管理您自己的客戶主密鑰

list-menu意見回饋?
Webex 本身就具有安全性,我們持有用於加密 您組織所有加密金鑰的主金鑰。如果您希望控制組織的主密鑰, 您可以使用 Control Hub 和您首選的密鑰管理工具來實現。

Webex for Government 不支援此功能。

作為我們對端到端安全承諾的一部分,Webex 代表每個組織持有主金鑰。我們稱之為主金鑰,因為它不會直接加密內容,而是用於加密您組織的其他金鑰,而這些金鑰再加密內容。金鑰層次結構的基礎層稱為內容金鑰(CK),中間層金鑰稱為金鑰加密金鑰(KEK)。

我們了解到有些組織喜歡管理自己的安全,因此我們為您提供了管理您自己的客戶主金鑰 (CMK) 的選項。這意味著您需要負責建立和輪換(重新加密)Webex 用於加密您的內容加密金鑰的主金鑰。

今後,除非另有說明,密鑰均指 CMK。

操作方式

  1. Webex 會將您的 CMK 保存在硬體安全模組 (HSM) 中,因此 Webex 服務無法存取 CMK 值。

  2. 控制中心顯示您目前已啟動或已撤銷的 CMK 以及儲存在 HSM 中的任何待處理 CMK。當您需要輪換(重新加密)CMK 時,您可以產生新的 CMK 並使用 HSM 的公鑰對其進行加密,這樣只有 HSM 才能解密和儲存它。

  3. 然後,您需要在控制中心上傳並啟動新的 CMK。Webex 會立即開始使用新的 CMK 來加密您的內容金鑰。Webex 會保留舊的 CMK,但只有在確定新的 CMK 能夠保護您的內容加密金鑰後才會這樣做。

我們不會對所有現有內容進行追溯性重新加密。一旦您啟動了 CMK,所有新內容(空間和會議)都將重新加密並受到保護。

我們了解到,有些組織喜歡在 Webex 之外管理自己的金鑰。因此,我們為您提供了在亞馬遜網路服務 (AWS) 金鑰管理服務 (KMS) 中管理您自己的 CMK 的選項。這意味著您需要負責管理您在 AWS KMS 中的金鑰。您授權 Webex 透過 AWS 主控台使用您的 AWS KMS 金鑰進行加密和解密。您需要向 Webex 提供您的 AWS KMS 金鑰 ID,而不是您的 CMK。這表示您需要負責建立和輪調(重新加密)Webex 用於在雲端加密內容加密金鑰的 AWS KMS 金鑰。

操作方式

  1. 您使用 AWS 建立金鑰。AWS KMS 用於管理您的金鑰,並將金鑰儲存在硬體安全模組 (HSM) 中。

  2. 您需要透過 AWS 主控台向 Webex 提供使用 AWS KMS 金鑰的權限。

    這表示您無需將 CMK 上傳到 Control Hub,而是向 Webex 提供對 AWS KMS 金鑰的存取權。AWS KMS 金鑰不會離開您的 AWS KMS,Webex 服務也無法存取 AWS KMS 金鑰資料。

    Control Hub 顯示您目前已啟用或已撤銷的 AWS KMS 金鑰以及儲存在 AWS KMS 中的任何待處理的 AWS KMS 金鑰。當您需要輪換 AWS KMS 金鑰時,您可以使用 AWS KMS 主控台產生新的 AWS KMS 金鑰。

  3. 然後,在 Control Hub 中新增並啟動新的 AWS KMS 金鑰,並向其提供新的 AWS KMS 金鑰的 Amazon 資源名稱 (ARN)。Webex 會立即開始使用新的 AWS KMS 金鑰來加密您的內容金鑰。Webex不再需要舊的AWS KMS金鑰。內容加密金鑰輪換完畢並由新的 AWS KMS 金鑰保護後,舊的 AWS KMS 金鑰將從 Control Hub 中消失。Webex 不會從 AWS KMS 中刪除 AWS KMS 金鑰。您的客戶管理員可以從 AWS KMS 中刪除金鑰。

