Oracle OCI Vault (HSM) Integrationsleitfaden

Übersicht

Dieser Leitfaden konfiguriert Oracle Cloud Infrastructure (OCI) Vault so, dass der CBOM Secure Discover_HSM-Sensor HSM-geschützte Schlüssel über die OCI REST API im Nur-Lese-Modus ermitteln kann:

  • Master-Verschlüsselungsschlüssel (MEKs) – HSM-geschützte AES-, RSA- und ECDSA-Schlüssel in virtuellen privaten Tresoren
  • Wichtige Versionen – aktive und historische Versionen, einschließlich Rotationshistorie
  • Wichtige Metadaten – Algorithmus, Länge, Schutzmodus (HSM vs. SOFTWARE), Lebenszyklusstatus, Zeitstempel
  • Vault-Metadaten – Vault-Typ, Kompartiment und Anzahl der Schlüssel

Der Sensor arbeitet mit Leseberechtigungen (Inspektion) gemäß IAM. Es werden niemals Schlüsseldaten exportiert oder entschlüsselt.

Voraussetzungen:

  1. Zugriff auf die OCI-Konsole mit Administratorrechten (oder gleichwertigen IAM-Berechtigungen) zum Erstellen von Benutzern, Gruppen und Richtlinien.
  2. Ein Mandant, der eine Region abonniert hat, die OCI Vault mit Virtual Private Vault (HSM)-Schutz unterstützt.
  3. Die OCI-CLI wird lokal installiert, wenn CLI-Schritte verwendet werden.
  4. Ihre Mieter-OCID (Profil > Mieter).
  5. Die CBOM-Plattform wurde mit Zugriff auf die Sensorkonfigurationsschnittstelle bereitgestellt.

Schritt-für-Schritt-Anleitung

Schritt 1: Bestätigen Sie einen virtuellen privaten Tresor (HSM)

  1. Öffnen Sie in der OCI-Konsole Security > Vault und wählen Sie das richtige Compartment aus.
  2. Klicken Sie auf „Tresor erstellen“ (oder einen vorhandenen wiederverwenden).
  3. Geben Sie einen Namen an (z. B. cbom-discovery-vault) und wählen Sie als Tresortyp „Virtual Private Vault“ (die HSM-gestützte Option; nicht Standard).
  4. Erstellen, auf den Status „Aktiv“ warten und die Vault-OCID notieren.

Hinweis: Für virtuelle private Tresore fallen zusätzliche Kosten an. Falls bereits ein solcher Tresor existiert, richten Sie den Sensor auf das entsprechende Fach dieses Tresors, anstatt einen neuen zu erstellen.

Schritt 2: Erstellen einer dedizierten IAM-Gruppe und eines Benutzers

# Konsole: Identität & Sicherheit > Gruppen > Gruppe erstellen Name: cbom-readonly-group Beschreibung: Schreibgeschützte Gruppe für die CBOM-Kryptografie-Asset-Erkennung # Konsole: Identität & Sicherheit > Benutzer > Benutzer erstellen Name: cbom-sensor-user Beschreibung: Dienstkonto für den CBOM-HSM-Sensor – schreibgeschützter Vault-Zugriff # Anschließend: cbom-sensor-user zur Gruppe cbom-readonly-group hinzufügen

Schritt 3: Schreiben Sie eine IAM-Richtlinie nach dem Prinzip der minimalen Berechtigungen.

Erstellen Sie die Richtlinie cbom-vault-readonly-policy mit Geltungsbereich für das Compartment des Vaults und mit Anweisungen, die nur die Inspektion ermöglichen:

Erlauben Sie der Gruppe cbom-readonly-group, Tresore im Kompartiment zu untersuchen. Erlauben Sie der Gruppe cbom-readonly-group, die Schlüssel im Kompartiment zu untersuchen. Erlauben Sie der Gruppe cbom-readonly-group, die Schlüsselversionen im Kompartiment zu überprüfen.

Hinweis: Listen und Metadaten von Ressourcen werden geprüft (nicht gelesen), ohne auf wichtige Informationen zuzugreifen – genau das, was der Sensor benötigt. In Mandantenumgebungen nur verwenden, wenn eine kompartimentübergreifende Erkennung erforderlich ist.

Schritt 4: Generieren eines API-Signaturschlüssels

mkdir -p ~/.oci/cbom openssl genrsa -out ~/.oci/cbom/cbom_api_key.pem 2048 chmod 600 ~/.oci/cbom/cbom_api_key.pem openssl rsa -pubout -in ~/.oci/cbom/cbom_api_key.pem -out ~/.oci/cbom/cbom_api_key_public.pem

Öffnen Sie in der Konsole cbom-sensor-user > API-Schlüssel > API-Schlüssel hinzufügen, fügen Sie den öffentlichen Schlüssel ein und notieren Sie sich die Benutzer-OCID, die Mandanten-OCID, die Region und den Fingerabdruck aus der Konfigurationsvorschau. Notieren Sie sich außerdem die Compartment-OCID.

