Jak połączyć kompatybilny produkt za pomocą protokołu KMIP

Jak komunikować się z OVHcloud KMS za pomocą protokołu KMIP

Wprowadzenie

Celem tego przewodnika jest przedstawienie sposobu korzystania z protokołu KMIP oraz różnych operacji i typów obsługiwanych przez OVHcloud KMS.

Wymagania początkowe

Konto klienta OVHcloud.
Zamówiona usługa OVHcloud KMS.
Utworzony certyfikat dostępu oraz skonfigurowana polityka IAM dla dostępu KMIP. KMIP obsługuje wyłącznie uwierzytelnianie za pomocą certyfikatu — zobacz Metody uwierzytelniania OKMS.

W praktyce

Opis

KMIP (Key Management Interoperability Protocol) to protokół zaprojektowany w celu standaryzacji komunikacji z systemem KMS.

Dzięki temu każdy produkt obsługujący KMIP (taki jak VMware vSphere, Veeam, Nutanix itp.) może natywnie współpracować z KMS zgodnym z KMIP, takim jak OVHcloud KMS, hostowanym przez OVHcloud lub nie.

Zapewnia to łatwe połączenie oraz odwracalną konfigurację.

Połączenie produktu zgodnego z KMIP z OVHcloud KMS

Konfiguracja zależy od integrowanego produktu, ale nie wymaga żadnej szczególnej konfiguracji po stronie OVHcloud KMS poza wygenerowaniem certyfikatu dostępu i przyznaniem wymaganych uprawnień IAM KMIP. KMIP nie obsługuje uwierzytelniania za pomocą PAT ani konta serwisowego. Wydawcy oprogramowania zazwyczaj udostępniają w tym celu dedykowane przewodniki.

Poniższe produkty zostały przykładowo zweryfikowane pod kątem współpracy z OVHcloud KMS:

Nutanix
VMware
MongoDB
OpenBao
Barbican - do zastosowań On-Premise
NetApp - do zastosowań On-Premise

Bezpośrednie użycie

Istnieje również możliwość bezpośredniego korzystania z API KMIP.

Uwierzytelnianie w tym protokole odbywa się za pomocą certyfikatu klienta, w taki sam sposób jak w przypadku API REST. Wymaga to otwarcia kanału TLS z ważnym certyfikatem dostępu.

Następnie można wymieniać komunikaty KMIP zdefiniowane w standardzie. W zależności od stosu technologicznego zalecamy następujące biblioteki:

PyKMIP dla języka Python: https://github.com/OpenKMIP/PyKMIP.
Libkmip dla języka C: https://github.com/OpenKMIP/libkmip.

Można również skorzystać z naszego SDK dla języka Go: https://github.com/ovh/kmip-go

IAM Rights

Operacje KMIP wykonywane przez użytkowników IAM wymagają określonych uprawnień opisanych poniżej:

Operacja KMIP	Opis	Działanie
Create	Utworzenie obiektu zarządzanego	okms:kmip:create
Get	Pobranie obiektu zarządzanego	okms:kmip:get
Register	Zarejestrowanie obiektu zarządzanego	okms:kmip:register
Activate	Aktywacja obiektu zarządzanego	okms:kmip:activate
Revoke	Unieważnienie obiektu zarządzanego	okms:kmip:revoke
Destroy	Zniszczenie obiektu zarządzanego	okms:kmip:destroy
CreateKeyPair	Utworzenie pary kluczy	okms:kmip:createKeyPair
AddAttribute	Dodanie atrybutu obiektu zarządzanego	okms:kmip:addAttribute
GetAttributes	Pobranie jednego lub wielu atrybutów obiektu zarządzanego	okms:kmip:getAttributes
GetAttributeList	Pobranie listy nazw atrybutów	okms:kmip:getAttributeList
ModifyAttribute	Modyfikacja atrybutu obiektu zarządzanego	okms:kmip:modifyAttribute
DeleteAttribute	Usunięcie atrybutu obiektu zarządzanego	okms:kmip:deleteAttribute
Locate	Zlokalizowanie obiektu zarządzanego	okms:kmip:locate
Archive	Zarchiwizowanie obiektu zarządzanego	okms:kmip:archive
Recover	Odzyskanie obiektu zarządzanego	okms:kmip:recover
Re-key	Ponowne wygenerowanie klucza	okms:kmip:rekey
Re-key Key Pair	Ponowne wygenerowanie pary kluczy	okms:kmip:rekeyKeyPair
ObtainLease	Uzyskanie dzierżawy obiektu zarządzanego	okms:kmip:obtainLease
GetUsageAllocation	Pobranie przydziału wykorzystania obiektu zarządzanego	okms:kmip:getUsageAllocation
Encrypt	Szyfrowanie za pomocą obiektu zarządzanego	okms:kmip:encrypt
Decrypt	Deszyfrowanie za pomocą obiektu zarządzanego	okms:kmip:decrypt
Sign	Podpisywanie za pomocą obiektu zarządzanego	okms:kmip:sign
Signature Verify	Weryfikacja za pomocą obiektu zarządzanego	okms:kmip:signatureVerify

Zakres obsługi KMIP

OVHcloud KMS obsługuje część wersji od 1.0 do 1.4 standardu KMIP.

