Come connettere un prodotto compatibile utilizzando il protocollo KMIP

Come comunicare con il KMS OVHcloud tramite il protocollo KMIP

Obiettivo

L'obiettivo di questa guida è presentare l'utilizzo del protocollo KMIP e le diverse operazioni e tipologie supportate dal KMS OVHcloud.

Prerequisiti

Disporre di un account cliente OVHcloud.
Aver ordinato un KMS OVHcloud.
Aver creato un certificato di accesso e configurato una policy IAM per l'accesso KMIP. KMIP supporta solo l'autenticazione tramite certificato — consulta Metodi di autenticazione OKMS.

Procedura

Descrizione

Il protocollo KMIP (Key Management Interoperability Protocol) è un protocollo progettato per standardizzare le comunicazioni con un KMS. In questo modo, qualsiasi prodotto che supporta il KMIP (come VMware vSphere, Veeam, Nutanix, ecc.) può interfacciarsi in modo nativo con un KMS compatibile con KMIP come il KMS OVHcloud, indipendentemente dal fatto che questi prodotti siano ospitati da OVHcloud o meno.

Questo permette di garantire una connessione semplificata e la reversibilità di questa configurazione.

Connessione di un prodotto compatibile con KMIP al KMS OVHcloud

La procedura di configurazione varia in base al prodotto da integrare, ma non richiede alcuna configurazione preliminare sul KMS OVHcloud oltre a generare un certificato di accesso e concedere i diritti IAM KMIP richiesti. KMIP non supporta l'autenticazione tramite PAT o account di servizio. Gli editori di software forniscono generalmente delle guide dedicate a questo scopo.

A titolo di esempio, i seguenti prodotti sono stati convalidati per l'utilizzo con il KMS OVHcloud:

Nutanix
VMware
MongoDB
OpenBao
Barbican - per un utilizzo On-Premise
NetApp - per un utilizzo On-Premise

Utilizzo diretto

È inoltre possibile utilizzare direttamente le API KMIP.

L'autenticazione su questo protocollo avviene tramite un certificato client, così come per l'API REST. È quindi necessario aprire un flusso TLS fornendo un certificato di accesso valido.

A partire da questo momento, è possibile scambiare messaggi KMIP così come definiti nello standard. In base al tuo stack tecnologico, ti consigliamo librerie come:

PyKMIP per python: https://github.com/OpenKMIP/PyKMIP.
Libkmip per il C: https://github.com/OpenKMIP/libkmip.

Puoi anche utilizzare il nostro SDK per Go: https://github.com/ovh/kmip-go

IAM Rights

Le operazioni KMIP con utenti IAM richiedono autorizzazioni specifiche elencate di seguito:

Operazione KMIP	Descrizione	Azione
Create	Creare un oggetto gestito	okms:kmip:create
Get	Elencare un oggetto gestito	okms:kmip:get
Register	Registrare un oggetto gestito	okms:kmip:register
Activate	Attivare un oggetto gestito	okms:kmip:activate
Revoke	Revocare un oggetto gestito	okms:kmip:revoke
Destroy	Eliminare un oggetto gestito	okms:kmip:destroy
CreateKeyPair	Creare una coppia di chiavi	okms:kmip:createKeyPair
AddAttribute	Aggiungere un attributo a un oggetto gestito	okms:kmip:addAttribute
GetAttributes	Elencare gli attributi di un oggetto gestito	okms:kmip:getAttributes
GetAttributeList	Elencare i nomi degli attributi	okms:kmip:getAttributeList
ModifyAttribute	Modificare l'attributo di un oggetto gestito	okms:kmip:modifyAttribute
DeleteAttribute	Eliminare l'attributo di un oggetto gestito	okms:kmip:deleteAttribute
Locate	Localizzare un oggetto gestito	okms:kmip:locate
Archive	Archiviare un oggetto gestito	okms:kmip:archive
Recover	Ripristinare un oggetto gestito	okms:kmip:recover
ReKey	Rigenerare una chiave	okms:kmip:rekey
Re-key Key Pair	Rigenerare una coppia di chiavi	okms:kmip:rekeyKeyPair
ObtainLease	Ottenere il lease di un oggetto gestito	okms:kmip:obtainLease
GetUsageAllocation	Elencare l'allocazione di utilizzo di un oggetto gestito	okms:kmip:getUsageAllocation
Encrypt	Cifrare con un oggetto gestito	okms:kmip:encrypt
Decrypt	Decifrare con un oggetto gestito	okms:kmip:decrypt
Sign	Firmare con un oggetto gestito	okms:kmip:sign
Signature Verify	Verificare con un oggetto gestito	okms:kmip:signatureVerify

Copertura KMIP

Il KMS OVHcloud copre un sottoinsieme delle versioni da 1.0 a 1.4 dello standard KMIP. Di seguito sono riportati i dettagli della copertura.

