在使用者介面中輪替根金鑰

如果您喜歡使用圖形介面輪換根密鑰，則可以使用 UI。

在建立根金鑰或將現有根金鑰匯入到服務之後，請完成下列步驟來替換金鑰：

1. 登入使用者介面。

2. 去選單>資源列表查看您的資源清單。

3. 從 IBM Cloud 資源清單，選取已佈建的 Hyper Protect Crypto Services 實例。

4. 上 KMS 金鑰頁面，使用按鍵表來瀏覽您服務中的金鑰。

5. 選擇要旋轉的金鑰並點擊行動圖示 開啟該密鑰的選項清單。

6. 從選項功能表中，按一下 替換金鑰。

   如果您最初提供金鑰的金鑰資料，請指定您要在服務中儲存及管理的新 base64 編碼金鑰資料。 請確定金鑰資料滿足下列需求：

   • 必須是 128、192 或 256 位元。
   • 必須使用 base64 編碼來編碼資料位元組（例如 32 位元組適用於 256 位元）。

7. 按一下 替換金鑰 以確認。

使用 API 輪換根金鑰

您可以透過建立一個來旋轉根密鑰 POST 調用以下端點。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate

1. 檢索您的服務和驗證憑證以使用服務中的金鑰。

2. 複製您要替換之根金鑰的 ID。

   您可以透過 擷取金鑰清單 或存取使用者介面，在服務實例中尋找金鑰的 ID。

3. 執行下列 cURL 指令，將金鑰取代為新的金鑰資料。

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H "x-kms-key-ring: <key_ring_ID>" \
     -H 'content-type: application/vnd.ibm.kms.key_action+json' \
     -d '{
           "payload": "<key_material>"
         }'
   

   根據下表取代範例要求中的變數。

   表 2. 說明在 Hyper Protect Crypto Services 中替換指定金鑰所需的變數

   變數	說明
   region	必要。 代表 Hyper Protect Crypto Services 服務實例所在地理區域的地區縮寫，例如 us-south 或 au-syd。 如需相關資訊，請參閱地區服務端點。
   port	必要。 API 端點的埠號。
   key_ID	必要。 您要替換之根金鑰的唯一 ID。
   IAM_token	必要。 您的 IBM Cloud 存取記號。 請在 cURL 要求中包含 IAM 記號的完整內容，包括 Bearer 值。 有關更多信息，請參閱 檢索訪問令牌。
   instance_ID	必要。 指派給您 Hyper Protect Crypto Services 服務實例的唯一 ID。 有關更多信息，請參閱 檢索實例 ID。
   key_ring_ID	選用。 金鑰所屬金鑰環的唯一 ID。 如果未指定，Hyper Protect Crypto Services 將在與指定實例相關聯的每個金鑰環中搜尋金鑰。 因此，建議為更最佳化的要求指定金鑰環 ID。 附註: 在沒有 x-kms-key-ring 標頭的情況下建立之金鑰的金鑰環 ID 為: 預設值。 如需相關資訊，請參閱 管理金鑰環。
   key_material	選用。 新的base64您想要在服務中儲存和管理的編碼密鑰材料。 如果在將金鑰新增至服務時一開始就匯入了金鑰資料，則這個值為必要項目。 輪換最初產生的密鑰Hyper Protect Crypto Services，省略 payload 屬性並傳遞一個空的請求實體主體。 若要替換匯入的金鑰，請提供符合下列需求的金鑰資料: 金鑰必須是 128、192 或 256 位元。 必須使用 base64 編碼來編碼資料位元組（例如 32 位元組適用於 256 位元）。

   順利完成的替換要求會傳回 HTTP 204 No Content 回應，其指出新的金鑰資料已取代您的根金鑰。

4. 選用項目：執行下列呼叫來瀏覽 Hyper Protect Crypto Services 服務實例中的金鑰，確認已替換金鑰。

   curl -X GET \
   https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys \
   -H 'accept: application/vnd.ibm.collection+json' \
   -H 'authorization: Bearer <IAM_token>' \
   -H 'bluemix-instance: <instance_ID>' \
   

   請檢閱回應實體內文中的 lastRotateDate 值，以檢查前次替換金鑰的日期和時間。

   {
     "metadata": {
       "collectionType": "application/vnd.ibm.kms.key+json",
       "collectionTotal": 1
     },
     "resources": [
       {
         "type": "application/vnd.ibm.kms.key+json",
         "id": "02fd6835-6001-4482-a892-13bd2085f75d",
         "name": "test-root-key",
         "state": 1,
         "extractable": false,
         "crn": "crn:v1:bluemix:public:hs-crypto:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
         "imported": false,
         "creationDate": "2020-03-12T03:50:12Z",
         "createdBy": "...",
         "algorithmType": "AES",
         "algorithmMetadata": {
           "bitLength": "256",
           "mode": "CBC_PAD"
         },
         "algorithmBitSize": 256,
         "algorithmMode": "CBC_PAD",
         "lastUpdateDate": "2020-03-12T03:50:12Z",
         "lastRotateDate": "2020-03-12T03:49:01Z",
         "keyVersion": {
           "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
           "creationDate": "2020-03-12T03:50:12Z"
         },
         "dualAuthDelete": {
           "enabled": false
         },
         "deleted": false
       }
     ]
   }
   

   keyVersion 屬性包含說明最新版本根金鑰的識別資訊。

   您也可以使用來列出金鑰可用的版本 Hyper Protect Crypto Services 金鑰管理服務 API。 若要進一步瞭解，請參閱 檢視金鑰版本。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate