関連付けられているリソースの同期化

Hyper Protect Crypto Services キー管理サービス API を使用して、ルート・キーと、関連付けられたクラウド・リソース (IBM Cloud Object Storage バケットや Cloud Databases デプロイメントなど) 間の手動データ同期要求を開始できます。

他の IBM クラウド・サービスに関連付けられているルート鍵に対して鍵ライフサイクル・アクションを実行すると、対象の IBM クラウド・サービスにその鍵ライフサイクル・イベントが通知され、対応処理を行うように促されます。 それにもかかわらず、クラウド・サービスが鍵ライフサイクル通知に応えて対応処理を行っていない場合に、同期 API を使用して、それらの関連クラウド・サービスに鍵ライフサイクル・イベントの通知を再送信することができます。

例えば、IBM Cloud Object Storage に関連付けられているルート鍵を削除したとします。 変更が有効になるまで 4 時間待った後に、鍵のリソースにアクセスできなくなっているはずが、まだアクセスできることに気付きました。 このような場合には、同期 API を呼び出して、鍵の削除というライフサイクル・イベントを IBM Cloud Object Storage に再通知することで、IBM Cloud Object Storage がリソースへのアクセスをブロックできるようにする必要があります。

同期 API は、同期化を求める要求を開始するだけです。 関連するすべてのリソースを処理し、鍵の状態と鍵のバージョンを最新の状態に更新するのは、鍵に関連付けられている IBM サービスの役割です。

関連リソースをUIと同期する

関連リソースに再通知することができますHyper Protect Crypto Services UI を使用してルート キーのライフサイクル イベントを監視します。

  1. UI にログインします。
  2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。
  3. IBM Cloud リソース・リストで、Hyper Protect Crypto Services のプロビジョン済みインスタンスを選択します。
  4. **「KMS 鍵 (KMS keys)」ページで、「鍵」**テーブルを使用して、このサービスの鍵を参照します。
  5. 特定のルート・キーの保護リソースを再認証するには、アクション・アイコン Actions icon をクリックしてキーのオプション・リストを開き、**「関連付けられたリソースの同期」**を選択します。
  6. **「関連付けられているリソースの表示 (View associated resources)」ページで、「同期化 (Synchronize)」**をクリックします。

関連付けられているリソースを API で同期する

Hyper Protect Crypto Services API を使用して、Hyper Protect Crypto Services ルート鍵のライフサイクル・イベントについて関連 IBM Cloud サービスに再通知することができます。

以下のエンドポイントに POST 呼び出しを実行して、鍵のライフサイクル・イベントを開始できます。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/sync

  1. API の処理を行うために、認証資格情報を取得します。

  2. 以下の curl コマンドを実行して、手動のデータ同期化要求を開始します。

    $ curl -X POST \
    "https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/sync" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

    次の表に従って、例の要求内の変数を置き換えてください。

    表 1. 鍵ライフサイクル・イベントの再認証を開始するために必要な変数について説明します。
    変数 説明
    region 必須。 地域の略語、例：us-south 、あなたの地理的エリアを表しますHyper Protect Crypto Servicesインスタンスが存在します。 詳細については、リージョナル・サービス・エンドポイントを参照してください。
    key_ID 必須。 表示するクラウド・リソースに関連付けられているルート鍵の ID。 詳しくは、鍵の表示を参照してください。
    IAM_token 必須。 IBM Cloud アクセス・トークン。 完全な内容を含める IAM ベアラー値を含むトークンを curl リクエスト。 詳しくは、アクセス・トークンの取得を参照してください。
    instance_ID 必須。 Hyper Protect Crypto Services サービス・インスタンスに割り当てられた固有 ID。 詳細については、インスタンス ID のリトリーブを参照してください。

    同期 API の要求が成功すると、204 No Content の HTTP 応答が返されます。これは、指定した鍵に関連付けられている IBM Cloud サービスに通知が行われたことを示しています。

同期 API を開始するには、関連クラウド・サービスに最後に鍵が通知されてから 1 時間より長く経過している必要があります。 この 1 時間以内に、この API に要求を送信して鍵が同期されたり鍵ライフサイクル・アクションが実行されたりしていた場合は、API から 409 Conflict 応答が返されます。