UI を使用してサービスインスタンスの二重認証を有効にする

インスタンス マネージャーとして、グラフィカル インターフェイスを使用してインスタンスで二重認証ポリシーを有効にする場合は、UI を使用できます。

サービス・インスタンスの作成後に、以下のステップを実行して、二重許可ポリシーを作成します。

1. UI にログインします。
2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。
3. IBM Cloud リソース・リストで、Hyper Protect Crypto Services のプロビジョン済みインスタンスを選択します。
4. 選択したサービス・インスタンスの UI で、サイド・メニューの**「インスタンス・ポリシー (Instance policies)」**タブを選択します。
5. **「二重権限の削除」セクションで Require two users to approve key deletions のボックスにチェック・マークを付け、「ポリシーの保存」**をクリックします。

API を使用したサービス・インスタンスの二重許可の有効化

インスタンス・マネージャーとして、以下に対して二重許可ポリシーを有効にします。 Hyper Protect Crypto Services インスタンスを作成する 以下のエンドポイントに PUT 呼び出しを実行します。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=dualAuthDelete

1. API の処理を行うために、認証資格情報を取得します。

   二重許可ポリシーを有効または無効にするには、サービス・インスタンスの_「マネージャー」_アクセス権限ポリシーが割り当てられている必要があります。 IAM 役割と Hyper Protect Crypto Services サービスでのアクションの対応関係について詳しくは、サービス・アクセスの役割を参照してください。

2. 以下の cURL コマンドを実行して、サービス・インスタンスの二重許可ポリシーを有効にします。

   curl -X PUT \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=dualAuthDelete' \
     -H 'accept: application/vnd.ibm.kms.policy+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'x-kms-key-ring: <key_ring_ID>' \
     -H 'content-type: application/vnd.ibm.kms.policy+json' \
     -d '{
       "metadata": {
         "collectionType": "application/vnd.ibm.kms.policy+json",
         "collectionTotal": 1
       },
       "resources": [
         {
           "policy_type": "dualAuthDelete",
           "policy_data": {
             "enabled": true
           }
         }
       ]
     }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

   表 1. インスタンス・レベルで二重許可を有効にするために必要な変数について説明します。

   変数	説明
   region	必須。 地域の略語、例：us-south または eu-de、あなたの地理的エリアを表しますHyper Protect Crypto Servicesインスタンスが存在します。 詳細については、リージョナル・サービス・エンドポイントを参照してください。
   IAM_token	必須。 IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを cURL 要求に組み込みます。 詳細については、アクセス・トークンのリトリーブを参照してください。
   instance_ID	必須。 Hyper Protect Crypto Services サービス・インスタンスに割り当てられた固有 ID。 詳細については、インスタンス ID のリトリーブを参照してください。
   key_ring_ID	オプション。 鍵が属する鍵リングの固有 ID。 指定しないと、Hyper Protect Crypto Services は、指定されたインスタンスに関連付けられているすべての鍵リングで鍵を検索します。 このため、鍵リング ID を指定して、より最適化された要求を行うことをお勧めします。 注: x-kms-key-ring ヘッダーを指定せずに作成した鍵の鍵リング ID は「default」になります。 詳しくは、鍵リングの管理を参照してください。

   要求が成功すると、サービス・インスタンスの二重許可が有効になったことを示す HTTP 204 No Content 応答が返されます。 サービスに作成またはインポートする鍵は、削除するために 2 つの許可を必要とするようになります。 詳しくは、鍵の削除を参照してください。

   この新しいポリシーは、インスタンス内の既存の鍵には影響しません。 既存の鍵に対して二重許可を有効にする必要がある場合、鍵の二重許可ポリシーの作成を参照してください。

3. オプション: 使用できるポリシーをブラウズして、二重許可ポリシーが作成されたか確認します Hyper Protect Crypto Services インスタンスで暗号キーが誤って削除されたり、悪意を持って削除されたりすることを防止するための追加ポリシーです。

   curl -X GET \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=dualAuthDelete' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'accept: application/vnd.ibm.kms.policy+json'
   

UI を使用してサービスインスタンスの二重認証を無効にする

インスタンス マネージャーとして、グラフィカル インターフェイスを使用してインスタンスの二重認証ポリシーを無効にする場合は、UI を使用できます。

サービス・インスタンスの作成後に、以下のステップを実行して、二重許可ポリシーを作成します。

1. UI にログインします。
2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。
3. IBM Cloud リソース・リストで、Hyper Protect Crypto Services のプロビジョン済みインスタンスを選択します。
4. 選択したサービス・インスタンスの UI で、サイド・メニューの**「インスタンス・ポリシー (Instance policies)」**タブを選択します。
5. **「二重権限の削除」セクションで Require two users to approve key deletions のボックスをクリアし、「ポリシーの保存」**をクリックします。

キー管理サービス API を使用したサービス・インスタンスの二重許可の無効化

インスタンス・マネージャーとして、 Hyper Protect Crypto Services インスタンスを作成する 以下のエンドポイントに PUT 呼び出しを実行します。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=dualAuthDelete

1. API の処理を行うために、認証資格情報を取得します。

   二重許可ポリシーを有効または無効にするには、サービス・インスタンスの_「マネージャー」_アクセス権限ポリシーが割り当てられている必要があります。 IAM 役割と Hyper Protect Crypto Services サービスでのアクションの対応関係について詳しくは、サービス・アクセスの役割を参照してください。

2. 以下の cURL コマンドを実行して、サービス・インスタンスの既存の二重許可ポリシーを無効にします。

   curl -X PUT \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=dualAuthDelete' \
     -H 'accept: application/vnd.ibm.kms.policy+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'x-kms-key-ring: <key_ring_ID>' \
     -H 'content-type: application/vnd.ibm.kms.policy+json' \
     -d '{
       "metadata": {
         "collectionType": "application/vnd.ibm.kms.policy+json",
         "collectionTotal": 1
       },
       "resources": [
         {
           "type": "application/vnd.ibm.kms.policy+json",
           "dualAuthDelete": {
             "enabled": false
           }
         }
       ]
     }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

   表 1. インスタンス・レベルで二重許可を有効にするために必要な変数について説明します。

   変数	説明
   region	必須。 地域の略語、例：us-south または eu-de、あなたの地理的エリアを表しますHyper Protect Crypto Servicesインスタンスが存在します。 詳細については、リージョナル・サービス・エンドポイントを参照してください。
   IAM_token	必須。 IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを cURL 要求に組み込みます。 詳細については、アクセス・トークンのリトリーブを参照してください。
   instance_ID	必須。 Hyper Protect Crypto Services サービス・インスタンスに割り当てられた固有 ID。 詳細については、インスタンス ID のリトリーブを参照してください。
   key_ring_ID	オプション。 鍵が属する鍵リングの固有 ID。 指定しないと、Hyper Protect Crypto Services は、指定されたインスタンスに関連付けられているすべての鍵リングで鍵を検索します。 このため、鍵リング ID を指定して、より最適化された要求を行うことをお勧めします。 注: x-kms-key-ring ヘッダーを指定せずに作成した鍵の鍵リング ID は「default」になります。 詳しくは、鍵リングの管理を参照してください。

   要求が成功すると、サービス・インスタンスの二重許可ポリシーが更新されたことを示す HTTP 204 No Content 応答が返されます。 サービスに作成またはインポートする鍵は、削除するために 1 つのみの許可を必要とするようになります。 詳しくは、鍵の削除を参照してください。

3. オプション: Hyper Protect Crypto Services インスタンスで暗号キーが誤って削除されたり、悪意を持って削除されたりすることを防止するための追加ポリシーです。

   curl -X GET \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=dualAuthDelete' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'accept: application/vnd.ibm.kms.policy+json'