Importieren von Root-Keys über die Benutzeroberfläche

Führen Sie nach dem Erstellen einer Instanz des Service die folgenden Schritte aus, um einen vorhandenen Rootschlüssel über die Hyper Protect Crypto Services-GUI hinzuzufügen.

1. Melden Sie sich bei der Benutzerschnittstelle an.

2. Rufen Sie Menü > Ressourcenliste auf, um eine Liste Ihrer Ressourcen anzuzeigen.

3. Wählen Sie in Ihrer IBM Cloud-Ressourcenliste die bereitgestellte Instanz von Hyper Protect Crypto Services aus.

4. Um einen Schlüssel zu importieren, wählen Sie die Registerkarte KMS-Schlüssel im Seitenmenü aus.

5. Klicken Sie in der Tabelle Schlüssel auf Schlüssel hinzufügenund wählen Sie Schlüssel importieren aus.

   Geben Sie die Schlüsseldetails an:

   Tabelle 1. Beschreibt die Einstellungen für den Import eines Rootschlüssels

   Einstellung	Beschreibung
   Schlüsseltyp	Der Schlüsseltyp, den Sie in Hyper Protect Crypto Services verwalten möchten. Wählen Sie in der Liste der Schlüsseltypen **Rootschlüssel**aus.
   Schlüsselname	Ein eindeutiger, lesbarer Alias zur einfachen Identifikation Ihres Schlüssels. Stellen Sie aus Datenschutzgründen sicher, dass der Schlüsselname keine personenbezogenen Daten (PII) wie den Namen oder den Standort enthält.
   Schlüsselaliasname	(Optional) Ein oder mehr eindeutige lesbare Aliasnamen, die Sie Ihrem Schlüssel zuweisen möchten, um eine einfache Erkennung zu ermöglichen. Die Aliasgröße muss ein Wert im Bereich 2 - 90 Zeichen sein. Sie können bis zu fünf Schlüsselaliasnamen für den Schlüssel festlegen, die jeweils durch ein Komma voneinander zu trennen sind. Hinweis: Jeder Alias muss alphanumerisch sein, Groß- und Kleinschreibung beachten und darf keine Leerzeichen oder Sonderzeichen außer Bindestrichen (-) oder Unterstrichen (_) enthalten. Der Alias darf keine UUID der Version 4 sein und darf keinHyper Protect Crypto Services reservierter Name:allowed_ip,key,keys,metadata,policy,policies,registration,registrations,ring,rings,rotate,wrap,unwrap,rewrap,version,versions.
   Schlüsselring-ID	Wählen Sie einen Schlüsselring aus der Liste aus, in der die vorhandenen Schlüsselringe enthalten sind. Wenn Sie keinen Schlüsselring zuordnen, wird der Schlüssel zum Schlüsselring default hinzugefügt. Weitere Informationen zu Schlüsselringen finden Sie im Abschnitt zum Verwalten von Schlüsselringen.
   Schlüsselmaterial	Die base64-codierten Schlüsselinformationen (z. B. ein vorhandener Key-Wrapping-Schlüssel), den Sie im Service speichern und verwalten möchten. Weitere Informationen finden Sie unter Base64-Verschlüsselung Ihrer Schlüsselinformationen. Stellen Sie sicher, dass das Schlüsselmaterial die folgenden Anforderungen erfüllt: Der Schlüssel muss 16, 24 oder 32 Byte lang sein, was 128, 192 oder 256 Bit entspricht. Der Schlüssel muss base64-codiert sein.
   Ablaufdatum	(Optional) Legen Sie den Zeitpunkt (Datum und Uhrzeit) fest, zu dem der Schlüssel abläuft. Nach Ablauf des Ablaufdatums wechselt der Schlüssel in den Zustand „Deaktiviert“. Weitere Informationen zum Schlüsselstatus finden Sie im Abschnitt zum Überwachen des Lebenszyklus von Verschlüsselungsschlüsseln.
   Beschreibung	(Optional.) Fügen Sie eine erweiterte Beschreibung Ihres Schlüssels hinzu. Sie kann 2 bis 240 Zeichen lang sein.

6. Wenn Sie die Angabe der Details des Schlüssels abgeschlossen haben, klicken Sie zur Bestätigung auf Schlüssel importieren.

