Integrationsguide för Thales CipherTrust Manager

Översikt

Den här guiden konfigurerar Thales CipherTrust Manager som en skrivskyddad KMIP-källa för CBOM Secure Discover_KMIP-sensorn (KMIP 1.2+ över TLS, port 5696):

  • Symmetriska och asymmetriska nyckelidentifierare (KMIP UID)
  • Viktiga algoritmer (AES, RSA, EC), längder och kurvparametrar
  • Skapande-/aktiveringsdatum och status (föreaktiv, aktiv, inaktiverad, förstörd)
  • Nyckelnamn och anpassade attribut där sådana är tillgängliga

Strikt skrivskyddad, endast metadata via KMIP Locate and Get Attributes; rått nyckelmaterial begärs aldrig.

Förutsättningar

  • Administratörsåtkomst till CipherTrust Managers webbgränssnitt (2.0+ rekommenderas).
  • CipherTrust kan nås via TCP 5696 från sensorvärden; KMIP-gränssnittet är licensierat.
  • OpenSSL på sensorvärden; cbom-sensor-binärfilen 1.4.0+ installerad.
  • CipherTrust-värdnamnet/IP-adressen för sensorkonfigurationen.

Steg-för-steg-guide

Steg 1: Skapa en lokal nyckelanvändare

I Admin → Användarhantering → Användare → Skapa användare, lägg till cbom-kmip-readonly med rollen Key User (skrivskyddad nyckelmetadata). Tilldela inte rollen Key Admin, Admin eller någon annan skrivbar roll.

Steg 2: Aktivera KMIP-gränssnittet

Under Admin → Tjänster, aktivera KMIP-tjänsten och bekräfta att den körs på port 5696. Notera den certifikatutfärdare som signerade KMIP-servercertifikatet (exportera den lokala rot-certifikatutfärdaren under Admin → CA → Lokal som ciphertrust-ca.pem om den är intern).

Steg 3: Skapa ett bundet klientcertifikat

Under Certifikat → Klientcertifikat → Skapa klientcertifikat, ange CN cbom-kmip-sensor och Associated User cbom-kmip-readonly (detta binder certifikatet till rollen Key User). Ladda ner klientcertifikatet, den privata nyckeln och CA. Stanna och verifiera på sensorvärden:

chmod 600 /etc/cbom/certs/ciphertrust/cbom-sensor-key.pem chmod 644 /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem openssl verifiera -CAfile /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem \ /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem openssl x509 -noout -modulus -in .../cbom-sensor-cert.pem | md5sum openssl rsa -noout -modulus -in .../cbom-sensor-key.pem | md5sum # måste matcha

Steg 4: Konfigurera CBOM Secure Sensor

sensorer: - namn: Discover_KMIP typ: kmip aktiverad: sant schema: "0 2 * * *" anslutning: värd: ciphertrust.example.intern port: 5696 kmip_version: "1.2" tls: aktiverad: sant ca_cert: /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem client_cert: /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem client_key: /etc/cbom/certs/ciphertrust/cbom-sensor-key.pem verify_server_cert: sant discovery: operations: [Loka, HämtaAttributer] include_destroyed_objects: falskt output: taggar: { källa: ciphertrust-manager }

Steg 5: Validera

cbom-sensor kör --sensor Discover_KMIP --once journalctl -u cbom-sensor -n 100 --no-pager | grep -i "Discover_KMIP"

Bekräfta en TLS-handskakning, en lokalisering av returnerande objektidentifierare och vidarebefordrade poster; filtrera inventeringen efter källa: ciphertrust-manager. I Admin → Audit Logs ska endast Locate- och Get-attribut visas för cbom-kmip-readonly.

Vanliga fel

TLS-handskakning – okänd CA

Orsak: ca_cert matchar inte den certifikatutfärdare som signerade KMIP-servercertifikatet.

Lösning: Exportera rätt CA från Admin → Services → KMIP; sammanfoga intermediate+root till ett paket om det behövs.

KMIP-behörighet nekad vid lokalisering

Orsak: Användaren/certifikatet saknar nyckelanvändare, eller så är certifikatet inte bundet till cbom-kmip-readonly.

Lösning: Bekräfta nyckelanvändarrollen och att klientcertifikatets associerade användare är cbom-kmip-readonly; utfärda/distribuera om om.

Anslutning nekad på 5696

Orsak: KMIP-tjänsten körs inte eller så blockerar en brandvägg 5696.

Lösning: Testa nc -zv; bekräfta att tjänsten körs under Admin → Tjänster; tillåt TCP 5696 (inkl. molnsäkerhetsgrupper).

Säkerhetsrekommendationer

  • Lagra klientnyckeln så att den endast kan läsas av cbom-agent (chmod 600); aldrig i källkodskontroll.
  • Använd det dedikerade nyckelanvändarkontot, aldrig ett administratörs-/nyckeladministratörskonto.
  • Rotera klientcertifikatet minst 30 dagar innan det går ut och återkalla det gamla.
  • Aktivera granskningsloggning och aviseringar för alla åtgärder utom Hitta/Hämta attribut.
  • Begränsa KMIP (5696) med käll-IP till sensorvärden där det är möjligt.

Slutsats

Med en dedikerad nyckelanvändare, aktiverat KMIP-gränssnitt och ett bundet klientcertifikat, räknar Discover_KMIP-sensorn säkert upp CipherTrust Manager-nyckelmetadata över gemensam TLS, vilket ger kontinuerlig insyn i inventeringen utan åtkomst till rånyckelmaterial.