關鍵生命週期

關鍵狀態定義

擱置

處於這種狀態的金鑰儲存在 HSM 中,但尚未用於加密。Webex 不使用此 CMK 進行加密。

這種狀態下只能有一把鑰匙。

作用中

Webex 目前使用此 CMK 為貴組織加密其他金鑰。

這種狀態下只能有一把鑰匙。

旋轉

Webex 暫時使用此 CMK。Webex 需要它來解密先前使用此金鑰加密的資料和金鑰。當密鑰輪換(重新加密)完成後,該密鑰將被停用。

如果在輪換完成之前啟動了新鑰匙,則多個鑰匙可能處於這種狀態。

已棄用

Webex 未使用此 CMK。此密鑰已不再用於加密。設定金鑰的生存時間後,該金鑰將從 HSM 中移除。

已撤銷

Webex 未使用此 CMK。即使存在用此金鑰加密的資料和金鑰,Webex 也無法使用此金鑰解密資料和金鑰。

  • 只有當您懷疑密鑰已洩露時,才需要撤銷該密鑰。這是一個非常嚴重的決定,因為它會阻止許多操作正常運作。例如,您將無法建立新空間,也無法解密 Webex 用戶端中的任何內容。
  • 這種狀態下只能有一把鑰匙。您必須重新啟動此金鑰才能輪換(重新加密)新金鑰。
  • 這個 CMK 檔案可以刪除,但你不必刪除它。您可能需要保留它以備解密之用。 / 在解決疑似安全漏洞後重新加密。
已刪除

Webex 未使用此 CMK。此狀態下的行為與撤銷狀態相同,只是設定了金鑰生存時間,之後該金鑰將從 HSM 中移除。

  • 如果已刪除的 CMK 變成已移除狀態,則必須還原原始金鑰才能還原組織的功能。
  • 我們建議您保留原始金鑰的備份,否則您的組織將無法正常運作。
已移除

這是合乎邏輯的狀態。Webex 的 HSM 中沒有儲存此 CMK。它沒有顯示在控制中心。

所有權

擁有 CMK 的所有權,您必須:

  • 您有責任安全地建立和備份您的金鑰。
  • 了解丟失鑰匙的後果
  • 最佳實踐是至少每年重新加密一次您的活動 CMK。

建立密鑰

您必須使用這些參數建立自己的 CMK。您的密鑰必須是:

  • 長度為 256 位元(32 位元組)。
  • 使用 RSA-OAEP 方案加密
  • 使用 Webex 雲端 HSM 公鑰加密

您的金鑰產生軟體必須具備以下功能:

  • SHA-256 雜湊函數
  • MGF1 遮罩生成功能
  • PKCS#1 OAEP 襯墊

請參考 範例:本文「資源」標籤中介紹如何使用 OpenSSL 建立和加密金鑰。

授權

您必須擁有在 Control Hub 中存取您的 Webex 組織的權限。您必須是 完全管理員 才能管理您的 CMK。

1

登入 Control Hub。

2

前往 組織設定 > 密鑰管理

若要啟用 BYOK,請將 自備鑰匙 (BYOK) 切換為開啟。如果停用 BYOK,則 Webex 通用預設金鑰 將成為您組織的主金鑰。

3

選擇 上傳自訂密鑰 並按 下一步

4

點選 下載公鑰

將 Webex HSM 公鑰儲存到本機系統的 .pem 檔案。

5

使用金鑰管理軟體建立加密安全的 256 位元(32 位元組)隨機金鑰。

6

使用 Webex HSM 公鑰加密您的新金鑰。

所需的加密參數如下:

  • RSA-OAEP方案
  • SHA-256 雜湊函數
  • MGF1 遮罩生成功能
  • PKCS#1 OAEP 襯墊
請參考 範例:本文「資源」標籤中介紹如何使用 OpenSSL 建立和加密金鑰。
7

從檔案系統中拖曳加密金鑰,並將其放到 Control Hub 介面的上傳區域中,或按 選擇檔案

8

按一下下一步

Webex 會將您的金鑰上傳到 HSM,金鑰會在 HSM 中進行解密和驗證。然後,控制中心會顯示您的新 CMK 的 ID,以及目前活動的 CMK 的 ID(如果有)。