Rootschlüssel mit der API importieren

Importieren Sie symmetrische Schlüssel in Hyper Protect Crypto Services, indem Sie einen POST-Aufruf an den folgenden Endpunkt absetzen.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys

1. Rufen Sie Ihren Service- und Authentifizierungsnachweis ab, um mit den Schlüsseln im Service zu arbeiten.

2. Ruf den Hyper Protect Crypto Services API des Schlüsselverwaltungsdienstes mit den folgendencURL Befehl:

   curl -X POST \
     https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H 'content-type: application/vnd.ibm.kms.key+json' \
     -d '{
    "metadata": {
      "collectionType": "application/vnd.ibm.kms.key+json",
      "collectionTotal": 1
    },
    "resources": [
      {
      "type": "application/vnd.ibm.kms.key+json",
      "name": "<key_alias>",
      "description": "<key_description>",
      "expirationDate": "<YYYY-MM-DDTHH:MM:SS.SSZ>",
      "payload": "<key_material>",
      "extractable": <key_type>
      }
    ]
   }'
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

   Tabelle 2. Beschreibt die Variablen, die zum Hinzufügen eines Rootschlüssels mit der API erforderlich sind

   Variabel	Beschreibung
   region	Erforderlich. Die Regionsabkürzung, wie zum Beispiel us-south oder au-syd, das den geografischen Bereich darstellt, in dem IhrHyper Protect Crypto Services Instanz befindet. Weitere Informationen finden Sie unter Regionale Serviceendpunkte.
   port	Erforderlich. Die Portnummer des API-Endpunkts.
   IAM_token	Erforderlich. Ihr IBM Cloud-Zugriffstoken. Nehmen Sie den vollständigen Inhalt des IAM-Tokens einschließlich des Werts für Bearer in die cURL-Anforderung auf. Weitere Informationen finden Sie unter Zugriffstoken abrufen.
   instance_ID	Erforderlich. Die eindeutige ID, die Ihrer Hyper Protect Crypto Services-Instanz zugewiesen ist. Weitere Informationen finden Sie unter Instanz-ID abrufen.
   correlation_ID	Die eindeutige ID, die zum Überwachen und Korrelieren von Transaktionen verwendet wird.
   key_alias	Erforderlich. Ein eindeutiger, lesbarer Name zur einfachen Identifikation Ihres Schlüssels. Aus Datenschutzgründen dürfen keine personenbezogenen Daten als Metadaten für den Schlüssel gespeichert werden.
   key_description	Eine erweiterte Beschreibung des Schlüssels. Aus Datenschutzgründen dürfen keine personenbezogenen Daten als Metadaten für den Schlüssel gespeichert werden.
   YYYY-MM-DD HH:MM:SS.SS	Der Zeitpunkt (Datum und Uhrzeit), zu dem der Schlüssel im System abläuft, im RFC-3339-Format. Wenn das expirationDate Attribut weggelassen wird, läuft der Schlüssel nicht ab.
   key_material	Die base64-codierten Schlüsselinformationen (z. B. ein vorhandener Key-Wrapping-Schlüssel), den Sie im Service speichern und verwalten möchten. Weitere Informationen finden Sie unter Base64-Verschlüsselung Ihrer Schlüsselinformationen. Stellen Sie sicher, dass das Schlüsselmaterial die folgenden Anforderungen erfüllt: Der Schlüssel muss 16, 24 oder 32 Byte lang sein, was 128, 192 oder 256 Bit entspricht. Der Schlüssel muss base64-codiert sein.
   key_type	Ein boolescher Wert, der bestimmt, ob die Schlüsselinformationen den Service verlassen dürfen. Wenn Sie die extractable zuschreiben false kennzeichnet der Dienst den Schlüssel als Stammschlüssel, den Sie verwenden können für wrap oder unwrap Operationen.

   Vermeiden Sie zum Schutz der Vertraulichkeit Ihrer personenbezogenen Daten die Eingabe von personenbezogenen Informationen (PII) beim Hinzufügen von Schlüsseln zum Service. Hierzu gehören beispielsweise Namen oder Standortangaben. Weitere Beispiele für PII finden Sie im Abschnitt2.2 des NIST-Sonderveröffentlichung 800-122.

   Mit der erfolgreichen Antwort POST api/v2/keys werden der ID-Wert für Ihren Schlüssel sowie andere Metadaten zurückgegeben. Die ID ist eine eindeutige Kennung, die Ihrem Schlüssel zugeordnet ist und für nachfolgende Aufrufe der API des Hyper Protect Crypto Services-Schlüsselmanagementservice verwendet wird.

3. Optional: Prüfen Sie, ob der Schlüssel hinzugefügt wurde, indem Sie den folgenden Aufruf ausführen, um die Schlüssel in Ihrer Hyper Protect Crypto Services-Serviceinstanz zu durchsuchen.

   curl -X GET \
   https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys \
   -H 'accept: application/vnd.ibm.collection+json' \
   -H 'authorization: Bearer <IAM_token>' \
   -H 'bluemix-instance: <instance_ID>'
   

Rootschlüssel mit der CLI importieren

Führen Sie die folgenden Schritte aus, um Rootschlüssel mithilfe der Key Protect-CLI zu importieren, die in Hyper Protect Crypto Services integriert ist:

1. Richten Sie die Key Protect-CLI ein.

2. Importieren Sie einen Rootschlüssel mit dem folgenden Befehl:

   ibmcloud kp key create
   

   Weitere Parameter für diesen Befehl finden Sie in der Key Protect-CLI-Referenz.