Fornetix VaultCore-integrationsguide

Översikt

Den här guiden konfigurerar Fornetix VaultCore som en källa för CBOM Secure Discover_KMIP-sensorn, som ansluter via KMIP 1.2+ på TLS-port 5696 med hjälp av ömsesidig certifikatautentisering och läser viktiga metadata skrivskyddat:

  • Symmetriska och asymmetriska nyckelidentifierare (UUID)
  • Viktiga algoritmer (AES, RSA, EC), längder och kurvparametrar
  • Datum för skapande och aktivering av nyckel
  • Nyckelstatus (föraktiv, aktiv, inaktiverad, förstörd)

Inga råa nyckelbyte hämtas någonsin; endast metadata.

Förutsättningar

  1. Administratörsåtkomst till Fornetix VaultCore webbkonsol.
  2. VaultCore 6.0 eller senare med KMIP 1.2+ aktiverat.
  3. Anslutning från sensorvärden till TCP 5696.
  4. VaultCore CA-certifikatet (kan laddas ner från användargränssnittet).
  5. Sensorbinärfilen Discover_KMIP på sensorvärden.
  6. OpenSSL på värden för certifikatverifiering.

Steg-för-steg-guide

Steg 1: Skapa en skrivskyddad roll och ett tjänstkonto

Under Administration → Roller → Skapa roll, skapa cbom-readonly med endast nyckelläsning aktiverad (tillåter KMIP-lokalisering och hämtning av attribut); lämna nyckelskapande/uppdatera/ta bort/exportera och policyhantering omarkerade. Sedan, under Administration → Användare → Skapa användare, skapa cbom-sensor med autentiseringstypcertifikat och rollen cbom-readonly.

Steg 2: Aktivera KMIP-slutpunkten

Under Tjänster → KMIP, bekräfta att tjänsten är Aktiverad på port 5696, ställ in Ömsesidig TLS till Obligatorisk och se till att KMIP version 1.2+ är tillåten. Verifiera att den lyssnar:

openssl s_client -connect vaultcore.example.com:5696 -brief

Steg 3: Ladda ner klientcertifikatpaketet

Öppna cbom-sensor-användaren, klicka på Generera certifikat (365 dagars giltighetstid) och Ladda ner certifikatpaket (klientcertifikat, nyckel och VaultCore CA). Installera och verifiera:

mkdir -p /etc/cbom/certs/vaultcore mv cbom-sensor.crt cbom-sensor.key vaultcore-ca.crt /etc/cbom/certs/vaultcore/ chmod 600 /etc/cbom/certs/vaultcore/cbom-sensor.key chmod 644/ctc/bomcsensor. /etc/cbom/certs/vaultcore/vaultcore-ca.crt openssl verifiera -CAfile /etc/cbom/certs/vaultcore/vaultcore-ca.crt \ /etc/cbom/certs/vaultcore/cbom-sensor.crt

Steg 4: Konfigurera CBOM Secure Sensor

sensorer: - namn: Discover_KMIP aktiverad: true typ: kmip schema: "0 2 * * *" anslutning: värd: vaultcore.example.com port: 5696 kmip_version: "1.2" tls: aktiverad: true mutual_tls: true client_cert: /etc/cbom/certs/vaultcore/cbom-sensor.crt client_key: /etc/cbom/certs/vaultcore/cbom-sensor.key ca_cert: /etc/cbom/certs/vaultcore/vaultcore-ca.crt verify_server: true authentication: typ: certifikat användarnamn: cbom-sensor discovery: objekttyper: [SymmetriskKey, OffentligKey, PrivatKey, Certifikat] locate_batch_size: 100 max_objects: 50000 output: taggar: { källa: fornetix-vaultcore, miljö: produktion }

sudo systemctl ladda om cbom-sensor

Steg 5: Validera

cbom-sensor kör --sensor Discover_KMIP --once --verbose cbom-sensor list --sensor Discover_KMIP

Bekräfta en KMIP-anslutning, autentisering som cbom-sensor och ett antal lokaliserade objekt. I VaultCore-granskningsloggen filtrerad efter cbom-sensor ska endast attributen Locate och Get visas.

Vanliga fel

certifikatverifiering misslyckades

Orsak: ca_cert pekar på fel fil, eller så laddades inte VaultCore CA ner korrekt.

Lösning: Ladda ner vaultcore-ca.crt igen (Administration → Certifikat → CA-certifikat), bekräfta PEM-formatet och verifiera igen med openssl.

Ã…tkomst nekad (Lokation avvisad)

Orsak: cbom-sensorn saknar nyckelläsning, eller så sparades inte rollen cbom-readonly.

Lösning: Bekräfta nyckelläsning på cbom-readonly och rolltilldelningen på cbom-sensor, försök sedan igen.

Anslutning nekad på 5696

Orsak: KMIP-tjänsten körs inte eller så blockerar en brandvägg 5696.

Lösning: Bekräfta att tjänster → KMIP är aktiverat på 5696, tillåt inkommande TCP 5696 från sensorvärden och testa med nc -zv.

Säkerhetsrekommendationer

  • Lagra cbom-sensor.key pÃ¥ chmod 600, som endast ägs av CBOM-tjänstkontot.
  • Rotera klientcertifikatet Ã¥rligen, eller omedelbart vid misstänkt kompromettering.
  • Placera sensorn i ett hanteringsnätverk med en direkt tillÃ¥telselista till port 5696.
  • Granska VaultCore-granskningsloggen för cbom-sensor-identiteten varje mÃ¥nad.
  • Begränsa cbom-readonly till nyckelläsning; skapa en ny roll för framtida behov.

Slutsats

Med ett skrivskyddat tjänstkonto, en mTLS-aktiverad KMIP-slutpunkt och klientcertifikat ger Discover_KMIP-sensorn kontinuerlig, skrivskyddad insyn i alla VaultCore-hanterade nyckelmetadata, vilket håller CBOM Secures inventering av algoritmer, längder och livscykeltillstånd aktuell utan att exponera rått nyckelmaterial.