌
Import	N/A	N/A	N/A	N/A	❌

Managed Objects

Objeto	v1.0	v1.1	v1.2	v1.3	v1.4
Certificate	✅	✅	✅	✅	✅
Symmetric Key	✅	✅	✅	✅	✅
Public Key	✅	✅	✅	✅	✅
Private Key	✅	✅	✅	✅	✅
Split Key	✅	✅	✅	✅	✅
Template	✅	✅	✅	🚫	🚫
Secret Data	✅	✅	✅	✅	✅
Opaque Object	✅	✅	✅	✅	✅
PGP Key	N/A	N/A	✅	✅	✅

Base Objects

Objeto	v1.0	v1.1	v1.2	v1.3	v1.4
Attribute	✅	✅	✅	✅	✅
Credential	✅	✅	✅	✅	✅
Key Block	✅	✅	✅	✅	✅
Key Value	✅	✅	✅	✅	✅
Key Wrapping Data	✅	✅	✅	✅	✅
Key Wrapping Specification	✅	✅	✅	✅	✅
Transparent Key Structures	🚧	🚧	🚧	🚧	🚧
Template-Attribute Structures	✅	✅	✅	✅	✅
Extension Information	N/A	✅	✅	✅	✅
Data	N/A	N/A	❌	❌	❌
Data Length	N/A	N/A	❌	❌	❌
Signature Data	N/A	N/A	❌	❌	❌
MAC Data	N/A	N/A	❌	❌	❌
Nonce	N/A	N/A	✅	✅	✅
Correlation Value	N/A	N/A	N/A	❌	❌
Init Indicator	N/A	N/A	N/A	❌	❌
Final Indicator	N/A	N/A	N/A	❌	❌
RNG Parameter	N/A	N/A	N/A	✅	✅
Profile Information	N/A	N/A	N/A	✅	✅
Validation Information	N/A	N/A	N/A	✅	✅
Capability Information	N/A	N/A	N/A	✅	✅
Authenticated Encryption Additional Data	N/A	N/A	N/A	N/A	❌
Authenticated Encryption Tag	N/A	N/A	N/A	N/A	❌

Transparent Key Structures

Objeto	v1.0	v1.1	v1.2	v1.3	v1.4
Symmetric Key	✅	✅	✅	✅	✅
DSA Private/Public Key	❌	❌	❌	❌	❌
RSA Private/Public Key	✅	✅	✅	✅	✅
DH Private/Public Key	❌	❌	❌	❌	❌
ECDSA Private/Public Key	✅	✅	✅	🚫	🚫
ECDH Private/Public Key	❌	❌	❌	🚫	🚫
ECMQV Private/Public	❌	❌	❌	🚫	🚫
EC Private/Public	N/A	N/A	N/A	✅	✅

Attributes

Atributo	v1.0	v1.1	v1.2	v1.3	v1.4
Unique Identifier	✅	✅	✅	✅	✅
Name	✅	✅	✅	✅	✅
Object Type	✅	✅	✅	✅	✅
Cryptographic Algorithm	✅	✅	✅	✅	✅
Cryptographic Length	✅	✅	✅	✅	✅
Cryptographic Parameters	✅	✅	✅	✅	✅
Cryptographic Domain Parameters	✅	✅	✅	✅	✅
Certificate Type	✅	✅	✅	✅	✅
Certificate Identifier	✅	🚫	🚫	🚫	🚫
Certificate Subject	✅	🚫	🚫	🚫	🚫
Certificate Issuer	✅	🚫	🚫	🚫	🚫
Digest	✅	✅	✅	✅	✅
Operation Policy Name	✅	✅	✅	🚫	🚫
Cryptographic Usage Mask	✅	✅	✅	✅	✅
Lease Time	✅	✅	✅	✅	✅
Usage Limits	✅	✅	✅	✅	✅
State	✅	✅	✅	✅	✅
Initial Date	✅	✅	✅	✅	✅
Activation Date	✅	✅	✅	✅	✅
Process Start Date	✅	✅	✅	✅	✅
Protect Stop Date	✅	✅	✅	✅	✅
Deactivation Date	✅	✅	✅	✅	✅
Destroy Date	✅	✅	✅	✅	✅
Compromise Occurence Date	✅	✅	✅	✅	✅
Compromise Date	✅	✅	✅	✅	✅
Revocation Reason	✅	✅	✅	✅	✅
Archive Date	✅	✅	✅	✅	✅
Object Group	✅	✅	✅	✅	✅
Link	✅	✅	✅	✅	✅
Application Specific Information	✅	✅	✅	✅	✅
Contact Information	✅	✅	✅	✅	✅
Last Change Date	✅	✅	✅	✅	✅
Custom Attribute	✅	✅	✅	✅	✅
Certificate Length	N/A	✅	✅	✅	✅
X.509 Certificate Identifier	N/A	✅	✅	✅	✅
X.509 Certificate Subject	N/A	✅	✅	✅	✅
X.509 Certificate Issuer	N/A	✅	✅	✅	✅
Digital Signature Algorithm	N/A	✅	✅	✅	✅
Fresh	N/A	✅	✅	✅	✅
Alternative Name	N/A	N/A	✅	✅	✅
Key Value Present	N/A	N/A	✅	✅	✅
Key Value Location	N/A	N/A	✅	✅	✅
Original Creation Date	N/A	N/A	✅	✅	✅
Random Number Generator	N/A	N/A	N/A	✅	✅
PKCS#12 Friendly Name	N/A	N/A	N/A	N/A	✅
Description	N/A	N/A	N/A	N/A	✅
Comment	N/A	N/A	N/A	N/A	✅
Sensitive	N/A	N/A	N/A	N/A	✅
Always Sensitive	N/A	N/A	N/A	N/A	✅
Extractable	N/A	N/A	N/A	N/A	✅
Never Extractable	N/A	N/A	N/A	N/A	✅

Más información

El sitio web de OASIS.

Interactúe con nuestra comunidad de usuarios.

¿Le ha resultado útil esta página?