Guía de integración de Oracle OCI Vault (HSM)

Resumen

Esta guía configura Oracle Cloud Infrastructure (OCI) Vault para que el sensor CBOM Secure Discover_HSM pueda descubrir claves protegidas por HSM a través de la API REST de OCI, en modo de solo lectura:

  • Claves maestras de cifrado (MEK): claves AES, RSA y ECDSA protegidas por HSM en bóvedas privadas virtuales.
  • Versiones clave: versiones activas e históricas, incluido el historial de rotación.
  • Metadatos clave: algoritmo, longitud, modo de protección (HSM frente a SOFTWARE), estado del ciclo de vida, marcas de tiempo.
  • Metadatos de la bóveda: tipo de bóveda, compartimento y número de llaves.

El sensor funciona con permisos IAM de solo lectura (inspección). Nunca se exporta ni se descifra ningún material clave.

Requisitos previos

  1. Acceso a la consola de OCI con privilegios de administrador (o IAM equivalente) para crear usuarios, grupos y políticas.
  2. Un arrendatario suscrito a una región que admite OCI Vault con protección de bóveda privada virtual (HSM).
  3. La interfaz de línea de comandos de OCI se instala localmente si se utilizan los pasos de la interfaz de línea de comandos.
  4. Su ID de arrendamiento (Perfil > Arrendamiento).
  5. La plataforma CBOM se desplegó con acceso a la interfaz de configuración del sensor.

Guía paso por paso

Paso 1: Confirmar una bóveda privada virtual (HSM)

  1. En la consola de OCI, abra Seguridad > Bóveda y seleccione el compartimento correcto.
  2. Haz clic en Crear bóveda (o reutiliza una existente).
  3. Establezca un nombre (por ejemplo, cbom-discovery-vault) y el tipo de bóveda = Bóveda privada virtual (la opción respaldada por HSM; no la predeterminada).
  4. Cree la imagen, espere a que cambie a estado Activo y anote el OCID de la bóveda.

Nota: La bóveda privada virtual conlleva un coste adicional. Si ya existe una, apunte el sensor al compartimento de esa bóveda en lugar de crear una nueva.

Paso 2: Crear un grupo y un usuario de IAM dedicados.

# Consola: Identidad y seguridad > Grupos > Crear grupo Nombre: cbom-readonly-group Descripción: Grupo de solo lectura para el descubrimiento de activos criptográficos de CBOM # Consola: Identidad y seguridad > Usuarios > Crear usuario Nombre: cbom-sensor-user Descripción: Cuenta de servicio para el sensor HSM de CBOM: acceso de solo lectura a la bóveda # Luego: agregar cbom-sensor-user a cbom-readonly-group

Paso 3: Redactar una política de IAM de privilegios mínimos.

Cree la política cbom-vault-readonly-policy con alcance al compartimento del almacén y con instrucciones de solo inspección:

Permitir que el grupo cbom-readonly-group inspeccione las bóvedas en el compartimento Permitir que el grupo cbom-readonly-group inspeccione las claves en el compartimento Permitir que el grupo cbom-readonly-group inspeccione las versiones de clave en el compartimento

Nota: la función de inspección (no de lectura) muestra los metadatos de los recursos sin acceder al material clave, justo lo que necesita el sensor. Úsela en el entorno de tenencia solo si se requiere la detección entre compartimentos.

Paso 4: Generar una clave de firma de API.

mkdir -p ~/.oci/cbom openssl genrsa -out ~/.oci/cbom/cbom_api_key.pem 2048 chmod 600 ~/.oci/cbom/cbom_api_key.pem openssl rsa -pubout -in ~/.oci/cbom/cbom_api_key.pem -out ~/.oci/cbom/cbom_api_key_public.pem

En la consola, abra cbom-sensor-user > Claves API > Agregar clave API, pegue la clave pública y registre el OCID del usuario, el OCID del arrendamiento, la región y la huella digital de la vista previa de la configuración. Anote también el OCID del compartimento.