如果這是您的第一個 CMK,則目前活動的金鑰是 Webex 通用預設金鑰 (我們目前用於加密您組織金鑰的金鑰)。

9

選擇您希望如何啟動您的鑰匙:

  • 啟動新金鑰: 新的 CMK 立即進入活動狀態。先前啟動的 CMK 將進入輪換(重新加密狀態),直到所有內容都受到新的 CMK 保護,之後 Webex 將刪除先前啟動的 CMK。
  • 稍後再啟動: 新的 CMK 進入待處理狀態。Webex 將此 CMK 保存在 HSM 中,但尚未使用它。Webex 將繼續使用目前有效的 CMK 來加密您組織的金鑰。

下一步

我們不會對所有現有內容進行追溯性重新加密。一旦您啟動了 CMK,所有新內容(空間和會議)都將重新加密並受到保護。

1

登入 Control Hub。

2

前往 組織設定 > 密鑰管理

3

前往已啟動的 CMK。

4

點選 「更多」功能表 並選擇 旋轉

5

建立並加密一個新金鑰(如果您尚未執行此操作)。

這個過程在本文的 「建立和啟動您的客戶主金鑰 」部分中進行了描述。
6

將新密鑰從檔案系統中拖曳到 Control Hub 中。

7

點選 啟動新密鑰

您上傳的新密鑰將進入啟動狀態。

舊的 CMK 將保持輪換(重新加密)狀態,直到 Webex 使用新的活動 CMK 完成對其所有內容的加密。重新加密後,金鑰將進入已停用狀態。Webex 隨後刪除了舊的 CMK 檔案。

1

登入 Control Hub。

2

前往 組織設定 > 密鑰管理

3

轉到當前啟動鍵。

4

點選 「更多」功能表 並選擇 撤銷

5

確認撤銷密鑰。

完全撤銷您的鑰匙可能需要 10 分鐘。
1

登入 Control Hub。

2

前往 組織設定 > 密鑰管理

3

轉到目前已撤銷的密鑰。

4

點選 「更多」功能表 並選擇 啟動

5

確認密鑰已啟動。

先前被撤銷的金鑰將進入啟動狀態。
1

登入 Control Hub。

2

前往 組織設定 > 密鑰管理

3

轉到已撤銷的密鑰。

4

點選 「更多」功能表 並選擇 刪除

5

確認刪除密鑰。

刪除後,您可以在 30 天內選擇恢復金鑰。
1

登入 Control Hub。

2

前往 組織設定 > 密鑰管理

3

轉到已刪除的鍵。

4

點選 「更多」功能表 並選擇 取消刪除

5

確認密鑰恢復。

恢復後,控制中心會顯示密鑰在刪除之前的已撤銷狀態。例如,如果您刪除已撤銷的金鑰,然後還原該金鑰,則 Control Hub 會將復原的金鑰顯示為已撤銷狀態。

所有權

取得 AWS KMS 金鑰的所有權後,您必須:

  • 負責安全建立和備份您的 AWS KMS 金鑰。
  • 了解遺失 AWS KMS 金鑰的後果。
  • 最佳實踐是,至少每年對您的活動 AMS KMS 金鑰進行一次重新加密。

授權

  • 您必須獲得授權才能在 AWS KMS 中為您的 Webex 組織建立和管理金鑰。
  • 您必須擁有在 Control Hub 中存取您的 Webex 組織的權限。您必須是 完全管理員 才能管理您的 AWS KMS 金鑰。
1

登入 AWS 並前往 AWS KMS 主控台。

2

選擇 客戶管理金鑰 ,然後按一下 建立金鑰

3

建立具有以下屬性的密鑰:

  • 鍵類型—選擇 對稱
  • 金鑰用法—選擇 加密和解密
  • 進階選項 > 區域性—選擇 單區域鍵多區域鍵
  • 標籤—輸入別名、描述和標籤。
  • 關鍵管理員—選擇您組織的關鍵管理員使用者和角色。
  • 金鑰刪除—選取 允許金鑰管理員刪除此金鑰
  • 關鍵使用者-選擇您組織的關鍵使用者和角色。
4