Szczegółowe informacje o zakresie obsługi znajdują się poniżej:

Legenda:

N/A : Nie dotyczy

✅ : W pełni zgodne

🚧 : Częściowo zgodne

❌ : Niezaimplementowane

🚫 : Wycofane

Messages

	v1.0	v1.1	v1.2	v1.3	v1.4
Request Message	✅	✅	✅	✅	✅
Response Message	✅	✅	✅	✅	✅

Operations

Operacja	v1.0	v1.1	v1.2	v1.3	v1.4
Create	✅	✅	✅	✅	✅
Create Key Pair	✅	✅	✅	✅	✅
Register	✅	✅	✅	✅	✅
Re-key	✅	✅	✅	✅	✅
DeriveKey	❌	❌	❌	❌	❌
Certify	❌	❌	❌	❌	❌
Re-certify	❌	❌	❌	❌	❌
Locate	✅	✅	✅	✅	✅
Check	❌	❌	❌	❌	❌
Get	✅	✅	✅	✅	✅
Get Attributes	✅	✅	✅	✅	✅
Get Attribute List	✅	✅	✅	✅	✅
Add Attribute	✅	✅	✅	✅	✅
Modify Attribute	✅	✅	✅	✅	✅
Delete Attribute	✅	✅	✅	✅	✅
Obtain Lease	✅	✅	✅	✅	✅
Get Usage Allocation	✅	✅	✅	✅	✅
Activate	✅	✅	✅	✅	✅
Revoke	✅	✅	✅	✅	✅
Destroy	✅	✅	✅	✅	✅
Archive	✅	✅	✅	✅	✅
Recover	✅	✅	✅	✅	✅
Validate	❌	❌	❌	❌	❌
Query	✅	✅	✅	✅	✅
Cancel	❌	❌	❌	❌	❌
Poll	❌	❌	❌	❌	❌
Notify	❌	❌	❌	❌	❌
Put	❌	❌	❌	❌	❌
Discover	N/A	✅	✅	✅	✅
Re-key Key Pair	N/A	✅	✅	✅	✅
Encrypt	N/A	N/A	✅	✅	✅
Decrypt	N/A	N/A	✅	✅	✅
Sign	N/A	N/A	✅	✅	✅
Signature Verify	N/A	N/A	✅	✅	✅
MAC	N/A	N/A	❌	❌	❌
MAC Verify	N/A	N/A	❌	❌	❌
RNG Retrieve	N/A	N/A	❌	❌	❌
RNG Seed	N/A	N/A	❌	❌	❌
Hash	N/A	N/A	❌	❌	❌
Create Split Key	N/A	N/A	❌	❌	❌
Join Split Key	N/A	N/A	❌	❌	❌
Export	N/A	N/A	N/A	N/A	❌
Import	N/A	N/A	N/A	N/A	❌

Managed Objects

Obiekt	v1.0	v1.1	v1.2	v1.3	v1.4
Certificate	✅	✅	✅	✅	✅
Symmetric Key	✅	✅	✅	✅	✅
Public Key	✅	✅	✅	✅	✅
Private Key	✅	✅	✅	✅	✅
Split Key	✅	✅	✅	✅	✅
Template	✅	✅	✅	🚫	🚫
Secret Data	✅	✅	✅	✅	✅
Opaque Object	✅	✅	✅	✅	✅
PGP Key	N/A	N/A	✅	✅	✅