Legenda:

N/A : Non applicabile

✅ : Completamente compatibile

🚧 : Parzialmente compatibile

❌ : Non implementato

🚫 : Obsoleto

Messages

	v1.0	v1.1	v1.2	v1.3	v1.4
Request Message	✅	✅	✅	✅	✅
Response Message	✅	✅	✅	✅	✅

Operations

Operazione	v1.0	v1.1	v1.2	v1.3	v1.4
Create	✅	✅	✅	✅	✅
Create Key Pair	✅	✅	✅	✅	✅
Register	✅	✅	✅	✅	✅
Re-key	✅	✅	✅	✅	✅
DeriveKey	❌	❌	❌	❌	❌
Certify	❌	❌	❌	❌	❌
Re-certify	❌	❌	❌	❌	❌
Locate	✅	✅	✅	✅	✅
Check	❌	❌	❌	❌	❌
Get	✅	✅	✅	✅	✅
Get Attributes	✅	✅	✅	✅	✅
Get Attribute List	✅	✅	✅	✅	✅
Add Attribute	✅	✅	✅	✅	✅
Modify Attribute	✅	✅	✅	✅	✅
Delete Attribute	✅	✅	✅	✅	✅
Obtain Lease	✅	✅	✅	✅	✅
Get Usage Allocation	✅	✅	✅	✅	✅
Activate	✅	✅	✅	✅	✅
Revoke	✅	✅	✅	✅	✅
Destroy	✅	✅	✅	✅	✅
Archive	✅	✅	✅	✅	✅
Recover	✅	✅	✅	✅	✅
Validate	❌	❌	❌	❌	❌
Query	✅	✅	✅	✅	✅
Cancel	❌	❌	❌	❌	❌
Poll	❌	❌	❌	❌	❌
Notify	❌	❌	❌	❌	❌
Put	❌	❌	❌	❌	❌
Discover	N/A	✅	✅	✅	✅
Re-key Key Pair	N/A	✅	✅	✅	✅
Encrypt	N/A	N/A	✅	✅	✅
Decrypt	N/A	N/A	✅	✅	✅
Sign	N/A	N/A	✅	✅	✅
Signature Verify	N/A	N/A	✅	✅	✅
MAC	N/A	N/A	❌	❌	❌
MAC Verify	N/A	N/A	❌	❌	❌
RNG Retrieve	N/A	N/A	❌	❌	❌
RNG Seed	N/A	N/A	❌	❌	❌
Hash	N/A	N/A	❌	❌	❌
Create Split Key	N/A	N/A	❌	❌	❌
Join Split Key	N/A	N/A	❌	❌	❌
Export	N/A	N/A	N/A	N/A	❌
Import	N/A	N/A	N/A	N/A	❌

Managed Objects

Oggetto	v1.0	v1.1	v1.2	v1.3	v1.4
Certificate	✅	✅	✅	✅	✅
Symmetric Key	✅	✅	✅	✅	✅
Public Key	✅	✅	✅	✅	✅
Private Key	✅	✅	✅	✅	✅
Split Key	✅	✅	✅	✅	✅
Template	✅	✅	✅	🚫	🚫
Secret Data	✅	✅	✅	✅	✅
Opaque Object	✅	✅	✅	✅	✅
PGP Key	N/A	N/A	✅	✅	✅

Base Objects

Oggetto	v1.0	v1.1	v1.2	v1.3	v1.4
Attribute	✅	✅	✅	✅	✅
Credential	✅	✅	✅	✅	✅
Key Block	✅	✅	✅	✅	✅
Key Value	✅	✅	✅	✅	✅
Key Wrapping Data	✅	✅	✅	✅	✅
Key Wrapping Specification	✅	✅	✅	✅	✅
Transparent Key Structures	🚧	🚧	🚧	🚧	🚧
Template-Attribute Structures	✅	✅	✅	✅	✅
Extension Information	N/A	✅	✅	✅	✅
Data	N/A	N/A	❌	❌	❌
Data Length	N/A	N/A	❌	❌	❌
Signature Data	N/A	N/A	❌	❌	❌
MAC Data	N/A	N/A	❌	❌	❌
Nonce	N/A	N/A	✅	✅	✅
Correlation Value	N/A	N/A	N/A	❌	❌
Init Indicator	N/A	N/A	N/A	❌	❌
Final Indicator	N/A	N/A	N/A	❌	❌
RNG Parameter	N/A	N/A	N/A	✅	✅
Profile Information	N/A	N/A	N/A	✅	✅
Validation Information	N/A	N/A	N/A	✅	✅
Capability Information	N/A	N/A	N/A	✅	✅
Authenticated Encryption Additional Data	N/A	N/A	N/A	N/A	❌
Authenticated Encryption Tag	N/A	N/A	N/A	N/A	❌