按一下下一步

5

檢查您的設定並點擊 完成

您的 AWS KMS 金鑰已建立。
6

前往 客戶管理金鑰 ,然後按一下別名或金鑰 ID 查看 ARN。

下一步

我們建議您保留一份 ARN 的臨時副本。此 ARN 用於在 Control Hub 中新增和啟動您的 AWS KMS 金鑰。

我們也建議您建立備份金鑰,以確保資料的可用性和復原能力。即使在區域性故障期間,也可以存取加密資料。有關更多信息,請參閱本文中的 “建立備份 AWS KMS 金鑰 ”部分。

在開始之前

請確保您已建立多區域金鑰,然後再建立備份金鑰。有關更多信息,請參閱本文中的 “建立 AWS KMS 金鑰 ”部分。

1

登入 AWS 並前往 AWS KMS 主控台。

2

選擇新建立的多區域密鑰。

3

區域性下,按一下 以建立新的副本金鑰

4

從 AWS 區域清單中選擇一個備份區域,然後按一下 下一步

例如,如果金鑰是在美國西部(us-west-1)建立的,請考慮在美國東部(us-east-1)建立備份金鑰。
5

建立具有以下屬性的密鑰:

  • 標籤—輸入別名、描述和標籤。
  • 關鍵管理員—選擇您組織的關鍵管理員使用者和角色。
  • 金鑰刪除—選取 允許金鑰管理員刪除此金鑰
  • 關鍵使用者-選擇您組織的關鍵使用者和角色。
6

按一下下一步

7

檢查您的設置,選取確認框,然後按一下 建立新的副本金鑰

您可以透過建立 KMS 授權或設定 IAM 角色來授權 Cisco KMS 存取您的 AWS KMS 金鑰。選擇最符合貴組織需求的選項,以確保安全且靈活的金鑰管理整合。

利用KMS撥款

此方法涉及直接授予 Cisco KMS 權限,以對您的 AWS KMS 金鑰執行加密操作。

1

登入 AWS 並前往 AWS CloudShell 控制台。

2

運行 create-grant 以如下方式授權 Webex:

aws kms create-grant \
              --name {UNIQUE_NAME_FOR_GRANT} \
              --key-id {UUID_Of_AWS_KMS Key} \
              --operations Encrypt Decrypt DescribeKey \
              --grantee-principal {KMS_CISCO_USER_ARN} \
              --retiring-principal {KMS_CISCO_USER_ARN}
譬如:
aws kms create-grant \ 
              --name Cisco-KMS-xxxxxxxx-encrypt-decrypt \ 
              --key-id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx \ 
              --operations Encrypt Decrypt DescribeKey \ 
              --grantee-principal arn:aws:iam::xxxxxxxxxxxx:user/kms-cisco-user \ 
              --retiring-principal arn:aws:iam::xxxxxxxxxxxx:user/kms- cisco-user
            

KMS_CISCO_USER_ARN 是您所在組織特有的。在 Control Hub 中啟動新的 AWK KMS 金鑰時,ARN 會顯示在「新增 AWS 金鑰」視窗中。

使用 IAM 角色

建立具有必要 KMS 權限的 IAM 策略,然後將其附加到 Cisco KMS 可以承擔的 IAM 角色,從而實現安全集中的存取管理。

配置 IAM 策略

1

登入 AWS 並前往 AWS KMS 主控台。

2

前往 服務 > 我是

3

在左側導覽窗格中,選擇 策略,然後按一下 建立策略

4

策略編輯器 部分,選擇 JSON 選項。

5

複製並貼上以下政策文件。

{key_arn} 替換為您的 AWS KMS 金鑰的 Amazon 資源名稱 (ARN)。


            {
                "Version": “{date”},
                "Statement": [
                    {
                        "Sid": “Required Permissions to Cisco KMS”,
                        "Effect": "Allow",
                        "Action": [
                            "kms:Decrypt",
                            "kms:Encrypt",
                            "kms:DescribeKey"
                        ],
                        "Resource": [
                            “{key_arn}”
                        ]
                    }
                ]
            }
          
6

按一下下一步

7

輸入保單名稱 和可選的描述

8

點選 建立策略

配置 IAM 角色

1

登入 AWS 並前往 AWS KMS 主控台。

2

前往 服務 > 我是

3

在左側導覽窗格中,選擇 角落,然後按 建立角色

4

受信任實體類型下,選擇 AWS 帳戶

5

選擇 另一個 AWS 帳戶

6

帳號 ID 欄位中,輸入 Control Hub 介面中提供的 AWS 帳戶 ID。

這是方括號 {KMS_CISCO_USER_ARN}中的同一個帳戶 ID。例如,783772908578。

7

按一下下一步

8

新增權限下,搜尋並選擇您剛剛建立的 IAM 策略。

9

按一下下一步

10

輸入角色名稱( )和可選的描述( ]) 。

11

查看您的設定並點擊 建立角色

在開始之前

必須先建立 AWS KMS 金鑰,然後才能在 Control Hub 中啟動它。請參閱本文中的 「建立 AWS KMS 金鑰 」部分。

您必須向 Webex 提供 AWS KMS 金鑰的存取權限。請參閱本文中的 授權 Cisco KMS 存取 AWS KMS 金鑰

1

登入 Control Hub。

2

前往 組織設定 > 金鑰管理,並切換 自備金鑰 (BYOK) 開啟。

如果停用 BYOK,則 Webex 通用預設金鑰 將成為您組織的主金鑰。

3

選擇 新增 AWS KMS 金鑰 並按一下 下一步

4

從 AWS 主控台取得以下 ARN:

  • 主金鑰 ARN— 您的主 AWS KMS 金鑰的 ARN。您可以在 AWS KMS 主控台的金鑰詳細資訊頁面中找到此資訊。
  • 備份金鑰 ARN (可選)—您的副本(備份)AWS KMS 金鑰的 ARN。您可以在 AWS KMS 主控台的副本金鑰詳細資訊頁面中找到此資訊。
  • IAM 角色 ARN (可選)—您建立的用於授予 Cisco KMS 存取權限的 IAM 角色的 ARN。您可以在 AWS IAM 主控台的角色摘要頁面中找到此資訊。

5

在 Control Hub 中,輸入 主鍵 ARN。如果適用,請在對應的欄位中輸入 備份金鑰 ARNIAM 角色 ARN 。然後,點選 新增

您的 主密鑰 ARN 將上傳到 Cisco KMS,在那裡驗證對密鑰的存取權。然後 Control Hub 會顯示您的新 AWS KMS 金鑰的 Cisco KMS 金鑰 ID,以及目前活動的 Cisco KMS 金鑰 ID(如果有)。

如果這是您的第一個 AWS KMS 金鑰,則目前活動的金鑰是 Webex 通用預設金鑰 (我們目前用於加密您組織金鑰的金鑰)。

6

選擇您希望如何啟動您的鑰匙:

  • 啟用設定 : 新的 AWS KMS 金鑰會立即進入活動狀態。
  • 稍後再啟動: 新的 AWS KMS 金鑰進入待處理狀態。Webex 將此 AWS KMS 金鑰 ARN 保存在 Cisco KMS 中,但尚未使用它。Webex 將繼續使用目前有效的 AWS KMS 金鑰來加密您組織的金鑰。
1

登入 控制中心,然後前往 組織設定 > 密鑰管理

2

前往活動的 AWS KMS 金鑰。

3

點選 「更多」功能表 並選擇 旋轉

4

輸入您的新 AWS KMS 金鑰和新 ARN,然後按一下 新增

本文中的 「新增和啟動您的 AMS KMS 金鑰 」部分描述了該過程。
5

按一下 啟動

您上傳的新 AWS KMS 金鑰將進入活動狀態。

舊的 AWS KMS 金鑰將保持輪換狀態,直到 Webex 使用新的活動 AWS KMS 金鑰完成對其所有內容的加密。重新加密後,舊的 AWS KMS 金鑰會自動從 Control Hub 消失。

