Per fare in modo che il servizio del provider di chiavi si connetta a un provider di chiavi, è necessario creare un provider di chiavi attendibile, quindi configurare una configurazione di attendibilità tra il cluster vSphere Trust Authority e il server chiavi (KMS). Per la maggior parte dei server chiavi conformi a KMIP, questa configurazione implica l'impostazione di certificati client e server.
Quello che in precedenza era denominato cluster KMS in vSphere 6.7 è ora denominato provider di chiavi in vSphere 7.0 e versioni successive. Per ulteriori informazioni sui provider di chiavi, vedere Che cos'è il servizio del provider di chiavi vSphere Trust Authority?.
In un ambiente di produzione, è possibile creare più provider di chiavi. La creazione di più provider di chiavi consente di gestire la modalità di gestione della distribuzione in base all'organizzazione dell'azienda, a diversi clienti o business unit e così via.
Se si seguono queste attività nell'ordine, si è comunque connessi a vCenter Server del cluster vSphere Trust Authority.
Prerequisiti
- Abilitazione dell'amministratore di Trust Authority.
- Abilitazione dello stato di Trust Authority.
- Raccolta di informazioni sugli host ESXi e il vCenter Server da considerare attendibili.
- Importazione delle informazioni sugli Host attendibili nel Cluster Trust Authority.
- Creare e attivare una chiave sul server chiavi in modo che diventi la chiave primaria per il provider di chiavi attendibile. Questa chiave esegue il wrapping di altri segreti e chiavi utilizzati da questo provider di chiavi attendibile. Per ulteriori informazioni sulla creazione delle chiavi, vedere la documentazione del fornitore del server di chiavi.
Procedura
risultati
Viene creato il provider di chiavi attendibile e viene stabilita una relazione di attendibilità con il server chiavi.
Esempio: Creazione del provider di chiavi nel cluster Trust Authority
In questo esempio viene illustrato come utilizzare PowerCLI per creare il provider di chiavi attendibile nel cluster Trust Authority. Si presuppone che l'utente sia connesso a vCenter Server del cluster Trust Authority come amministratore. Utilizza inoltre un certificato firmato dal fornitore del server delle chiavi dopo aver inviato una richiesta CSR al fornitore.
La tabella seguente include i componenti e i valori di esempio utilizzati.
| Componente | Valore |
|---|---|
Variabile $vTA |
Get-TrustAuthorityCluster 'vTA Cluster' |
Variabile $kp |
Get-TrustAuthorityKeyProvider -TrustAuthorityCluster $vTA |
Variabile $cert |
Get-TrustAuthorityKeyProviderServerCertificate -KeyProviderServer $kp.KeyProviderServers |
| vCenter Server per il cluster Trust Authority | 192.168.210.22 |
| Server chiavi conforme a KMIP | 192.168.110.91 |
| Utente del server di chiavi conforme a KMIP | vcqekmip |
| Nome cluster Trust Authority | Cluster vTA |
| Amministratore di Trust Authority | [email protected] |
PS C:\Users\Administrator.CORP> Disconnect-VIServer -server * -Confirm:$false PS C:\Users\Administrator.CORP> Connect-VIServer -server 192.168.210.22 -User [email protected] -Password 'VMware1!' PS C:\Users\Administrator.CORP> New-TrustAuthorityKeyProvider -TrustAuthorityCluster $vTA -PrimaryKeyId 8 -Name clkp -KmipServerAddress 192.168.110.91 Name PrimaryKeyId Type TrustAuthorityClusterId ---- ------------ ---- ----------------------- clkp 8 KMIP TrustAuthorityCluster-domain-c8 PS C:\Users\Administrator.CORP> New-TrustAuthorityKeyProviderClientCertificate -KeyProvider $kp <Export the client certificate when you need to use it.> PS C:\Users\Administrator.CORP> Export-TrustAuthorityKeyProviderClientCertificate -KeyProvider $kp -FilePath clientcert.pem PS C:\Users\Administrator.CORP> $kp = Get-TrustAuthorityKeyProvider -TrustAuthorityCluster $vTA PS C:\Users\Administrator.CORP> Get-TrustAuthorityKeyProviderServerCertificate -KeyProviderServer $kp.KeyProviderServers Certificate Trusted KeyProviderServerId KeyProviderId ----------- ------- ------------------- ------------- [Subject]... False domain-c8-clkp:192.16.... domain-c8-clkp PS C:\WINDOWS\system32> $cert.Certificate.ToString() [Subject] E=<domain>, CN=<IP address>, OU=VMware Engineering, O=VMware, L=Palo Alto, S=California, C=US [Issuer] O=<host>.eng.vmware.com, C=US, DC=local, DC=vsphere, CN=CA [Serial Number] 00CEF192BBF9D80C9F [Not Before] 8/10/2015 4:16:12 PM [Not After] 8/9/2020 4:16:12 PM [Thumbprint] C44068C124C057A3D07F51DCF18720E963604B70 PS C:\Users\Administrator.CORP> $cert = Get-TrustAuthorityKeyProviderServerCertificate -KeyProviderServer $kp.KeyProviderServers PS C:\Users\Administrator.CORP> Add-TrustAuthorityKeyProviderServerCertificate -ServerCertificate $cert Certificate Trusted KeyProviderServerId KeyProviderId ----------- ------- ------------------- ------------- [Subject]... True domain-c8-clkp PS C:\Users\Administrator.CORP> $kp = Get-TrustAuthorityKeyProvider -TrustAuthorityCluster $vTA PS C:\Users\Administrator.CORP> $kp.Status KeyProviderId Health HealthDetails ServerStatus ------------- ------ ------------- ------------ domain-c8-kp4 Ok {} {192.168.210.22}
Operazioni successive
Procedere con Esportazione delle informazioni sul Cluster Trust Authority.
