Paso 1. Autorizar la supresión de una clave

Después de usted habilitar la autorización dual para una instancia o por una llave, puede proporcionar la primera autorización para eliminar una clave mediante la interfaz de usuario.

1. Inicie sesión en la interfaz de usuario.
2. Vaya a Menú > Lista de recursos para ver una lista de sus recursos.
3. Desde la lista de recursos de IBM Cloud seleccione su instancia suministrada de Hyper Protect Crypto Services.
4. En la página Claves KMS, utilice la tabla Claves para explorar las claves de su servicio.
5. Pulse el icono Acciones para abrir una lista de opciones para la clave que desea suprimir.
6. En el menú de opciones, pulse Planificar supresión de claves y revise los recursos asociados de la clave.
7. Escriba el nombre de la clave que se va a suprimir y pulse Planificar supresión de claves.
8. Póngase en contacto con el segundo aprobador para completar la supresión de la clave.

Paso 2. Suprimir la clave

Para suprimir la clave, el segundo aprobador debe tener la política de acceso de Gestor para la instancia o clave para poder autorizar la clave para la supresión.

1. En la tabla Claves de la página Claves KMS, puede encontrar claves que están autorizadas para su supresión con los indicadores siguientes:

   • La columna Set for deletion tiene un valor de True. La hora de caducidad de la autorización se muestra en la columna Deletion expiration.
   • Se muestra un icono Reloj en la columna State. Pase el cursor por encima del icono para ver la fecha de caducidad de supresión.

2. Para eliminar la clave, siga las instrucciones en Eliminar claves con la interfaz de usuario.

Hyper Protect Crypto Services establece un periodo de espera de 7 días que se inicia después de dar la primera autorización para suprimir la clave. Durante este período de 7 días, la clave permanece en el Estado activo y todas las operaciones clave están permitidas en la clave. Si el segundo usuario no realiza ninguna acción y el periodo de 7 días caduca, se debe reiniciar el proceso de autorización dual para suprimir la clave.

Paso 1. Autorizar la supresión de una clave

Tras habilitar la autorización dual para una instancia o para una clave, puede proporcionar la primera autorización para suprimir una clave realizando una llamada POST al punto final siguiente.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion

1. Recupere sus credenciales de autenticación para trabajar con claves en el servicio.

   Para establecer una clave para suprimir, debe tener asignada una política de acceso de Gestor o Escritor para la instancia o clave. Para saber cómo se correlacionan los roles de IAM con las acciones Hyper Protect Crypto Services, consulte los Roles de acceso de servicio.

2. Copie el ID de la clave que desea establecer o autorizar para su supresión.

3. Proporcione la primera autorización para suprimir la clave.

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'content-type: application/vnd.ibm.kms.key_action+json'
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

   Tabla 1. Describe las variables necesarias para establecer una clave para la supresión

   Variable	Descripción
   region	Obligatorio. La abreviatura de la región, como us-south o eu-de, que representa el área geográfica donde suHyper Protect Crypto Services reside la instancia. Para obtener más información, consulte Puntos finales de servicio regional.
   key_ID	Obligatorio. Identificador exclusivo para la clave raíz que desea suprimir.
   IAM_token	Obligatorio. Su señal de acceso de IBM Cloud. Incluya el contenido completo de la señal IAM, incluido el valor de Bearer, en la solicitud cURL. Para obtener más información, consulte Recuperación de una señal de acceso.
   instance_ID	Obligatorio. El identificador exclusivo que está asignado a su instancia de Hyper Protect Crypto Services. Para obtener más información, consulte Recuperación de un ID de instancia.

   Una solicitud satisfactoria devuelve una respuesta HTTP 204 No Content, que indica que se ha autorizado la clave para su supresión. Otro usuario con_ Gerente_ la política de acceso ahora puede borrar la clave mediante el uso de la interfaz de usuario o la API del servicio de administración de claves.

   Si necesita evitar la eliminación de una clave que ya está autorizada para su eliminación, puede eliminar la autorización existente llamando POST /api/v2/keys/<key_ID>/actions/unsetKeyForDeletion.

Paso 2. Suprimir la clave

Después de establecer una clave para la supresión, un segundo usuario con una política de acceso de Gestor puede suprimir la clave de forma segura.

Hyper Protect Crypto Services establece un periodo de espera de 7 días que se inicia después de dar la primera autorización para suprimir la clave. Durante este período de 7 días, la clave permanece en el Estado activo y todas las operaciones clave están permitidas en la clave. Si el segundo usuario no realiza ninguna acción y el periodo de 7 días caduca, se debe reiniciar el proceso de autorización dual para suprimir la clave.

Para suprimir una clave y el contenido, realice una llamada DELETE para el punto final de servicio siguiendo las instrucciones de Supresión de claves con la API.

Eliminación de una autorización existente

Si tiene que cancelar una autorización para una clave antes de que caduque el periodo de espera de 7 días, puede eliminar la autorización existente realizando una llamada POST al punto final siguiente.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/unsetKeyForDeletion

1. Recupere sus credenciales de autenticación para trabajar con claves en el servicio.

   Para poder eliminar una autorización para suprimir una clave, debe tener asignada una política de acceso de Gestor o Escritor para la instancia o clave. Para saber cómo se correlacionan los roles de IAM con las acciones de Hyper Protect Crypto Services, consulte los Roles de acceso al servicio.

2. Copie el ID de la clave para la que desea deshacer el establecimiento o la autorización de supresión.

3. Elimine una autorización existente para suprimir la clave.

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'content-type: application/vnd.ibm.kms.key_action+json'
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

   Tabla 2. Describe las variables necesarias para anular el establecimiento de una clave para su supresión

   Variable	Descripción
   region	Obligatorio. La abreviatura de la región, como us-south o eu-de, que representa el área geográfica donde suHyper Protect Crypto Services reside la instancia. Para obtener más información, consulte Puntos finales de servicio regional.
   key_ID	Obligatorio. Identificador exclusivo para la clave raíz que desea suprimir.
   IAM_token	Obligatorio. Su señal de acceso de IBM Cloud. Incluya el contenido completo de la señal IAM, incluido el valor de Bearer, en la solicitud cURL. Para obtener más información, consulte Recuperación de una señal de acceso.
   instance_ID	Obligatorio. El identificador exclusivo que está asignado a su instancia de Hyper Protect Crypto Services. Para obtener más información, consulte Recuperación de un ID de instancia.

   Una solicitud satisfactoria devuelve una respuesta HTTP 204 No Content, que indica que la clave ya no está autorizada para su supresión. Si tiene que reiniciar el proceso de autorización dual, puede emitir otra autorización para establecer la clave para su supresión.