UI でルート キーをローテーションする

グラフィカル インターフェイスを使用してルート キーをローテーションする場合は、UI を使用できます。

サービス内にルート鍵を作成するか、既存のルート鍵をインポートした後、鍵をローテートするには以下の手順を実行します。

1. UI にログインします。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Hyper Protect Crypto Services のプロビジョン済みインスタンスを選択します。

4. **「KMS 鍵 (KMS keys)」ページで、「鍵」**テーブルを使用して、このサービスの鍵を参照します。

5. 削除したいキーを選択し、アクション・アイコン をクリックしてそのキーのオプションのリストを開きます。

6. オプション・メニューから、 **「鍵のローテート (Rotate key)」**をクリックします。

   最初に鍵の鍵素材を指定した場合は、サービスで保管および管理する新しい base64 エンコードの鍵素材を指定します。 鍵の素材が以下の要件に適合していることを確認してください。

   • 128、192、または 256 ビットである必要があります。
   • データのバイト数 (例えば、256 ビットの場合は 32 バイト) は、base64 エンコードを使用してエンコードされていなければなりません。

7. **「鍵のローテート (Rotate key)」**をクリックして確認します。

API を使用したルート鍵のローテート

以下のエンドポイントに対して POST 呼び出しを行うことによって、ルート鍵をローテートできます。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate

1. サービス内で鍵の処理を行うために、サービスおよび認証の資格情報を取得します。

2. ローテートするルート鍵の ID をコピーします。

   サービスインスタンス内のキーのIDは、次の方法で見つけることができます。キーのリストを取得しています、または UI にアクセスして行います。

3. 以下の cURL コマンドを実行して、この鍵を新しい鍵素材に置き換えます。

   curl -X POST \
     'https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate' \
     -H 'accept: application/vnd.ibm.kms.key_action+json' \
     -H 'authorization: Bearer <IAM_token>' \
     -H 'bluemix-instance: <instance_ID>' \
     -H "x-kms-key-ring: <key_ring_ID>" \
     -H 'content-type: application/vnd.ibm.kms.key_action+json' \
     -d '{
           "payload": "<key_material>"
         }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

   変数	説明
   region	必須。 Hyper Protect Crypto Services サービス・インスタンスを置く地理的領域を表す、地域の省略形 (us-south、au-syd など)。 詳細については、リージョナル・サービス・エンドポイントを参照してください。
   port	必須。 API エンドポイントのポート番号。
   key_ID	必須。 ローテートするルート鍵の固有 ID。
   IAM_token	必須。 IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを cURL 要求に組み込みます。 詳細については、アクセス・トークンのリトリーブを参照してください。
   instance_ID	必須。 Hyper Protect Crypto Services サービス・インスタンスに割り当てられた固有 ID。 詳細については、インスタンス ID のリトリーブを参照してください。
   key_ring_ID	オプション。 鍵が属する鍵リングの固有 ID。 指定しないと、Hyper Protect Crypto Services は、指定されたインスタンスに関連付けられているすべての鍵リングで鍵を検索します。 このため、鍵リング ID を指定して、より最適化された要求を行うことをお勧めします。 注: x-kms-key-ring ヘッダーを指定せずに作成した鍵の鍵リング ID は「default」になります。 詳しくは、鍵リングの管理を参照してください。
   key_material	オプション。 サービスで保管および管理する、新しい base64 エンコードの

           鍵素材。 この値は、サービスへの鍵の追加時に鍵素材を最初にインポートした場合に必要になります。 \n \n 最初に生成されたキーをローテーションするにはHyper Protect Crypto Services 、省略 `payload` 属性を追加し、空のリクエスト エンティティ本体を渡します。 インポートしたキーをローテーションするには、次の要件を満たすキー マテリアルを提供します。 \n * キーは 128、192、または 256 ビットである必要があります。 \n * データのバイト数 (例えば、256 ビットの場合は 32 バイト) は、base64 エンコードを使用してエンコードされていなければなりません。 |
   

   ローテーション要求が成功すると、HTTP 204 No Content 応答が返されます。これは、ルート鍵が新しい鍵素材に置き換えられたことを示しています。

4. オプション: 次の呼び出しを実行して Hyper Protect Crypto Services サービス・インスタンス内の鍵を表示し、鍵がローテートされたことを確認します。

   curl -X GET \
   https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys \
   -H 'accept: application/vnd.ibm.collection+json' \
   -H 'authorization: Bearer <IAM_token>' \
   -H 'bluemix-instance: <instance_ID>' \
   

   応答エンティティー本体内の lastRotateDate の値を確認して、鍵が最後にローテートされた日時を調べます。

   {
     "metadata": {
       "collectionType": "application/vnd.ibm.kms.key+json",
       "collectionTotal": 1
     },
     "resources": [
       {
         "type": "application/vnd.ibm.kms.key+json",
         "id": "02fd6835-6001-4482-a892-13bd2085f75d",
         "name": "test-root-key",
         "state": 1,
         "extractable": false,
         "crn": "crn:v1:bluemix:public:hs-crypto:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
         "imported": false,
         "creationDate": "2020-03-12T03:50:12Z",
         "createdBy": "...",
         "algorithmType": "AES",
         "algorithmMetadata": {
           "bitLength": "256",
           "mode": "CBC_PAD"
         },
         "algorithmBitSize": 256,
         "algorithmMode": "CBC_PAD",
         "lastUpdateDate": "2020-03-12T03:50:12Z",
         "lastRotateDate": "2020-03-12T03:49:01Z",
         "keyVersion": {
           "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
           "creationDate": "2020-03-12T03:50:12Z"
         },
         "dualAuthDelete": {
           "enabled": false
         },
         "deleted": false
       }
     ]
   }
   

   keyVersion 属性には、ルート鍵の最新バージョンを記述する識別情報が含まれています。

   また、以下を使用して、キーに使用可能なバージョンをリストすることもできます。 Hyper Protect Crypto Services キー管理サービス API。 詳しくは、鍵のバージョンの表示を参照してください。

https://<instance_ID>.api.<region>.hs-crypto.appdomain.cloud/api/v2/keys/<key_ID>/actions/rotate