Oracle OCI Vault (HSM) integrationsguide

Översikt

Den här guiden konfigurerar Oracle Cloud Infrastructure (OCI) Vault så att CBOM Secure Discover_HSM-sensorn kan upptäcka HSM-skyddade nycklar via OCI REST API, skrivskyddat:

  • Master Encryption Keys (MEKs) – HSM-skyddade AES-, RSA- och ECDSA-nycklar i virtuella privata valv
  • Nyckelversioner – aktiva och historiska versioner, inklusive rotationshistorik
  • Viktiga metadata – algoritm, längd, skyddsläge (HSM vs. PROGRAMVARA), livscykeltillstÃ¥nd, tidsstämplar
  • Valvmetadata – valvtyp, fack och nyckelantal

Sensorn fungerar med skrivskyddade (inspektions) IAM-behörigheter. Inget nyckelmaterial exporteras eller dekrypteras någonsin.

Förutsättningar

  1. OCI-konsolåtkomst med administratörsbehörighet (eller motsvarande IAM-behörighet) för att skapa användare, grupper och policyer.
  2. En hyresavtal som prenumererar på en region som stöder OCI Vault med HSM-skydd (Virtual Private Vault).
  3. OCI CLI installerat lokalt om CLI-steg används.
  4. Ditt hyresavtals-OCID (Profil > Hyresavtal).
  5. CBOM-plattformen driftsattes med åtkomst till sensorkonfigurationsgränssnittet.

Steg-för-steg-guide

Steg 1: Bekräfta ett virtuellt privat valv (HSM)

  1. I OCI-konsolen öppnar du Säkerhet > Valv och väljer rätt fack.
  2. Klicka på Skapa valv (eller återanvänd ett befintligt valv).
  3. Ange ett namn (t.ex. cbom-discovery-vault) och valvtyp = virtuellt privat valv (det HSM-baserade alternativet; inte standard).
  4. Skapa, vänta på aktiv status och anteckna valvets OCID.

Observera att ett virtuellt privat valv medför extra kostnader. Om ett redan finns, rikta sensorn mot valvets fack istället för att skapa ett nytt.

Steg 2: Skapa en dedikerad IAM-grupp och användare

# Konsol: Identitet och säkerhet > Grupper > Skapa grupp Namn: cbom-readonly-group Beskrivning: Skrivskyddad grupp för identifiering av kryptografiska tillgångar från CBOM # Konsol: Identitet och säkerhet > Användare > Skapa användarnamn: cbom-sensor-user Beskrivning: Tjänstkonto för CBOM HSM-sensor - skrivskyddad valvåtkomst # sedan: lägg till cbom-sensor-user till cbom-readonly-group

Steg 3: Skriv en IAM-policy med lägsta behörighet

Skapa en policy cbom-vault-readonly-policy kopplad till valvets fack med inspect-only-satser:

Tillåt gruppen cbom-readonly-group att inspektera valv i facket Tillåt gruppen cbom-readonly-group att inspektera nycklar i facket Tillåt gruppen cbom-readonly-group att inspektera nyckelversioner i facket

Observera att inspektera (inte läsa) listar och visar resursmetadata utan åtkomst till nyckelmaterial – precis vad sensorn behöver. Använd endast i tenancy om identifiering mellan fack krävs.

Steg 4: Generera en API-signeringsnyckel

mkdir -p ~/.oci/cbom openssl genrsa -out ~/.oci/cbom/cbom_api_key.pem 2048 chmod 600 ~/.oci/cbom/cbom_api_key.pem openssl rsa -pubout -in ~/.oci/cbom_/keybompeout - ~/.oci/cbom/cbom_api_key_public.pem

I konsolen öppnar du cbom-sensor-user > API-nycklar > Lägg till API-nyckel, klistra in den publika nyckeln och registrerar användarens OCID, hyres-OCID, region och fingeravtryck från konfigurationsförhandsgranskningen. Notera även fackets OCID.

Steg 5: Konfigurera CBOM Secure Sensor

sensorer: - namn: Discover_HSM typ: oci_vault aktiverad: sant anslutning: tenancy_ocid: "ocid1.tenancy.oc1..aaaa..." user_ocid: "ocid1.user.oc1..aaaa..." region: "us-ashburn-1" fingeravtryck: "a1:b2:c3:d4:e5:f6:..." private_key_path: "/etc/cbom/keys/cbom_api_key.pem" scope: compartment_ocid: "ocid1.compartment.oc1..aaaa..." include_subcompartments: sant vault_types: [VIRTUAL_PRIVATE] key_states: [AKTIVERAD, INAKTIVERAD, VÄNTAR PÅ BORTTAGELSE] discovery: include_key_versions: sant include_key_metadata: sant collect_rotation_history: sant schema: interval_hours: 24 start_time: "02:00"

private_key_path måste endast kunna läsas av CBOM-tjänstkontot (chmod 600, chown cbom:cbom).

Steg 6: Validera

# CBOM UI: Sensorer > Discover_HSM > Kör nu, kontrollera sedan loggarna för: # Autentiserad som användare ... / Hittade N valv av typen VIRTUAL_PRIVATE / Upptäckte N nycklar # Sedan Inventering > Kryptografiska tillgångar, filtrera Källa: oci_vault

Bekräfta att nycklarna visar skyddsläge HSM och de förväntade algoritmerna, jämför nyckelantalet mot OCI-konsolen och verifiera att inga 401/403-fel visas.

Vanliga fel

Auktorisering misslyckades eller begärd resurs hittades inte (404)

Orsak: OCI blandar ihop 403/404 – användaren saknar behörighet till resursen, eller så finns resursen inte i det angivna facket.

Lösning: Bekräfta compartment_ocid, verifiera att policyn har inspekterat valv/nycklar/nyckelversioner och bekräfta att cbom-sensor-user finns i cbom-readonly-group.

Inte autentiserad (401) vid uppstart

Orsak: Fingeravtrycket i YAML matchar inte den uppladdade offentliga nyckeln, eller så är den privata nyckelfilen inte åtkomlig.

Lösning: Matcha fingeravtrycket mot Användare > API-nycklar, bekräfta att private_key_path finns och är läsbar av tjänstkontot och ladda upp den igen om nyckeln har genererats om.

Inga valv hittades trots valv i konsolen

Orsak: Filtret vault_types exkluderar den faktiska valvtypen, eller så finns valvet i ett underordnat fack med include_subcompartments false.

Lösning: Matcha vault_types med valvets faktiska typ (VIRTUAL_PRIVATE eller DEFAULT) och ange include_subcompartments: true.

Säkerhetsrekommendationer

  • Begränsa den privata RSA-nyckeln till CBOM-tjänstkontot (chmod 600, chown cbom:cbom).
  • Använd en dedikerad cbom-sensor-användare – Ã¥teranvänd aldrig ett administratörs- eller utvecklarkonto.
  • Omfatta IAM-policyn till minimiavdelningen snarare än hela hyresavtalet.
  • Rotera API-signeringsnyckeln minst en gÃ¥ng per Ã¥r (OCI-nycklar upphör inte att gälla automatiskt) och uppdatera bÃ¥de IAM och värden.
  • Aktivera OCI-granskning för användaren och larma vid alla anrop utöver inspektionsÃ¥tgärder; undvik instansprincipalautentisering i delade miljöer.

Slutsats

Med ett bekräftat virtuellt privat valv, en dedikerad IAM-användare och -grupp för inspektion, en API-signeringsnyckel och Discover_HSM-sensorn konfigurerad, upprätthåller CBOM Secure en kontinuerlig skrivskyddad inventering av varje HSM-skyddad nyckel och version i OCI Vault – vilket möjliggör kryptografisk insyn, efterlevnadsrapportering och algoritmriskbedömning i hela Oracle Cloud.