Étape 1. Autoriser la suppression d'une clé

Après vous activer la double autorisation pour une instance ou pour une clé, vous pouvez fournir la première autorisation de suppression d'une clé à l'aide de l'interface utilisateur.

1. Connectez-vous à l'interface utilisateur.
2. Accédez à Menu > Liste de ressources pour afficher la liste de vos ressources.
3. Dans la liste de ressources IBM Cloud, sélectionnez votre instance Hyper Protect Crypto Services mise à disposition.
4. Sur la page Clés KMS, utilisez la table Clés pour parcourir les clés de votre service.
5. Cliquez sur l'icône Actions pour ouvrir une liste d'options pour la clé que vous souhaitez supprimer.
6. Dans le menu d'options, cliquez sur Programmer une suppression de clé pour passer en revue les ressources associées à la clé.
7. Entrez le nom de la clé à supprimer, puis cliquez sur Programmer une suppression de clé.
8. Contactez le second approbateur pour effectuer la suppression de la clé.

Étape 2. Supprimer la clé

Pour supprimer la clé, le second approbateur doit disposer de la règle d'accès Gestionnaire pour l'instance ou la clé afin d'autoriser la clé à supprimer.

1. Dans le tableau Clés de la page KMS keys, les clés dont la suppression est autorisée comportent les indicateurs suivants :

   • La colonne Set for deletion comporte la valeur True. Le délai d'expiration de l'autorisation est affiché dans la colonne Deletion expiration.
   • Une icône Horloge s'affiche dans la colonne State. Survolez l'icône pour afficher la date d'expiration de la suppression.

2. Pour supprimer la clé, suivez les instructions dans Supprimer des clés avec l'interface utilisateur.

Hyper Protect Crypto Services définit un délai de sept jours qui commence une fois que vous avez fourni la première autorisation de suppression de la clé. Durant cette période de 7 jours, la clé reste dans le État actif et toutes les opérations clés sont autorisées sur la clé. Si aucune action n'est effectuée par le deuxième utilisateur et que le délai de sept jours arrive à expiration, vous devez redémarrer le processus d'autorisation double pour supprimer la clé.

Étape 1. Autoriser la suppression d'une clé

Une fois que vous avez activé l'autorisation double pour une instance ou pour une clé, vous pouvez fournir la première autorisation de suppression d'une clé en envoyant un appel POST au noeud final ci-après.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

   Pour définir une clé à supprimer, vous devez être affecté à une règle d'accès Gestionnaire ou Écrivain pour l'instance ou la clé. Pour savoir comment les rôles IAM sont mappés Actions Hyper Protect Crypto Services, consulter Rôles d'accès au service.

2. Copiez l'ID de la clé que vous souhaitez définir ou dont vous souhaitez autoriser la suppression.

3. Fournissez la première autorisation de suppression de la clé.

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'content-type: application/vnd.ibm.kms.key_action+json'
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

   Tableau 1. Décrit les variables nécessaires pour définir une clé à supprimer

   Variables	Description
   region	Obligatoire. L'abréviation de la région, telle que us-south ou eu-de, qui représente la zone géographique où se trouve votreHyper Protect Crypto Services l'instance réside. Pour plus d'informations, voir Noeuds finaux de service régional.
   key_ID	Obligatoire. Identificateur unique de la clé racine à supprimer.
   IAM_token	Obligatoire. Votre jeton d'accès IBM Cloud. Incluez l'ensemble du contenu du jeton IAM, y compris la valeur Bearer, dans la demande cURL. Pour plus d'informations, voir Extraction d'un jeton d'accès.
   instance_ID	Obligatoire. Identificateur unique affecté à votre instance Hyper Protect Crypto Services. Pour plus d'informations, voir Extraction d'un ID d'instance.

   Une demande réussie renvoie une réponse HTTP 204 No Content, qui indique que la suppression de votre clé a été autorisée. Un autre utilisateur avec un_ Directeur_ la politique d'accès peut maintenant supprimer la clé en utilisant l'interface utilisateur ou l'API du service de gestion de clés.

   Si vous devez empêcher la suppression d'une clé dont la suppression est déjà autorisée, vous pouvez supprimer l'autorisation existante en appelant POST /api/v2/keys/<key_ID>/actions/unsetKeyForDeletion.

Étape 2. Supprimer la clé

Une fois que vous avez défini une clé pour la suppression, un deuxième utilisateur doté d'une règle d'accès Gestionnaire peut supprimer la clé en toute sécurité.

Hyper Protect Crypto Services définit un délai de sept jours qui commence une fois que vous avez fourni la première autorisation de suppression de la clé. Durant cette période de 7 jours, la clé reste dans le État actif et toutes les opérations clés sont autorisées sur la clé. Si aucune action n'est effectuée par le deuxième utilisateur et que le délai de sept jours arrive à expiration, vous devez redémarrer le processus d'autorisation double pour supprimer la clé.

Pour supprimer une clé et son contenu, effectuez un appel DELETE au nœud final de service en suivant les instructions de la section Suppression de clés à l'aide de l'API.

Suppression d'une autorisation existante

Si vous devez annuler une autorisation pour une clé avant l'expiration du délai de sept jours, vous pouvez supprimer l'autorisation existante en soumettant un appel POST au noeud final ci-après.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/unsetKeyForDeletion

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

   Pour supprimer une autorisation de suppression d'une clé, vous devez disposer d'une règle d'accès Gestionnaire ou Écrivain pour l'instance ou la clé. Pour savoir comment les rôles IAM sont mappés aux actions Hyper Protect Crypto Services, consultez la rubrique Rôles d'accès au service.

2. Copiez l'ID de la clé dont vous souhaitez annuler la définition ou l'autorisation de suppression.

3. Supprimez une autorisation existante de suppression de la clé.

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'content-type: application/vnd.ibm.kms.key_action+json'
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

   Tableau 2. Décrit les variables nécessaires pour annuler la définition d'une clé pour la suppression

   Variables	Description
   region	Obligatoire. L'abréviation de la région, telle que us-south ou eu-de, qui représente la zone géographique où se trouve votreHyper Protect Crypto Services l'instance réside. Pour plus d'informations, voir Noeuds finaux de service régional.
   key_ID	Obligatoire. Identificateur unique de la clé racine à supprimer.
   IAM_token	Obligatoire. Votre jeton d'accès IBM Cloud. Incluez l'ensemble du contenu du jeton IAM, y compris la valeur Bearer, dans la demande cURL. Pour plus d'informations, voir Extraction d'un jeton d'accès.
   instance_ID	Obligatoire. Identificateur unique affecté à votre instance Hyper Protect Crypto Services. Pour plus d'informations, voir Extraction d'un ID d'instance.

   Une demande réussie renvoie une réponse HTTP 204 No Content, qui indique que la suppression de votre clé ne peut plus être supprimée. Si vous devez redémarrer le processus d'autorisation double, vous pouvez émettre une autre autorisation pour définir la clé à supprimer.