Como ligar um produto compatível utilizando o protocolo KMIP

Como comunicar com o KMS OVHcloud através do protocolo KMIP

Objetivo

O objetivo deste guia é apresentar a utilização do protocolo KMIP, bem como as diferentes operações e tipos suportados pelo KMS OVHcloud.

Requisitos

Dispor de uma conta de cliente OVHcloud.
Ter encomendado um KMS OVHcloud.
Ter criado um certificado de acesso e configurado uma política IAM para o acesso KMIP. O KMIP suporta apenas a autenticação por certificado — consulte Métodos de autenticação OKMS.

Instruções

Descrição

O protocolo KMIP (Key Management Interoperability Protocol) é um protocolo concebido para uniformizar as comunicações com um KMS. Assim, qualquer produto compatível com o KMIP (como o VMware vSphere, Veeam, Nutanix, etc.) pode interligar-se nativamente com um KMS compatível com KMIP como o KMS OVHcloud, quer estes produtos estejam alojados na OVHcloud ou não.

Isto permite assegurar uma ligação facilitada, bem como a reversibilidade desta configuração.

Ligação de um produto compatível com KMIP ao KMS OVHcloud

O procedimento de configuração varia consoante o produto a integrar, mas não requer qualquer outra configuração prévia no KMS OVHcloud além de gerar um certificado de acesso e conceder os direitos IAM KMIP necessários. O KMIP não suporta a autenticação por PAT ou conta de serviço. Os editores de software fornecem geralmente guias dedicados a este fim.

A título de exemplo, os seguintes produtos foram validados para utilização com o KMS OVHcloud:

Nutanix
VMware
MongoDB
OpenBao
Barbican - para uma utilização On-Premise
NetApp - para uma utilização On-Premise

Utilização direta

Também é possível utilizar diretamente as API KMIP.

A autenticação neste protocolo é efetuada com um certificado de cliente, da mesma forma que na API REST. É, portanto, necessário abrir um fluxo TLS fornecendo um certificado de acesso válido.

A partir daí, é possível trocar mensagens KMIP tal como definidas na norma. Consoante o seu stack tecnológico, recomendamos bibliotecas como:

PyKMIP para python: https://github.com/OpenKMIP/PyKMIP.
Libkmip para C: https://github.com/OpenKMIP/libkmip.

Também pode utilizar o nosso SDK para Go: https://github.com/ovh/kmip-go

IAM Rights

As operações KMIP com utilizadores IAM requerem autorizações específicas descritas abaixo:

Operação KMIP	Descrição	Ação
Create	Criar um objeto gerido	okms:kmip:create
Get	Listar um objeto gerido	okms:kmip:get
Register	Registar um objeto gerido	okms:kmip:register
Activate	Ativar um objeto gerido	okms:kmip:activate
Revoke	Revogar um objeto gerido	okms:kmip:revoke
Destroy	Destruir um objeto gerido	okms:kmip:destroy
CreateKeyPair	Criar um par de chaves	okms:kmip:createKeyPair
AddAttribute	Adicionar um atributo a um objeto gerido	okms:kmip:addAttribute
GetAttributes	Listar os atributos de um objeto gerido	okms:kmip:getAttributes
GetAttributeList	Listar os nomes dos atributos	okms:kmip:getAttributeList
ModifyAttribute	Modificar o atributo de um objeto gerido	okms:kmip:modifyAttribute
DeleteAttribute	Eliminar o atributo de um objeto gerido	okms:kmip:deleteAttribute
Locate	Localizar um objeto gerido	okms:kmip:locate
Archive	Arquivar um objeto gerido	okms:kmip:archive
Recover	Restaurar um objeto gerido	okms:kmip:recover
ReKey	Regenerar uma chave	okms:kmip:rekey
Re-key Key Pair	Regenerar um par de chaves	okms:kmip:rekeyKeyPair
ObtainLease	Obter o lease de um objeto gerido	okms:kmip:obtainLease
GetUsageAllocation	Listar a alocação de utilização de um objeto gerido	okms:kmip:getUsageAllocation
Encrypt	Cifrar com um objeto gerido	okms:kmip:encrypt
Decrypt	Decifrar com um objeto gerido	okms:kmip:decrypt
Sign	Assinar com um objeto gerido	okms:kmip:sign
Signature Verify	Verificar com um objeto gerido	okms:kmip:signatureVerify

Cobertura KMIP

O KMS OVHcloud cobre um subconjunto das versões 1.0 a 1.4 da norma KMIP. Os detalhes da cobertura estão disponíveis abaixo.

