UI を使用した標準鍵の作成

サービスのインスタンスを作成した後、以下の手順を実行して、UI で標準鍵を作成します。

Hyper Protect Crypto Services インスタンスの二重許可設定を有効にする場合、サービスに追加するどの鍵についても、鍵の削除には 2 人のユーザーからの許可が必要となることに留意してください。

1. UI にログインします。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Hyper Protect Crypto Services のプロビジョン済みインスタンスを選択します。

4. 新しい鍵を作成するには、サイド・メニューの**「KMS 鍵 (KMS keys)」**タブを選択します。

5. **「鍵」テーブルで、「鍵の追加」をクリックし、「鍵の作成」**を選択します。

   キーの詳細を以下のように指定します。

   表 1. キーを作成するための設定について説明します。

   設定	説明
   キー・タイプ	Hyper Protect Crypto Services で管理する鍵のタイプ。 キー・タイプのリストから、**「標準キー」**を選択します。
   キーの名前	鍵を簡単に識別するための、人間が理解できる固有の別名。 プライバシーを保護するため、鍵の名前には、個人の名前や場所などの個人情報 (PII) を含めないように注意してください。
   キー・エイリアス	(オプション) 鍵を認識しやすくするために鍵に割り当てる (人間が理解できる) 1 つ以上の固有の別名。 別名の長さは 2 文字から 90 文字です。 最大 5 つの別名を (コンマ区切りにして) 鍵に設定することができます。 注: 各別名は、大/小文字の区別がある英数字でなければならず、スペースやダッシュ (-) や下線 (_) 以外の特殊文字を含めることはできません。 別名は、バージョン 4 の UUID であってはならず、 Hyper Protect Crypto Services の予約名 ( allowed_ip、 key、 keys、 metadata、 policy、 policies、 registration、 registrations、 ring、 rings、 rotate、 wrap、 unwrap、 rewrap、 version、 versions) であってはなりません。
   鍵リング ID	既存の鍵リングのリストから鍵リングを選択します。 鍵リングを割り当てない場合は、default の鍵リングに鍵が追加されます。 鍵リングについて詳しくは、鍵リングの管理を参照してください。
   有効期限の日付	(オプション) 鍵の有効期限が切れる日時を設定します。 有効期限が切れると、鍵は「非アクティブ化」状態に移行します。 鍵の状態について詳しくは、暗号鍵のライフサイクルのモニターを参照してください。
   説明	(オプション) 鍵の詳しい説明を追加します。 説明の長さは 2 文字から 240 文字まででなければなりません。

6. 鍵の詳細の入力が完了したら、**「鍵の作成」**をクリックして確認します。

API を使用した標準鍵の作成

以下のエンドポイントへの POST 呼び出しを行うことにより、標準鍵を作成します。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys

1. サービス内で鍵の処理を行うために、サービス資格情報および認証資格情報を取得します。

2. 以下の cURL コマンドを使用して、 Hyper Protect Crypto Services 鍵管理サービス API を呼び出します。

   curl -X POST \
     "https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys" \
     -H "authorization: Bearer <IAM_token>" \
     -H "bluemix-instance: <instance_ID>" \
     -H "content-type: application/vnd.ibm.kms.key+json" \
     -H "x-kms-key-ring: <key_ring_ID>" \
     -H "correlation-id: <correlation_ID>" \
     -H "prefer: <return_preference>" \
     -d '{
             "metadata": {
                 "collectionType": "application/vnd.ibm.kms.key+json",
                 "collectionTotal": 1
             },
             "resources": [
                 {
                     "type": "application/vnd.ibm.kms.key+json",
                      "name": "<key_name>",
                      "aliases": [alias_list],
                      "description": "<key_description>",
                      "expirationDate": "<YYYY-MM-DDTHH:MM:SS.SSZ>",
                      "extractable": <key_type>
                 }
             ]
         }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

   表 2. API を使用して標準鍵を追加するために必要な変数について説明します。

   変数	説明
   region	Hyper Protect Crypto Services サービス・インスタンスを置く地理的領域を表す、地域の省略形 (us-south、au-syd など)。 詳細については、リージョナル・サービス・エンドポイントを参照してください。
   port	必須。 API エンドポイントのポート番号。
   IAM_token	IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを cURL 要求に組み込みます。 詳細については、アクセス・トークンのリトリーブを参照してください。
   instance_ID	Hyper Protect Crypto Services サービス・インスタンスに割り当てられた固有 ID。 詳細については、インスタンス ID のリトリーブを参照してください。
   key_ring_ID	オプション。 鍵を割り当てるターゲット鍵リングの固有 ID。 指定されていない場合、ヘッダーは自動的に default に設定され、鍵は指定された Hyper Protect Crypto Services インスタンスのデフォルトの鍵リングに属します。 詳しくは、鍵リングの管理を参照してください。
   correlation_ID	トランザクションを追跡し、相互に関連付けるために使用される固有 ID。
   return_preference	オプション: POST および DELETE 操作のサーバー動作を変更するヘッダー。 return_preference 変数を return=minimal に設定すると、サービスは、キー名や ID 値などのキー・メタデータのみを応答のエンティティー本体に返します。 変数を return=representation に設定すると、サービスは鍵の素材と鍵のメタデータの両方を返します。
   key_name	鍵を簡単に識別するための、人間が理解できる固有の名前。 重要: プライバシー保護のため、鍵のメタデータとして個人データを保管しないでください。
   alias_list	オプション。 鍵に割り当てる (人間が理解できる) 1 つ以上の固有の別名。 重要: プライバシーを保護するために、鍵のメタデータとして個人データを保管しないでください。 各別名は、大/小文字を区別する英数字でなければならず、スペースやダッシュ (-) や下線 (_) 以外の特殊文字を含めることはできません。 別名は、バージョン 4 の UUID であってはならず、 Hyper Protect Crypto Services の予約名 ( allowed_ip、 key、 keys、 metadata、 policy、 policies、 registration、 registrations、 ring、 rings、 rotate、 wrap、 unwrap、 rewrap、 version、 versions) であってはなりません。 別名サイズは、2 文字から 90 文字まで (両端を含む) にすることができます。
   key_description	オプション: 鍵の詳しい説明。 重要: プライバシー保護のため、鍵のメタデータとして個人データを保管しないでください。
   YYYY-MM-DD HH:MM:SS.SS	オプション: システム内の鍵の有効期限が切れる日時 (RFC 3339 形式)。 expirationDate 属性を省略すると、キーの有効期限は切れません。
   key_type	鍵の素材をサービスの外に出すことができるかどうかを決定するブール値。 extractable 属性を true に設定すると、サービスは、アプリまたはサービスに保管できる標準鍵を作成します。

   個人データの機密性を保護するため、サービスに鍵を追加するときに、個人の名前や場所などの個人情報 (PII) を入力しないようにしてください。 PII のその他の例については、 NIST Special Publication 800-122のセクション 2.2 を参照してください。

   成功した POST /v2/keys 応答は、鍵の ID 値を他のメタデータと共に返します。 この ID はキーに割り当てられた固有 ID であり、今後の Hyper Protect Crypto Services キー管理サービス API の呼び出しに使用されます。

3. オプション: 次の呼び出しを実行して Hyper Protect Crypto Services サービス・インスタンス内の鍵を取得し、鍵が作成されたことを確認します。

   curl -X GET \
     https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys \
     -H 'accept: application/vnd.ibm.collection+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'correlation-id: <correlation_ID>' \