Custódia de chaves do cofre (chave guardada offline)

Com a custódia de chaves, cada geração da chave do cofre é também selada para uma chave que a organização guarda offline. Assim, o cofre pode ser recuperado sem a chave KMS do serviço, por exemplo numa saída do serviço ou num desastre.

Antes de começar

Gere o par de chaves num computador offline com a ferramenta authguard-pam-gateway escrow-keygen. Ela imprime a chave pública (1624 caracteres base64) e a impressão digital (64 caracteres hexadecimais). Guarde a chave privada offline, em pelo menos dois locais seguros, conforme o procedimento de recuperação que o fornecedor lhe entrega.

Como registo a chave?

1. Abra «PAM» › «Custódia de chaves».
2. Cole a «Chave pública (base64)» e a «Impressão digital (64 caracteres hexadecimais)».
3. Escolha «Pedir a um segundo administrador que registe». O registo é sempre a quatro olhos.
4. Outro administrador aprova em «Controlo a dois». A consola mostra depois que a chave foi registada por um administrador e confirmada por outro.

O que acontece depois?

• Todas as gerações existentes da chave do cofre são seladas para a chave de custódia; as novas são seladas quando são criadas.
• A consola mostra «{escrowed} de {generations} seladas para a chave de custódia».
• Se aparecer «Algumas gerações da chave do cofre ainda não estão seladas para a chave de custódia.», escolha «Selar as gerações em falta».

Trocar a chave

Registar uma chave nova retira a anterior. Faça-o também a quatro olhos.

Recuperação

A recuperação a partir da chave offline é um procedimento do operador do serviço, feito com a ferramenta escrow-recover. Combine-o com o seu fornecedor antes de precisar.