Legenda:

N/A : Não aplicável

✅ : Totalmente compatível

🚧 : Parcialmente compatível

❌ : Não implementado

🚫 : Obsoleto

Messages

	v1.0	v1.1	v1.2	v1.3	v1.4
Request Message	✅	✅	✅	✅	✅
Response Message	✅	✅	✅	✅	✅

Operations

Operação	v1.0	v1.1	v1.2	v1.3	v1.4
Create	✅	✅	✅	✅	✅
Create Key Pair	✅	✅	✅	✅	✅
Register	✅	✅	✅	✅	✅
Re-key	✅	✅	✅	✅	✅
DeriveKey	❌	❌	❌	❌	❌
Certify	❌	❌	❌	❌	❌
Re-certify	❌	❌	❌	❌	❌
Locate	✅	✅	✅	✅	✅
Check	❌	❌	❌	❌	❌
Get	✅	✅	✅	✅	✅
Get Attributes	✅	✅	✅	✅	✅
Get Attribute List	✅	✅	✅	✅	✅
Add Attribute	✅	✅	✅	✅	✅
Modify Attribute	✅	✅	✅	✅	✅
Delete Attribute	✅	✅	✅	✅	✅
Obtain Lease	✅	✅	✅	✅	✅
Get Usage Allocation	✅	✅	✅	✅	✅
Activate	✅	✅	✅	✅	✅
Revoke	✅	✅	✅	✅	✅
Destroy	✅	✅	✅	✅	✅
Archive	✅	✅	✅	✅	✅
Recover	✅	✅	✅	✅	✅
Validate	❌	❌	❌	❌	❌
Query	✅	✅	✅	✅	✅
Cancel	❌	❌	❌	❌	❌
Poll	❌	❌	❌	❌	❌
Notify	❌	❌	❌	❌	❌
Put	❌	❌	❌	❌	❌
Discover	N/A	✅	✅	✅	✅
Re-key Key Pair	N/A	✅	✅	✅	✅
Encrypt	N/A	N/A	✅	✅	✅
Decrypt	N/A	N/A	✅	✅	✅
Sign	N/A	N/A	✅	✅	✅
Signature Verify	N/A	N/A	✅	✅	✅
MAC	N/A	N/A	❌	❌	❌
MAC Verify	N/A	N/A	❌	❌	❌
RNG Retrieve	N/A	N/A	❌	❌	❌
RNG Seed	N/A	N/A	❌	❌	❌
Hash	N/A	N/A	❌	❌	❌
Create Split Key	N/A	N/A	❌	❌	❌
Join Split Key	N/A	N/A	❌	❌	❌
Export	N/A	N/A	N/A	N/A	❌
Import	N/A	N/A	N/A	N/A	❌

Managed Objects

Objeto	v1.0	v1.1	v1.2	v1.3	v1.4
Certificate	✅	✅	✅	✅	✅
Symmetric Key	✅	✅	✅	✅	✅
Public Key	✅	✅	✅	✅	✅
Private Key	✅	✅	✅	✅	✅
Split Key	✅	✅	✅	✅	✅
Template	✅	✅	✅	🚫	🚫
Secret Data	✅	✅	✅	✅	✅
Opaque Object	✅	✅	✅	✅	✅
PGP Key	N/A	N/A	✅	✅	✅

Base Objects

Objeto	v1.0	v1.1	v1.2	v1.3	v1.4
Attribute	✅	✅	✅	✅	✅
Credential	✅	✅	✅	✅	✅
Key Block	✅	✅	✅	✅	✅
Key Value	✅	✅	✅	✅	✅
Key Wrapping Data	✅	✅	✅	✅	✅
Key Wrapping Specification	✅	✅	✅	✅	✅
Transparent Key Structures	🚧	🚧	🚧	🚧	🚧
Template-Attribute Structures	✅	✅	✅	✅	✅
Extension Information	N/A	✅	✅	✅	✅
Data	N/A	N/A	❌	❌	❌
Data Length	N/A	N/A	❌	❌	❌
Signature Data	N/A	N/A	❌	❌	❌
MAC Data	N/A	N/A	❌	❌	❌
Nonce	N/A	N/A	✅	✅	✅
Correlation Value	N/A	N/A	N/A	❌	❌
Init Indicator	N/A	N/A	N/A	❌	❌
Final Indicator	N/A	N/A	N/A	❌	❌
RNG Parameter	N/A	N/A	N/A	✅	✅
Profile Information	N/A	N/A	N/A	✅	✅
Validation Information	N/A	N/A	N/A	✅	✅
Capability Information	N/A	N/A	N/A	✅	✅
Authenticated Encryption Additional Data	N/A	N/A	N/A	N/A	❌
Authenticated Encryption Tag	N/A	N/A	N/A	N/A	❌

Transparent Key Structures

Objeto	v1.0	v1.1	v1.2	v1.3	v1.4
Symmetric Key	✅	✅	✅	✅	✅
DSA Private/Public Key	❌	❌	❌	❌	❌
RSA Private/Public Key	✅	✅	✅	✅	✅
DH Private/Public Key	❌	❌	❌	❌	❌
ECDSA Private/Public Key	✅	✅	✅	🚫	🚫
ECDH Private/Public Key	❌	❌	❌	🚫	🚫
ECMQV Private/Public	❌	❌	❌	🚫	🚫
EC Private/Public	N/A	N/A	N/A	✅	✅

Attributes

Atributo	v1.0	v1.1	v1.2	v1.3	v1.4
Unique Identifier	✅	✅	✅	✅	✅
Name	✅	✅	✅	✅	✅
Object Type	✅	✅	✅	✅	✅
Cryptographic Algorithm	✅	✅	✅	✅	✅
Cryptographic Length	✅	✅	✅	✅	✅
Cryptographic Parameters	✅	✅	✅	✅	✅
Cryptographic Domain Parameters	✅	✅	✅	✅	✅
Certificate Type	✅	✅	✅	✅	✅
Certificate Identifier	✅	🚫	🚫	🚫	🚫
Certificate Subject	✅	🚫	🚫	🚫	🚫
Certificate Issuer	✅	🚫	🚫	🚫	🚫
Digest	✅	✅	✅	✅	✅
Operation Policy Name	✅	✅	✅	🚫	🚫
Cryptographic Usage Mask	✅	✅	✅	✅	✅
Lease Time	✅	✅	✅	✅	✅
Usage Limits	✅	✅	✅	✅	✅
State	✅	✅	✅	✅	✅
Initial Date	✅	✅	✅	✅	✅
Activation Date	✅	✅	✅	✅	✅
Process Start Date	✅	✅	✅	✅	✅
Protect Stop Date	✅	✅	✅	✅	✅
Deactivation Date	✅	✅	✅	✅	✅
Destroy Date	✅	✅	✅	✅	✅
Compromise Occurence Date	✅	✅	✅	✅	✅
Compromise Date	✅	✅	✅	✅	✅
Revocation Reason	✅	✅	✅	✅	✅
Archive Date	✅	✅	✅	✅	✅
Object Group	✅	✅	✅	✅	✅
Link	✅	✅	✅	✅	✅
Application Specific Information	✅	✅	✅	✅	✅
Contact Information	✅	✅	✅	✅	✅
Last Change Date	✅	✅	✅	✅	✅
Custom Attribute	✅	✅	✅	✅	✅
Certificate Length	N/A	✅	✅	✅	✅
X.509 Certificate Identifier	N/A	✅	✅	✅	✅
X.509 Certificate Subject	N/A	✅	✅	✅	✅
X.509 Certificate Issuer	N/A	✅	✅	✅	✅
Digital Signature Algorithm	N/A	✅	✅	✅	✅
Fresh	N/A	✅	✅	✅	✅
Alternative Name	N/A	N/A	✅	✅	✅
Key Value Present	N/A	N/A	✅	✅	✅
Key Value Location	N/A	N/A	✅	✅	✅
Original Creation Date	N/A	N/A	✅	✅	✅
Random Number Generator	N/A	N/A	N/A	✅	✅
PKCS#12 Friendly Name	N/A	N/A	N/A	N/A	✅
Description	N/A	N/A	N/A	N/A	✅
Comment	N/A	N/A	N/A	N/A	✅
Sensitive	N/A	N/A	N/A	N/A	✅
Always Sensitive	N/A	N/A	N/A	N/A	✅
Extractable	N/A	N/A	N/A	N/A	✅
Never Extractable	N/A	N/A	N/A	N/A	✅

Quer saber mais?

O site da OASIS.

Fale com a nossa comunidade de utilizadores.

Esta página foi útil?