3.4. MKEK 鍵および HMAC 鍵のローテーション

director の更新を使用して、MKEK キーおよび HMAC キーをローテーションできます。

注記

Barbican の制限により、MKEK と HMAC は同じキータイプです。

手順

デプロイメントの環境ファイルに以下のパラメーターを追加します。
```
BarbicanPkcs11CryptoRewrapKeys:          true
```

たとえば、ラベルが以下のようであれば、MKEK キーおよび HMAC 鍵のラベルを変更します。

        BarbicanPkcs11CryptoMKEKLabel: 'barbican_mkek_10'
        BarbicanPkcs11CryptoHMACLabel: 'barbican_hmac_10'

値をインクリメントしてラベルを変更できます。

        BarbicanPkcs11CryptoMKEKLabel: 'barbican_mkek_11'
        BarbicanPkcs11CryptoHMACLabel: 'barbican_hmac_11'

注記

HMAC 鍵タイプは変更しないでください。

director を使用して再デプロイし、更新を適用します。director は、MKEK および HMAC のラベルが付けられたキーが存在するかどうかを確認してから、作成します。また、BarbicanPkcs11CryptoRewrapKeys パラメーターが True に設定されていると、director は barbican-manage hsm pkek_rewrap を呼び出して、既存のすべての pKEK を再度ラップします。