Paso 5: Configurar el sensor de seguridad CBOM

sensores: - nombre: Discover_HSM tipo: oci_vault habilitado: verdadero conexión: tenancy_ocid: "ocid1.tenancy.oc1..aaaa..." user_ocid: "ocid1.user.oc1..aaaa..." región: "us-ashburn-1" huella digital: "a1:b2:c3:d4:e5:f6:..." ruta_clave_privada: "/etc/cbom/keys/cbom_api_key.pem" ámbito: compartment_ocid: "ocid1.compartment.oc1..aaaa..." incluir_subcompartimentos: verdadero tipos_de_bóveda: [VIRTUAL_PRIVATE] estados_de_clave: [HABILITADO, DESHABILITADO, PENDIENTE_DELETE] descubrimiento: incluir_versiones_de_clave: verdadero incluir_metadatos_de_clave: verdadero recopilar_historial_de_rotación: verdadero programación: intervalo_horas: 24 hora_de_inicio: "02:00"

La ruta de la clave privada debe ser legible únicamente por la cuenta de servicio CBOM (chmod 600, chown cbom:cbom).

Paso 6: Validar

# Interfaz de usuario de CBOM: Sensores > Discover_HSM > Ejecutar ahora, luego revise los registros para: # Autenticado como usuario ... / Se encontraron N bóvedas de tipo VIRTUAL_PRIVATE / Se descubrieron N claves # Luego Inventario > Activos criptográficos, filtre Origen: oci_vault

Confirme que las claves muestren el modo de protección HSM y los algoritmos esperados, verifique el recuento de claves con la consola OCI y compruebe que no aparezcan errores 401/403.

Errores comunes

La autorización falló o el recurso solicitado no se encontró (404).

Causa: OCI confunde los errores 403/404: el usuario no tiene permisos para acceder al recurso o el recurso no existe en el compartimento especificado.

Resolución: Confirme el compartment_ocid, verifique que la política tenga inspeccionado vaults/keys/key-versions y confirme que cbom-sensor-user está en cbom-readonly-group.

Error de autenticación (401) al iniciar.

Causa: La huella digital en el archivo YAML no coincide con la clave pública cargada, o el archivo de clave privada es inaccesible.

Solución: Compare la huella digital con Usuarios > Claves API, confirme que private_key_path existe y es legible por la cuenta de servicio, y vuelva a cargarla si la clave se regeneró.

No se encontraron bóvedas a pesar de que hay bóvedas en la consola.

Causa: El filtro vault_types excluye el tipo de bóveda real, o la bóveda está en un compartimento secundario con include_subcompartments false.

Resolución: Haga coincidir vault_types con el tipo real de la bóveda (VIRTUAL_PRIVATE o DEFAULT) y establezca include_subcompartments: true.

Recomendaciones de seguridad

  • Restrinja la clave privada RSA a la cuenta de servicio CBOM (chmod 600, chown cbom:cbom).
  • Utilice un usuario dedicado para el sensor cbom; nunca reutilice una cuenta de administrador o de desarrollador.
  • Limite la política de IAM al compartimento mínimo, en lugar de a todo el contrato de arrendamiento.
  • Cambie la clave de firma de la API al menos una vez al año (las claves OCI no caducan automáticamente) y actualice tanto IAM como el host.
  • Habilite la auditoría de OCI para el usuario y active una alarma ante cualquier llamada que vaya más allá de las operaciones de inspección; evite la autenticación de instancia-principal en entornos compartidos.

Conclusión

Con una bóveda privada virtual confirmada, un usuario y un grupo de IAM dedicados solo para inspección, una clave de firma de API y el sensor Discover_HSM configurado, CBOM Secure mantiene un inventario continuo de solo lectura de cada clave y versión protegida por HSM en OCI Vault, lo que permite la visibilidad criptográfica, la generación de informes de cumplimiento y la evaluación de riesgos de algoritmos en Oracle Cloud.