Schritt 5: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensoren: - Name: Discover_HSM Typ: oci_vault aktiviert: true Verbindung: Mandanten-O-ID: "ocid1.tenancy.oc1..aaaa..." Benutzer-O-ID: "ocid1.user.oc1..aaaa..." Region: "us-ashburn-1" Fingerabdruck: "a1:b2:c3:d4:e5:f6:..." Pfad zum privaten Schlüssel: "/etc/cbom/keys/cbom_api_key.pem" Bereich: Kompartiment-O-ID: "ocid1.compartment.oc1..aaaa..." Unterkompartimente einschließen: true Tresortypen: [VIRTUAL_PRIVATE] Schlüsselstatus: [AKTIVIERT, DEAKTIVIERT, LÖSCHUNG AUSSTEHEND] Erkennung: Schlüsselversionen einschließen: true Schlüsselmetadaten einschließen: true Rotationsverlauf sammeln: true Zeitplan: Intervallstunden: 24 Startzeit: "02:00"

Der Pfad zum privaten Schlüssel darf nur vom CBOM-Dienstkonto lesbar sein (chmod 600, chown cbom:cbom).

Schritt 6: Validieren

# CBOM-Benutzeroberfläche: Sensoren > Discover_HSM > Jetzt ausführen, dann Protokolle prüfen auf: # Als Benutzer authentifiziert ... / N Tresore vom Typ VIRTUAL_PRIVATE gefunden / N Schlüssel gefunden # Dann Inventar > Kryptografische Assets, Filter: Quelle: oci_vault

Prüfen Sie, ob die Schlüssel den Schutzmodus HSM und die erwarteten Algorithmen anzeigen, vergleichen Sie die Schlüsselanzahl mit der OCI-Konsole und vergewissern Sie sich, dass keine 401/403-Fehler auftreten.

Häufige Fehler

Autorisierung fehlgeschlagen oder angeforderte Ressource nicht gefunden (404)

Ursache: OCI verwechselt 403/404 – dem Benutzer fehlen die Berechtigungen für die Ressource, oder die Ressource existiert nicht im angegebenen Compartment.

Lösung: Bestätigen Sie die compartment_ocid, vergewissern Sie sich, dass die Richtlinie inspect vaults/keys/key-versions enthält, und stellen Sie sicher, dass cbom-sensor-user zur Gruppe cbom-readonly-group gehört.

Fehler beim Systemstart (401): Nicht authentifiziert

Ursache: Der Fingerabdruck in der YAML-Datei stimmt nicht mit dem hochgeladenen öffentlichen Schlüssel überein, oder die private Schlüsseldatei ist nicht zugänglich.

Lösung: Vergleichen Sie den Fingerabdruck mit Benutzer > API-Schlüssel, stellen Sie sicher, dass private_key_path existiert und vom Dienstkonto lesbar ist, und laden Sie den Schlüssel erneut hoch, falls er neu generiert wurde.

Trotz vorhandener Tresore in der Konsole wurden keine Tresore gefunden.

Ursache: Der Filter vault_types schließt den tatsächlichen Vault-Typ aus, oder der Vault befindet sich in einem untergeordneten Compartment mit include_subcompartments false.

Lösung: Passen Sie vault_types an den tatsächlichen Typ des Vaults (VIRTUAL_PRIVATE oder DEFAULT) an und setzen Sie include_subcompartments auf true.

Sicherheitsempfehlungen

  • Beschränken Sie den privaten RSA-Schlüssel auf das CBOM-Dienstkonto (chmod 600, chown cbom:cbom).
  • Verwenden Sie einen dedizierten cbom-sensor-Benutzer – verwenden Sie niemals ein Administrator- oder Entwicklerkonto wieder.
  • Die IAM-Richtlinie sollte auf das kleinste zusammenhängende Kompartiment und nicht auf den gesamten Mandanten beschränkt werden.
  • Rotieren Sie den API-Signaturschlüssel mindestens einmal jährlich (OCI-Schlüssel laufen nicht automatisch ab) und aktualisieren Sie sowohl IAM als auch den Host.
  • Aktivieren Sie OCI Audit für den Benutzer und einen Alarm bei jedem Aufruf, der über Inspektionsvorgänge hinausgeht; vermeiden Sie die Instanz-Principal-Authentifizierung in gemeinsam genutzten Umgebungen.

Fazit

Mit einem bestätigten Virtual Private Vault, einem dedizierten IAM-Benutzer und einer Gruppe mit reiner Inspektionsberechtigung, einem API-Signaturschlüssel und dem konfigurierten Discover_HSM-Sensor führt CBOM Secure ein kontinuierliches, schreibgeschütztes Inventar aller HSM-geschützten Schlüssel und Versionen im OCI Vault – und ermöglicht so kryptografische Transparenz, Compliance-Berichte und die Bewertung von Algorithmenrisiken in der gesamten Oracle Cloud.