1

登入 控制中心,然後前往 組織設定 > 密鑰管理

2

點擊 新增另一個鍵

3

輸入您的新 AWS KMS 金鑰,然後按一下 新增

Control Hub 會顯示您的新 AWS KMS 金鑰的 Cisco KMS 金鑰 ID,以及目前活動的 Cisco KMS 金鑰 ID。

本文中的 「新增和啟動您的 AMS KMS 金鑰 」部分描述了該過程。

4

按一下 啟動

您上傳的新 AWS KMS 金鑰將進入活動狀態。

舊的 AWS KMS 金鑰將保持輪換狀態,直到 Webex 使用新的活動 AWS KMS 金鑰完成對其所有內容的加密。重新加密後,舊的 AWS KMS 金鑰會自動從 Control Hub 消失。

1

登入 控制中心,然後前往 組織設定 > 密鑰管理

2

前往目前活動的 AWS KMS 金鑰。

3

按一下 「更多」功能表 並選擇 本地撤銷

4

確認撤銷密鑰。

完全撤銷您的鑰匙可能需要 10 分鐘。AWS KMS 金鑰進入本機撤銷狀態。

如果您的客戶管理員從 AWS KMS 主控台撤銷金鑰,則 AWS KMS 金鑰將顯示在 Control Hub 的「已由 Amazon 撤銷」狀態。

1

登入 控制中心,然後前往 組織設定 > 密鑰管理

2

前往已撤銷的 AWS KMS 金鑰。

3

點選 「更多」功能表 並選擇 刪除

4

確認刪除密鑰。

密鑰刪除後,您可以在 30 天內恢復該密鑰。

我們建議您先從 Control Hub 刪除 AWS KMS 金鑰,然後再從 AWS 主控台中刪除 CMK。如果在 Control Hub 中刪除 AWS KMS 金鑰之前,從 AWS 控制台中刪除 CMK,則可能會遇到問題。

在從 AWS 主控台刪除 CMK 之前,請確保 AWS KMS 金鑰在 Control Hub 中不再可見。

1

登入 控制中心,然後前往 組織設定 > 密鑰管理

2

前往已刪除的 AWS KMS 金鑰。

3

點選 「更多」功能表 並選擇 取消刪除

4

確認密鑰恢復。

恢復後,控制中心會將金鑰顯示為已撤銷狀態。

如果您的 AWS KMS 金鑰出現問題,請使用下列資訊進行故障排除。

  • AWS KMS 金鑰 ARN。例如, arn:aws:kms:us-east-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab

  • 對 AWS KMS 金鑰的授權

  • AWS KMS金鑰狀態。例如,AWS KMS 金鑰已被停用。

本範例使用 OpenSSL 命令列工具 3.0 版本。有關這些工具的更多信息,請參閱 OpenSSL

1

登入 Control Hub。

2

前往 組織設定 > 密鑰管理

3

點選 下載公鑰

您可以在本機系統上找到以 .pem 檔案形式存在的 Webex HSM 公鑰。

4

建立一個 256 位元(32 位元組)金鑰:openssl rand -out main_key.bin 32.

此範例使用檔案名稱 main_key.bin 作為您的未加密新金鑰。

或者,您可以使用 Hex dump、Python 或線上產生器產生 32 位元組的隨機值。您 也可以建立和管理您的AWS KMS 金鑰。

5

使用 Webex HSM 公鑰加密您的新金鑰:

openssl pkeyutl -encrypt -pubin -inkey path/to/public.pem -in main_key.bin -out main_key_encrypted.bin -pkeyopt rsa_padding_mode:oaep -pkeyopt rsa_oaep_md:sha256

此範例使用檔案名稱 main_key_encrypted.bin 作為加密輸出金鑰,並使用檔案名稱 path/to/public.pem 用於 Webex 公鑰。

加密金鑰已準備就緒,您可以將其上傳到控制中心。

本文是否有幫助?
本文是否有幫助?