Rotação de chaves raiz na IU

Se preferir girar suas chaves raiz usando uma interface gráfica, você pode usar a IU.

Depois de criar ou importar suas chaves raiz existentes para o serviço, conclua as etapas a seguir para girar uma chave:

1. Efetue login na IU.

2. Acesse Menu > Lista de recursos para visualizar uma lista de seus recursos.

3. Em sua lista de recursos do IBM Cloud, selecione a sua instância provisionada do Hyper Protect Crypto Services.

4. Na página Chaves KMS, use a tabela Chaves para procurar as chaves em seu serviço.

5. Selecione a chave que deseja rodar e clique no ícone Ações para abrir uma lista de opções para a chave.

6. No menu de opções, clique em Girar chave.

   Se você forneceu inicialmente o material chave para a chave, especifique o novo material de chave codificado base64 que deseja armazenar e gerenciar no serviço. Certifique-se de que o material da chave atenda aos seguintes requisitos:

   • Deve ser 128, 192 ou 256 bits.
   • Os bytes de dados, por exemplo, 32 bytes para 256 bits, devem ser codificados usando codificação base64.

7. Clique em Girar chave para confirmar.

Girando chaves raiz com a API

É possível girar uma chave raiz fazendo uma chamada POST para o terminal a seguir.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate

1. Recuperar suas credenciais de autenticação e serviço para que funcionem com chaves no serviço.

2. Copie o ID da chave raiz que deseja girar.

   Você pode encontrar o ID de uma chave em sua instância de serviço clicando em recuperando uma lista de suas chaves ou acessando a UI.

3. Substitua a chave por novo material de chave executando o comando cURL a seguir.

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H "x-kms-key-ring: <key_ring_ID>" \
     -H 'content-type: application/vnd.ibm.kms.key_action+json' \
     -d '{
           "payload": "<key_material>"
         }'
   

   Substitua as variáveis na solicitação de exemplo de acordo com a tabela a seguir.

   Tabela 2. Descreve as variáveis necessárias para girar uma chave especificada emHyper Protect Crypto Services

   Variável	Descrição
   region	Obrigatório. A abreviação de região, como us-south ou au-syd, que representa a área geográfica em que a sua instância de serviço do Hyper Protect Crypto Services reside. Para obter mais informações, consulte Terminais de serviços regionais.
   port	Obrigatório. O número da porta do terminal da API.
   key_ID	Obrigatório. O identificador exclusivo para a chave raiz que você deseja girar.
   IAM_token	Obrigatório. Seu token de acesso do IBM Cloud. Inclua o conteúdo integral do token IAM, incluindo valor Bearer, na solicitação cURL. Para obter mais informações, consulte Recuperando um token de acesso.
   instance_ID	Obrigatório. O identificador exclusivo que é designado para sua instância de serviço Hyper Protect Crypto Services. Para obter mais informações, consulte Recuperando um ID da instância.
   key_ring_ID	Opcional. O identificador exclusivo do conjunto de chaves ao qual a chave pertence. Se não especificado, o Hyper Protect Crypto Services procurará a chave em cada conjunto de chaves associado à instância especificada. Portanto, sugere-se especificar o ID do conjunto de chaves para uma solicitação mais otimizada. Nota: o ID do conjunto de chaves de chaves que são criadas sem um cabeçalho x-kms-key-ring é: default. Para obter mais informações, consulte Gerenciando conjuntos de chaves.
   key_material	Opcional. O novo material de chave codificada em base64 que você deseja armazenar e gerenciar no serviço. Esse valor será necessário se você importar inicialmente o material de chave quando incluir a chave no serviço. Para girar uma chave que foi inicialmente gerada porHyper Protect Crypto Services, omita o payload atributo e passe um corpo de entidade de solicitação vazio. Para girar uma chave importada, forneça um material de chave que atenda aos seguintes requisitos: A chave deve ter 128, 192 ou 256 bits. Os bytes de dados, por exemplo, 32 bytes para 256 bits, devem ser codificados usando codificação base64.

   Uma solicitação de rotação bem-sucedida retorna uma resposta HTTP 204 No Content, que indica que sua chave raiz foi substituída por um novo material de chave.

4. Opcional: verifique se a chave foi girada ao executar a chamada a seguir para procurar as chaves na instância de serviço do Hyper Protect Crypto Services.

   curl -X GET \
   https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys \
   -H 'accept: application/vnd.ibm.collection+json' \
   -H 'authorization: Bearer <IAM_token>' \
   -H 'bluemix-instance: <instance_ID>' \
   

   Revise o valor lastRotateDate no corpo da entidade de resposta para inspecionar a data e hora em que sua chave foi girada pela última vez.

   {
     "metadata": {
       "collectionType": "application/vnd.ibm.kms.key+json",
       "collectionTotal": 1
     },
     "resources": [
       {
         "type": "application/vnd.ibm.kms.key+json",
         "id": "02fd6835-6001-4482-a892-13bd2085f75d",
         "name": "test-root-key",
         "state": 1,
         "extractable": false,
         "crn": "crn:v1:bluemix:public:hs-crypto:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
         "imported": false,
         "creationDate": "2020-03-12T03:50:12Z",
         "createdBy": "...",
         "algorithmType": "AES",
         "algorithmMetadata": {
           "bitLength": "256",
           "mode": "CBC_PAD"
         },
         "algorithmBitSize": 256,
         "algorithmMode": "CBC_PAD",
         "lastUpdateDate": "2020-03-12T03:50:12Z",
         "lastRotateDate": "2020-03-12T03:49:01Z",
         "keyVersion": {
           "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
           "creationDate": "2020-03-12T03:50:12Z"
         },
         "dualAuthDelete": {
           "enabled": false
         },
         "deleted": false
       }
     ]
   }
   

   O atributo keyVersion contém informações de identificação que descrevem a versão mais recente da chave raiz.

   Você também pode listar as versões disponíveis para a chave usando o API de serviço de gerenciamento de chaves do Hyper Protect Crypto Services. Para saber mais, consulte Visualizando versões da chave.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate