使用 UI 为服务实例启用或更新密钥创建和导入访问策略

作为安全管理员，如果您希望使用图形界面来管理密钥创建和导入访问策略设置，那么可以使用 UI。

创建 Hyper Protect Crypto Services 实例后，请完成以下步骤以启用密钥创建和导入访问策略:

1. 登录 UI。

2. 去菜单>资源列表查看您的资源列表。

3. 从 IBM Cloud 资源列表，选择 Hyper Protect Crypto Services 的已供应实例。

4. 在所选服务实例的 UI 中，选择侧边菜单中的 实例策略 选项卡。

5. 在 创建和导入密钥访问权 部分中，选中或清除相应的框以更新 keyCreateImportAccess 设置，然后单击 保存策略。

   • Allow creation of root keys: 选中此框以允许在 Hyper Protect Crypto Services 实例中创建根密钥。
   • Allow creation of standard keys: 选中此框以允许在 Hyper Protect Crypto Services 实例中创建标准密钥。
   • Allow import of root keys: 选中此框以允许将根密钥导入到 Hyper Protect Crypto Services 实例中。
   • Allow import of standard keys: 选中此框以允许将标准密钥导入到 Hyper Protect Crypto Services 实例中。
   • Enable secure import: 选中此框以阻止授权用户在不使用导入令牌的情况下将密钥资料导入到 Hyper Protect Crypto Services 实例中。

   选中 Enable secure import 的框后，需要对所有密钥导入操作启用 安全导入。 安全导入在 UI 中不可用，您需要通过 CLI 或 API 执行进一步的操作。

任何已禁用的密钥操作在“添加密钥”面板中都不可用。 选中 Secure import 的框后，需要对所有密钥导入操作启用 安全导入。 密钥导入在 UI 中不可用，您需要通过 CLI 或 API 执行进一步的操作。

使用 API 为服务实例启用和更新密钥创建和导入访问策略

作为安全性管理员，您可以通过创建 PUT 来启用或更新 Hyper Protect Crypto Services 实例的密钥创建和导入访问策略 调用以下端点。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=keyCreateImportAccess

如果要更新 Hyper Protect Crypto Services 的密钥创建和导入访问策略 请记住，如果请求中省略了某个属性，那么该字段将设置为缺省值，并且已省略的字段的现有值将被缺省值覆盖。

1. 检索认证凭证以使用 API。

   要启用 keyCreateImportAccess 策略，您需要 管理者 对 Hyper Protect Crypto Services 的访问权 实例。 了解 IAM 角色如何映射到 Hyper Protect Crypto Services 操作，检出 服务访问角色。

2. 启用或更新您的密钥创建和导入访问策略 Hyper Protect Crypto Services 实例，通过运行以下 cURL 命令。

   $ curl -X PUT \
       "https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=keyCreateImportAccess" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "keyCreateImportAccess",
                       "policy_data": {
                           "enabled": true,
                           "attributes": {
                               "create_root_key": <true/false>,
                               "create_standard_key": <true/false>,
                               "import_root_key": <true/false>,
                               "import_standard_key": <true/false>,
                               "enforce_token": <true/false>
                           }
                       }
                   }
               ]
           }'
   

   根据下表替换示例请求中的变量。

   表 1. 描述启用密钥创建和导入访问策略所需的变量

   变量	描述
   region	必需。 地区缩写，例如 us-south 或者 eu-de，代表您的Hyper Protect Crypto Services实例驻留。 有关更多信息，请参阅区域服务端点。
   IAM_token	必需。 您的 IBM Cloud 访问令牌。 在 cURL 请求中包含 IAM 令牌的完整内容，包括 Bearer 值。 有关详细信息，请参阅For more information, see 检索访问令牌。
   instance_ID	必需。 指定给您的 Hyper Protect Crypto Services 服务实例的唯一标识。 有关详细信息，请参阅For more information, see 检索实例 ID。
   create_root_key	必需。 设置为 true 以允许在 Hyper Protect Crypto Services 实例中创建根密钥。 设置为 false 可防止在实例中创建根密钥。 如果省略此属性，那么会将 true 设置为缺省值。
   create_standard_key	必需。 设置为 true 以允许在 Hyper Protect Crypto Services 实例中创建标准密钥。 设置为 false 可防止在实例中创建标准密钥。 如果省略此属性，那么会将 true 设置为缺省值。
   import_root_key	必需。 设置为 true 以允许将根密钥导入到 Hyper Protect Crypto Services 实例中。 设置为 false 可防止将根密钥导入到实例中。 如果省略此属性，那么会将 true 设置为缺省值。
   import_standard_key	必需。 设置为 true 以允许将标准密钥导入到 Hyper Protect Crypto Services 实例中。 设置为 false 可防止将标准密钥导入到实例中。 如果省略此属性，那么会将 true 设置为缺省值。
   enforce_token	必需。 设置为 true 可防止授权用户在不使用导入令牌的情况下将密钥资料导入到 Hyper Protect Crypto Services 实例中。 设置为 false 以允许授权用户在不使用导入令牌的情况下将密钥资料导入到实例中。 如果启用了 enforce_token，那么需要对所有密钥导入操作启用 安全导入。 无法通过 UI 进行密钥导入，您需要通过 CLI 或 API 执行进一步的操作。 如果省略此属性，那么会将 false 设置为缺省值。

   成功的请求将返回 HTTP 204 No Content 响应，这指示您的 Hyper Protect Crypto Services 实例现在已启用。 Hyper Protect Crypto Services 实例现在只能允许从请求中指定的方法创建或导入密钥。

3. 可选: 通过检索您的策略详细信息，验证是否已创建或更新密钥创建和导入访问策略 Hyper Protect Crypto Services 实例。

   $ curl -X GET \
       "https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=keyCreateImportAccess" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>"
   

使用密钥管理服务 API 禁用服务实例的密钥创建和导入访问策略

作为 Hyper Protect Crypto Services 实例的管理者，要使用密钥管理服务 API 禁用密钥创建和导入访问策略，请对以下端点进行 PUT 调用。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=keyCreateImportAccess

发出请求以禁用密钥创建和导入访问策略时，请勿提供任何属性。

1. 检索认证凭证以使用 API。

   要禁用 keyCreateImportAccess 策略，您需要对 Hyper Protect Crypto Services 的 管理者 访问权 实例。 了解 IAM 角色如何映射到 Hyper Protect Crypto Services 操作，检出 服务访问角色。

2. 禁用您的现有密钥创建和导入访问策略 Hyper Protect Crypto Services 实例，通过运行以下 cURL 命令。

   $ curl -X PUT \
       "https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=keyCreateImportAccess" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "keyCreateImportAccess",
                       "policy_data": {
                           "enabled": false
                       }
                   }
               ]
           }'
   

   根据下表替换示例请求中的变量。

   表 2. 描述禁用密钥创建和导入访问策略所需的变量

   变量	描述
   region	必需。 地区缩写，例如 us-south，代表您的Hyper Protect Crypto Services实例驻留。 有关更多信息，请参阅区域服务端点。
   IAM_token	必需。 您的 IBM Cloud 访问令牌。 在 cURL 请求中包含 IAM 令牌的完整内容，包括 Bearer 值。 有关详细信息，请参阅For more information, see 检索访问令牌。
   instance_ID	必需。 分配给您的Hyper Protect Crypto Services实例。 有关详细信息，请参阅For more information, see 检索实例 ID。

   成功的请求将返回 HTTP 204 No Content 响应，该响应指示将针对服务实例更新密钥创建和导入访问策略。

3. 可选: 通过检索策略详细信息来验证是否已禁用密钥创建和导入访问策略 Hyper Protect Crypto Services 实例。

   $ curl -X GET \
       "https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/instance/policies?policy=keyCreateImportAccess" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>"