5.13. キーのローテーション

director の更新を使用して、MKEK キーおよび HMAC キーをローテーションできます。

注記

MKEK と HMAC には同じキータイプです。これは Barbican の制限であり、現時点では後で対処されることが予想されます。

たとえば、ラベルが以下のようであれば、MKEK キーおよび HMAC 鍵のラベルを変更します。

        BarbicanPkcs11CryptoMKEKLabel: 'barbican_mkek_10'
        BarbicanPkcs11CryptoHMACLabel: 'barbican_hmac_10'

        BarbicanPkcs11CryptoMKEKLabel: 'barbican_mkek_10'
        BarbicanPkcs11CryptoHMACLabel: 'barbican_hmac_10'

Copy to Clipboard

Toggle word wrap

値をインクリメントしてラベルを変更できます。

        BarbicanPkcs11CryptoMKEKLabel: 'barbican_mkek_11'
        BarbicanPkcs11CryptoHMACLabel: 'barbican_hmac_11'

        BarbicanPkcs11CryptoMKEKLabel: 'barbican_mkek_11'
        BarbicanPkcs11CryptoHMACLabel: 'barbican_hmac_11'

Copy to Clipboard

Toggle word wrap

注記

HMAC 鍵タイプは変更しないでください。

director を使用して再デプロイし、更新を適用します。director は、MKEK および HMAC のラベルが付けられたキーが存在するかどうかを確認してから、作成します。また、BarbicanPkcs11CryptoRewrapKeys パラメーターが True に設定されていると、director は barbican-manage hsm pkek_rewrap を呼び出して、既存のすべての pKEK を再度ラップします。