Fortanix SDKMS

本教程展示如何设置一个使用KES服务器Fortanix SDKMS作为持久且安全的密钥存储：

1. 创建应用程序

   注册一个新的应用程序，该应用程序可以对 Fortanix SDKMS 实例进行身份验证和通信。

   • 前往 AppsFortanix SDKMS UI 中的 section。

     

   • 给应用程序起一个描述性的名称，例如KES

   • 选择REST API随着集成

   • 选择API Key作为身份验证方法

     

2. 分配组

   分配的组作为应用程序的默认组。 新创建的密钥将属于此组，除非您在 KES 配置文件中指定显式的组 ID。

   

3. 创建应用程序并复制应用程序的API密钥。

   此密钥是 KES 与 Fortanix SDKMS 通信时使用的访问凭证。

   

KES服务器需要一个TLS私钥和证书。

KES服务器是默认安全并且只能通过 TLS 运行。 本教程为简化起见使用自签名证书。

1. 为 KES 服务器生成 TLS 私钥和证书

   以下命令生成一个新的TLS私钥server.key以及一个自签名的 X.509 证书server.cert这是为该IP地址签发的127.0.0.1和 DNS 名称localhost（作为 SAN）。 根据您的设置自定义命令。

   kes identity new --server --key server.key --cert server.cert --ip "127.0.0.1" --dns localhost
   

   任何其他用于 X.509 证书生成的工具也同样适用。 例如，您可以使用openssl:

   openssl ecparam -genkey -name prime256v1 | openssl ec -out server.key
   
   openssl req -new -x509 -days 30 -key server.key -out server.cert \
       -subj "/C=/ST=/L=/O=/CN=localhost" -addext "subjectAltName = IP:127.0.0.1"
   

2. 生成私钥和证书

   kes identity new --key=app.key --cert=app.cert app
   

   你可以计算app身份随时验证。

   kes identity of app.cert
   

3. 创建配置文件

   创建配置文件命名server-config.yml:

   address: 0.0.0.0:7373
   
   admin:
     identity: disabled  # We disable the admin identity since we don't need it in this guide 
   
   tls:
     key : server.key
     cert: server.cert
   
   policy:
     my-app:
        allow:
        - /v1/key/create/my-app*
        - /v1/key/generate/my-app*
        - /v1/key/decrypt/my-app*    
       identities:
       - ${APP_IDENTITY}
   
    keystore:
      fortanix:
        sdkms:
          endpoint: "<your-fortanix-sdkms-endpoint>"    # Use your Fortanix instance endpoint.
          credentials:
            key: "<your-api-key>" # Insert the application's API key      
   

4. 在新窗口/标签页中启动 KES 服务器：

   export APP_IDENTITY=$(kes identity of app.cert)
   
   kes server --config=server-config.yml --auth=off
   

   该命令使用--auth=off因为我们的root.cert和app.cert证书是自签名的。

5. 在另一个标签页中，连接到服务器

   export KES_CLIENT_CERT=app.cert
   export KES_CLIENT_KEY=app.key
   kes key create -k my-app-key
   

   -k这是必需的，因为我们使用了自签名证书。

6. 从先前创建的密钥派生并解密数据密钥my-app-key:

   kes key derive -k my-app-key
   {
      plaintext : ...
      ciphertext: ...
   }
   

   kes key decrypt -k my-app-key <base64-ciphertext>
   

MinIO Server 需要 KES 来启用服务器端数据加密。

查看MinIO KES 操作指南有关将新的 KES 服务器与 MinIO 服务器配合使用所需的额外步骤。

以下部分介绍了使用 Fortanix SDKMS 作为根 KMS 存储外部密钥的密钥加密服务（KES）配置设置，例如用于 MinIO 服务器端加密的密钥。

address: 0.0.0.0:7373
root: ${ROOT_IDENTITY}

tls:
  key: kes-server.key
  cert: kes-server.cert

api:
  /v1/ready:
    skip_auth: false
    timeout:   15s

policy:
  minio-server:
    allow:
    - /v1/key/create/*
    - /v1/key/generate/*
    - /v1/key/decrypt/*
    - /v1/key/bulk/decrypt
    - /v1/key/list/*
    - /v1/status
    - /v1/metrics
    - /v1/log/audit
    - /v1/log/error
    deny:
    - /v1/key/generate/my-app-internal*
    - /v1/key/decrypt/my-app-internal*
    identities:
    - ${MINIO_IDENTITY}

    my-app:
    allow:
    - /v1/key/create/my-app*
    - /v1/key/generate/my-app*
    - /v1/key/decrypt/my-app*
    deny:
    - /v1/key/generate/my-app-internal*
    - /v1/key/decrypt/my-app-internal*
    identities:
    - df7281ca3fed4ef7d06297eb7cb9d590a4edc863b4425f4762bb2afaebfd3258
    - c0ecd5962eaf937422268b80a93dde4786dc9783fb2480ddea0f3e5fe471a731

keys:
  - name: "minio-encryption-key-alpha"
  - name: "minio-encryption-key-baker"
  - name: "minio-encryption-key-charlie"

cache:
  expiry:
    any: 5m0s
    unused: 20s
    offline: 0s

log:

  # Log error events to STDERR. Valid values are "on" or "off". 
  # Default is "on".
  error: on

  # Log audit events to STDOUT. Valid values are "on" and "off". 
  # Default is "off".
  audit: off

keystore:
  fortanix:
    # https://www.fortanix.com/products/data-security-manager/key-management-service
    sdkms: 
      endpoint: "" 
      group_id: "" 
      credentials: 
        key: ""    
      tls:         
        ca: ""