ステップ 1. 鍵削除の許可

インスタンスの二重許可 または鍵の を有効にした後、UI を使用して鍵を削除するための最初の許可を提供できます。

1. UI にログインします。
2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。
3. IBM Cloud リソース・リストで、Hyper Protect Crypto Services のプロビジョン済みインスタンスを選択します。
4. **「KMS 鍵 (KMS keys)」ページで、「鍵」**テーブルを使用して、このサービスの鍵を参照します。
5. 削除するキーのオプションのリストを開くには、アクション・アイコン をクリックします。
6. オプション・メニューから、**「鍵の削除のスケジュール (Schedule key deletion)」**をクリックして、鍵に関連付けられているリソースを確認します。
7. 削除する鍵の名前を入力し、**「鍵の削除のスケジュール (Schedule key deletion)」**をクリックします。
8. 2 人目の承認者に連絡して、鍵の削除を実行します。

ステップ 2 キーの削除

キーを削除するには、キーの削除を許可するために第 2 の承認者にインスタンスまたはキーの_「マネージャー」_アクセス権限ポリシーがある必要があります。

1. **「KMS 鍵 (KMS keys)」ページの「鍵」**テーブルで、次の標識に基づいて、削除を許可されている鍵を見つけることができます。

   • Set for deletion」列にTrueの値が入っている。 許可の有効期限がDeletion expiration列に表示されている。
   • 「クロック」 アイコン が State 列に表示されます。 アイコンをマウスオーバーすると、削除の有効期限日が表示される。

2. 鍵を削除するには、 UI を使用した鍵の削除 の手順に従います。

Hyper Protect Crypto Services は、鍵を削除するための 1 番目の許可が与えられたときを開始点として 7 日間の待機期間を設定します。 この間 7 日間の期間にわたって、鍵は アクティブ状態 およびすべての鍵操作が鍵に対して許可されます。 2 番目のユーザーが何もアクションを実行せずに 7 日の期間が満了した場合、鍵を削除するためには二重許可プロセスを再開する必要があります。

ステップ 1. 鍵削除の許可

インスタンスまたは鍵に対して二重許可を有効にした後は、 以下のエンドポイントに POST 呼び出しを行って、鍵を削除するための 1 つ目の許可を与えることができます。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

   削除対象キーを設定するには、そのインスタンスまたはキーの_「マネージャー」または「ライター」_ アクセス権限ポリシーが割り当てられている必要があります。 IAM ロールがどのように Hyper Protect Crypto Services サービス・アクションにマップされるかについて詳しくは、サービス・アクセス権限ロールを参照してください。

2. 削除できるよう設定 (許可) する鍵の ID をコピーします。

3. 鍵を削除するための 1 番目の許可を与えます。

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'content-type: application/vnd.ibm.kms.key_action+json'
   

   次の表に従って、例の要求内の変数を置き換えてください。

   表 1. 削除対象の鍵を設定するために必要な変数について説明します。

   変数	説明
   region	必須。 Hyper Protect Crypto Services インスタンスが存在する地理的領域を表す地域の省略形 ( us-south や eu-de など)。 詳細については、リージョナル・サービス・エンドポイントを参照してください。
   key_ID	必須。 削除するルート鍵の固有 ID。
   IAM_token	必須。 IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを cURL 要求に組み込みます。 詳細については、アクセス・トークンのリトリーブを参照してください。
   instance_ID	必須。 Hyper Protect Crypto Services インスタンスに割り当てられた固有 ID。 詳細については、インスタンス ID のリトリーブを参照してください。

   要求が成功すると、鍵の削除が許可されたことを示す HTTP 204 No Content 応答が返されます。 次のものを持つ別のユーザー: 管理者 のアクセス・ポリシーを使用できるようになりました。 UI または鍵管理サービス API を使用して、 鍵を削除 します。

   既に削除が許可されている鍵の削除を防止する必要がある場合は、以下を呼び出して既存の許可を削除できます。 POST /api/v2/keys/<key_ID>/actions/unsetKeyForDeletion.

ステップ 2 キーの削除

削除対象キーを設定すると、「マネージャー」 アクセス権限ポリシーを持つ第 2 のユーザーがそのキーを安全に削除できます。

Hyper Protect Crypto Services は、鍵を削除するための 1 番目の許可が与えられたときを開始点として 7 日間の待機期間を設定します。 この間 7 日間の期間にわたって、鍵は アクティブ状態 およびすべての鍵操作が鍵に対して許可されます。 2 番目のユーザーが何もアクションを実行せずに 7 日の期間が満了した場合、鍵を削除するためには二重許可プロセスを再開する必要があります。

鍵とその内容を削除するには、DELETEAPI を使用した鍵の削除の手順に従って、 サービス・エンドポイントに対して 呼び出しを行います。

既存の許可の取り消し

7 日間の待機期間が満了する前に鍵の許可を取り消す必要がある場合、以下のエンドポイントへの POST 呼び出しを行うことによって、既存の許可を解除できます。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/unsetKeyForDeletion

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

   キーの削除許可を削除するには、インスタンスまたはキーに対して_「マネージャー」または「ライター」_アクセス権限ポリシーが割り当てられている必要があります。 IAM 役割と Hyper Protect Crypto Services でのアクションの対応関係について詳しくは、サービス・アクセスの役割を参照してください。

2. 削除許可の設定を取り消す鍵の ID をコピーします。

3. 鍵を削除するための既存の許可を取り消します。

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/setKeyForDeletion' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'content-type: application/vnd.ibm.kms.key_action+json'
   

   次の表に従って、例の要求内の変数を置き換えてください。

   表 2. 削除対象の鍵を設定解除するために必要な変数について説明します。

   変数	説明
   region	必須。 Hyper Protect Crypto Services インスタンスが存在する地理的領域を表す地域の省略形 ( us-south や eu-de など)。 詳細については、リージョナル・サービス・エンドポイントを参照してください。
   key_ID	必須。 削除するルート鍵の固有 ID。
   IAM_token	必須。 IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを cURL 要求に組み込みます。 詳細については、アクセス・トークンのリトリーブを参照してください。
   instance_ID	必須。 Hyper Protect Crypto Services インスタンスに割り当てられた固有 ID。 詳細については、インスタンス ID のリトリーブを参照してください。

   要求が成功すると、鍵の削除がもう許可されなくなったことを示す HTTP 204 No Content 応答が返されます。 二重許可プロセスを再開する必要がある場合、削除できるよう鍵を設定するための許可をもう一度発行できます。