Base Objects

Obiekt	v1.0	v1.1	v1.2	v1.3	v1.4
Attribute	✅	✅	✅	✅	✅
Credential	✅	✅	✅	✅	✅
Key Block	✅	✅	✅	✅	✅
Key Value	✅	✅	✅	✅	✅
Key Wrapping Data	✅	✅	✅	✅	✅
Key Wrapping Specification	✅	✅	✅	✅	✅
Transparent Key Structures	🚧	🚧	🚧	🚧	🚧
Template-Attribute Structures	✅	✅	✅	✅	✅
Extension Information	N/A	✅	✅	✅	✅
Data	N/A	N/A	❌	❌	❌
Data Length	N/A	N/A	❌	❌	❌
Signature Data	N/A	N/A	❌	❌	❌
MAC Data	N/A	N/A	❌	❌	❌
Nonce	N/A	N/A	✅	✅	✅
Correlation Value	N/A	N/A	N/A	❌	❌
Init Indicator	N/A	N/A	N/A	❌	❌
Final Indicator	N/A	N/A	N/A	❌	❌
RNG Parameter	N/A	N/A	N/A	✅	✅
Profile Information	N/A	N/A	N/A	✅	✅
Validation Information	N/A	N/A	N/A	✅	✅
Capability Information	N/A	N/A	N/A	✅	✅
Authenticated Encryption Additional Data	N/A	N/A	N/A	N/A	❌
Authenticated Encryption Tag	N/A	N/A	N/A	N/A	❌

Transparent Key Structures

Obiekt	v1.0	v1.1	v1.2	v1.3	v1.4
Symmetric Key	✅	✅	✅	✅	✅
DSA Private/Public Key	❌	❌	❌	❌	❌
RSA Private/Public Key	✅	✅	✅	✅	✅
DH Private/Public Key	❌	❌	❌	❌	❌
ECDSA Private/Public Key	✅	✅	✅	🚫	🚫
ECDH Private/Public Key	❌	❌	❌	🚫	🚫
ECMQV Private/Public	❌	❌	❌	🚫	🚫
EC Private/Public	N/A	N/A	N/A	✅	✅

Attributes

Atrybut	v1.0	v1.1	v1.2	v1.3	v1.4
Unique Identifier	✅	✅	✅	✅	✅
Name	✅	✅	✅	✅	✅
Object Type	✅	✅	✅	✅	✅
Cryptographic Algorithm	✅	✅	✅	✅	✅
Cryptographic Length	✅	✅	✅	✅	✅
Cryptographic Parameters	✅	✅	✅	✅	✅
Cryptographic Domain Parameters	✅	✅	✅	✅	✅
Certificate Type	✅	✅	✅	✅	✅
Certificate Identifier	✅	🚫	🚫	🚫	🚫
Certificate Subject	✅	🚫	🚫	🚫	🚫
Certificate Issuer	✅	🚫	🚫	🚫	🚫
Digest	✅	✅	✅	✅	✅
Operation Policy Name	✅	✅	✅	🚫	🚫
Cryptographic Usage Mask	✅	✅	✅	✅	✅
Lease Time	✅	✅	✅	✅	✅
Usage Limits	✅	✅	✅	✅	✅
State	✅	✅	✅	✅	✅
Initial Date	✅	✅	✅	✅	✅
Activation Date	✅	✅	✅	✅	✅
Process Start Date	✅	✅	✅	✅	✅
Protect Stop Date	✅	✅	✅	✅	✅
Deactivation Date	✅	✅	✅	✅	✅
Destroy Date	✅	✅	✅	✅	✅
Compromise Occurence Date	✅	✅	✅	✅	✅
Compromise Date	✅	✅	✅	✅	✅
Revocation Reason	✅	✅	✅	✅	✅
Archive Date	✅	✅	✅	✅	✅
Object Group	✅	✅	✅	✅	✅
Link	✅	✅	✅	✅	✅
Application Specific Information	✅	✅	✅	✅	✅
Contact Information	✅	✅	✅	✅	✅
Last Change Date	✅	✅	✅	✅	✅
Custom Attribute	✅	✅	✅	✅	✅
Certificate Length	N/A	✅	✅	✅	✅
X.509 Certificate Identifier	N/A	✅	✅	✅	✅
X.509 Certificate Subject	N/A	✅	✅	✅	✅
X.509 Certificate Issuer	N/A	✅	✅	✅	✅
Digital Signature Algorithm	N/A	✅	✅	✅	✅
Fresh	N/A	✅	✅	✅	✅
Alternative Name	N/A	N/A	✅	✅	✅
Key Value Present	N/A	N/A	✅	✅	✅
Key Value Location	N/A	N/A	✅	✅	✅
Original Creation Date	N/A	N/A	✅	✅	✅
Random Number Generator	N/A	N/A	N/A	✅	✅
PKCS#12 Friendly Name	N/A	N/A	N/A	N/A	✅
Description	N/A	N/A	N/A	N/A	✅
Comment	N/A	N/A	N/A	N/A	✅
Sensitive	N/A	N/A	N/A	N/A	✅
Always Sensitive	N/A	N/A	N/A	N/A	✅
Extractable	N/A	N/A	N/A	N/A	✅
Never Extractable	N/A	N/A	N/A	N/A	✅

Sprawdź również

Strona internetowa OASIS.

Dołącz do grona naszych użytkowników.

Czy ta strona była pomocna?