Transparent Key Structures

Oggetto	v1.0	v1.1	v1.2	v1.3	v1.4
Symmetric Key	✅	✅	✅	✅	✅
DSA Private/Public Key	❌	❌	❌	❌	❌
RSA Private/Public Key	✅	✅	✅	✅	✅
DH Private/Public Key	❌	❌	❌	❌	❌
ECDSA Private/Public Key	✅	✅	✅	🚫	🚫
ECDH Private/Public Key	❌	❌	❌	🚫	🚫
ECMQV Private/Public	❌	❌	❌	🚫	🚫
EC Private/Public	N/A	N/A	N/A	✅	✅

Attributes

Attributo	v1.0	v1.1	v1.2	v1.3	v1.4
Unique Identifier	✅	✅	✅	✅	✅
Name	✅	✅	✅	✅	✅
Object Type	✅	✅	✅	✅	✅
Cryptographic Algorithm	✅	✅	✅	✅	✅
Cryptographic Length	✅	✅	✅	✅	✅
Cryptographic Parameters	✅	✅	✅	✅	✅
Cryptographic Domain Parameters	✅	✅	✅	✅	✅
Certificate Type	✅	✅	✅	✅	✅
Certificate Identifier	✅	🚫	🚫	🚫	🚫
Certificate Subject	✅	🚫	🚫	🚫	🚫
Certificate Issuer	✅	🚫	🚫	🚫	🚫
Digest	✅	✅	✅	✅	✅
Operation Policy Name	✅	✅	✅	🚫	🚫
Cryptographic Usage Mask	✅	✅	✅	✅	✅
Lease Time	✅	✅	✅	✅	✅
Usage Limits	✅	✅	✅	✅	✅
State	✅	✅	✅	✅	✅
Initial Date	✅	✅	✅	✅	✅
Activation Date	✅	✅	✅	✅	✅
Process Start Date	✅	✅	✅	✅	✅
Protect Stop Date	✅	✅	✅	✅	✅
Deactivation Date	✅	✅	✅	✅	✅
Destroy Date	✅	✅	✅	✅	✅
Compromise Occurence Date	✅	✅	✅	✅	✅
Compromise Date	✅	✅	✅	✅	✅
Revocation Reason	✅	✅	✅	✅	✅
Archive Date	✅	✅	✅	✅	✅
Object Group	✅	✅	✅	✅	✅
Link	✅	✅	✅	✅	✅
Application Specific Information	✅	✅	✅	✅	✅
Contact Information	✅	✅	✅	✅	✅
Last Change Date	✅	✅	✅	✅	✅
Custom Attribute	✅	✅	✅	✅	✅
Certificate Length	N/A	✅	✅	✅	✅
X.509 Certificate Identifier	N/A	✅	✅	✅	✅
X.509 Certificate Subject	N/A	✅	✅	✅	✅
X.509 Certificate Issuer	N/A	✅	✅	✅	✅
Digital Signature Algorithm	N/A	✅	✅	✅	✅
Fresh	N/A	✅	✅	✅	✅
Alternative Name	N/A	N/A	✅	✅	✅
Key Value Present	N/A	N/A	✅	✅	✅
Key Value Location	N/A	N/A	✅	✅	✅
Original Creation Date	N/A	N/A	✅	✅	✅
Random Number Generator	N/A	N/A	N/A	✅	✅
PKCS#12 Friendly Name	N/A	N/A	N/A	N/A	✅
Description	N/A	N/A	N/A	N/A	✅
Comment	N/A	N/A	N/A	N/A	✅
Sensitive	N/A	N/A	N/A	N/A	✅
Always Sensitive	N/A	N/A	N/A	N/A	✅
Extractable	N/A	N/A	N/A	N/A	✅
Never Extractable	N/A	N/A	N/A	N/A	✅

Per saperne di più

Il sito web di OASIS.

Contatta la nostra Community di utenti.

Questa pagina ti è stata utile?