Rotación de claves raíz en la interfaz de usuario

Si prefiere rotar sus claves raíz mediante una interfaz gráfica, puede utilizar la interfaz de usuario.

Después de crear o importar sus claves raíz existentes en el servicio, complete los siguientes pasos para rotar una clave:

1. Inicie sesión en la interfaz de usuario.

2. Vaya a Menú > Lista de recursos para ver una lista de sus recursos.

3. Desde la lista de recursos de IBM Cloud seleccione su instancia suministrada de Hyper Protect Crypto Services.

4. En la página Claves KMS, utilice la tabla Claves para explorar las claves de su servicio.

5. Seleccione la clave que desea rotar y pulse el icono Acciones para abrir una lista de opciones para la clave.

6. En el menú de opciones, pulse Rotar clave.

   Si inicialmente ha proporcionado el material de clave para la clave, especifique el nuevo material de clave codificado base64 que desea almacenar y gestionar en el servicio. Asegúrese de que el material de la clave cumple los requisitos siguientes:

   • Debe ser de 128, 192 o 256 bits.
   • Los bytes de datos, por ejemplo, 32 bytes para 256 bits, se deben codificar en base64.

7. Pulse Rotar clave para confirmar.

Rotación de claves raíz con la API

Puede rotar una clave raíz realizando una llamada POST al siguiente punto final.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate

1. Recupere sus credenciales de servicio y de autenticación para trabajar con claves en el servicio.

2. Copie el ID de la clave raíz que desea rotar.

   Puede encontrar el ID de una clave en su instancia de servicio haciendo clic en recuperando una lista de sus claves, o accediendo a la interfaz de usuario.

3. Sustituya la clave por el nuevo material de clave con el siguiente mandato cURL.

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H "x-kms-key-ring: <key_ring_ID>" \
     -H 'content-type: application/vnd.ibm.kms.key_action+json' \
     -d '{
           "payload": "<key_material>"
         }'
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

   Tabla 2. Describe las variables necesarias para rotar una clave específica enHyper Protect Crypto Services

   Variable	Descripción
   region	Obligatorio. La abreviatura de región, como us-south o au-syd, que representa el área geográfica donde reside su instancia de servicio de Hyper Protect Crypto Services. Para obtener más información, consulte Puntos finales de servicio regional.
   port	Obligatorio. El número de puerto del punto final de API.
   key_ID	Obligatorio. Identificador exclusivo para la clave raíz que desea rotar.
   IAM_token	Obligatorio. Su señal de acceso de IBM Cloud. Incluya el contenido completo de la señal IAM, incluido el valor de Bearer, en la solicitud cURL. Para obtener más información, consulte Recuperación de una señal de acceso.
   instance_ID	Obligatorio. El identificador exclusivo que está asignado a su instancia de servicio de Hyper Protect Crypto Services. Para obtener más información, consulte Recuperación de un ID de instancia.
   key_ring_ID	Opcional. El identificador exclusivo del conjunto de claves al que pertenece la clave. Si no se especifica, Hyper Protect Crypto Services buscará la clave en cada conjunto de claves asociado a la instancia especificada. Por lo tanto, se recomienda especificar el ID del conjunto de claves para una solicitud más optimizada. Nota: El ID del conjunto de claves que se ha creado sin una cabecera x-kms-key-ring es: default. Para obtener más información, consulte Gestionar conjuntos de claves.
   key_material	Opcional. El nuevo material de clave codificado en base64 que desea almacenar y gestionar en el servicio. Este valor es necesario si inicialmente importó el material de clave cuando añadió la clave al servicio. Para rotar una clave que fue generada inicialmente porHyper Protect Crypto Services, omitir el payload atributo y pasar un cuerpo de entidad de solicitud vacío. Para rotar una clave importada, proporcione un material de clave que cumpla con los siguientes requisitos: La clave debe ser de 128, 192 o 256 bits. Los bytes de datos, por ejemplo, 32 bytes para 256 bits, se deben codificar en base64.

   Una solicitud de rotación correcta devuelve una respuesta HTTP 204 No Content, que indica que la clave raíz se ha sustituido por material de clave nuevo.

4. Opcional: Verifique que la clave se ha rotado ejecutando la siguiente llamada para examinar las claves en su instancia de servicio de Hyper Protect Crypto Services.

   curl -X GET \
   https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys \
   -H 'accept: application/vnd.ibm.collection+json' \
   -H 'authorization: Bearer <IAM_token>' \
   -H 'bluemix-instance: <instance_ID>' \
   

   Revise el valor lastRotateDate en el cuerpo de entidad de respuesta para comprobar la fecha y hora en que se rotó la clave por última vez.

   {
     "metadata": {
       "collectionType": "application/vnd.ibm.kms.key+json",
       "collectionTotal": 1
     },
     "resources": [
       {
         "type": "application/vnd.ibm.kms.key+json",
         "id": "02fd6835-6001-4482-a892-13bd2085f75d",
         "name": "test-root-key",
         "state": 1,
         "extractable": false,
         "crn": "crn:v1:bluemix:public:hs-crypto:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
         "imported": false,
         "creationDate": "2020-03-12T03:50:12Z",
         "createdBy": "...",
         "algorithmType": "AES",
         "algorithmMetadata": {
           "bitLength": "256",
           "mode": "CBC_PAD"
         },
         "algorithmBitSize": 256,
         "algorithmMode": "CBC_PAD",
         "lastUpdateDate": "2020-03-12T03:50:12Z",
         "lastRotateDate": "2020-03-12T03:49:01Z",
         "keyVersion": {
           "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
           "creationDate": "2020-03-12T03:50:12Z"
         },
         "dualAuthDelete": {
           "enabled": false
         },
         "deleted": false
       }
     ]
   }
   

   El atributo keyVersion contiene información de identificación que describe la versión más reciente de la clave raíz.

   También puede listar las versiones que hay disponibles de la clave utilizando la API de servicio de gestión de claves Hyper Protect Crypto Services. Para obtener más información, consulte Visualización de versiones de clave.

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate