Rootschlüssel in der Konsole erstellen

Führen Sie nach der Erstellung einer Instanz des Service die folgenden Schritte aus, um einen Rootschlüssel in der IBM Cloud-Konsole zu erstellen.

Wenn Sie die Spezielles Angebot Key Protect bereitstellen, müssen Sie zuerst ihre Instanz initialisieren aufrufen, bevor Sie Ressourcen erstellen können.

Beachten Sie bei der Aktivierung der Einstellungen für doppelte Autorisierung für Ihre Key Protect-Instanz, dass zum Löschen der Schlüssel, die Sie zum Service hinzufügen, eine Autorisierung durch zwei Benutzer erforderlich ist.

1. Melden Sie sich bei der „ IBM Cloud “-Konsole an.

2. Rufen Sie Menü > Ressourcenliste auf, um eine Liste Ihrer Ressourcen anzuzeigen.

3. Wählen Sie in der IBM Cloud-Ressourcenliste die bereitgestellte Instanz von Key Protect aus.

4. Um einen neuen Schlüssel anzulegen, klicken Sie auf „ Schlüssel hinzufügen “. Es wird eine Seitenanzeige geöffnet. Stellen Sie sicher, dass die Option Schlüssel erstellen ausgewählt ist. Beachten Sie, dass Sie, um eine Schlüsselalias-, Schlüsselbund- oder Rotationsrichtlinie für diesen Schlüssel festzulegen, auf die Registerkarte „Erweiterte Optionen“ klicken müssen, um diese anzuzeigen.

Wenn Sie kein Manager sind (oder über eine entsprechende Berechtigungsstufe verfügen) wird die Option Rotationsrichtlinie nicht angezeigt.

Specify the key's details:

Wenn Sie alle Angaben zum Schlüssel eingegeben haben, klicken Sie zur Bestätigung auf „ Hinzufügen “.

Wenn Sie wissen, in welchem Schlüsselbund ein Schlüssel abgelegt werden soll, und Sie der Verwalter dieses Schlüsselbunds sind, können Sie auch zum Bereich „Schlüsselbunde“ navigieren, ⋯ auswählen und auf „Neuen Schlüssel hinzufügen“ klicken. Dadurch wird dieselbe Anzeige geöffnet, die Sie sehen, indem Sie auf der Seite Schlüssel auf Hinzufügen klicken, wobei die Variable Schlüsselringe mit dem Namen des Schlüsselrings ausgefüllt wird.

Die im Dienst erstellten Schlüssel sind symmetrische 256-Bit-Schlüssel, die vom AES_KW-Algorithmus unterstützt werden. Um eine höhere Sicherheit zu erhalten, werden die Schlüssel von FIPS 140-2 Level 3-zertifizierten Hardwaresicherheitsmodulen (HSMs) generiert, die sich in sicheren IBM Cloud-Rechenzentren befinden.

Wenn Sie Root-Schlüssel für verschiedene Konten oder Umgebungen einheitlich bereitstellen müssen, können Sie dies mit dem Modul Key Protect Key automatisieren. Für eine vollständige Einrichtung, die auch die Instanz Key Protect und die Schlüsselanhänger umfasst, siehe das All-inclusive-Modul Key Protect. Eine Übersicht finden Sie unter Terraform IBM Module.

Rootschlüssel mit der API erstellen

Wenn Sie die Spezielles Angebot Key Protect bereitstellen, müssen Sie zuerst ihre Instanz initialisieren aufrufen, bevor Sie Ressourcen erstellen können.

Erstellen Sie einen Rootschlüssel, indem Sie einen POST-Aufruf an den folgenden Endpunkt absetzen.

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. Rufen Sie Ihre Authentifizierungsnachweise ab, um mit den Schlüsseln im Service zu arbeiten.

2. Erstellen Sie einen Stammschlüssel, indem Sie den folgenden Befehl curl ausführen.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

Seien Sie vorsichtig, wenn Sie ein Ablaufdatum festlegen, da Schlüssel, die mit einem Ablaufdatum erstellt wurden, innerhalb einer Stunde nach Ablauf automatisch in den Zustand "Deaktiviert" übergehen. In diesem Zustand sind die einzigen zulässigen Aktionen für die Taste "Auspacken", "Neu einpacken", "Drehen" und "Löschen". Deaktivierte Schlüssel können nicht zur Verschlüsselung neuer Daten verwendet werden, selbst wenn sie während der Deaktivierung gedreht wurden. Durch die Rotation wird das Verfallsdatum weder zurückgesetzt oder verlängert, noch kann das Datum geändert werden. Es wird empfohlen, Daten, die mit einem ablaufenden oder abgelaufenen Schlüssel verschlüsselt wurden, mit einem neuen Kundenstammschlüssel (Customer Root Key, CRK) neu zu verschlüsseln, bevor der ursprüngliche CRK abläuft, um Dienstunterbrechungen zu vermeiden. Durch das Löschen und Wiederherstellen eines deaktivierten Schlüssels wird dieser nicht wieder in den aktiven Zustand versetzt. Wird das Attribut „expiration_date“ weggelassen, läuft der Schlüssel nicht ab.

Sie können die Verwendung von Schlüsseln mit Verfallsdatum überwachen, indem Sie IBM Cloud Logs. In den Protokollen werden das Ablaufdatum und die Anzahl der verbleibenden Tage mithilfe der JSON-Eigenschaften responseData.expirationDate und responseData.daysToKeyExpire für Schlüssel mit Ablaufdatum und für die folgenden Werte action angegeben: kms.secrets.wrap, kms.secrets.unwrap, kms.secrets.rewrap, kms.secrets.read, kms.secrets.readmetadata, kms.secrets.create, kms.secrets-with-policy-overrides.create und kms.secrets.expire. Darüber hinaus gibt ein erfolgreicher REST-Aufruf an GET /api/v2/keys die Eigenschaft expirationDate für jeden Schlüssel zurück, der ein Ablaufdatum hat.

Vermeiden Sie zum Schutz der Vertraulichkeit Ihrer personenbezogenen Daten die Eingabe von personenbezogenen Informationen (PII) beim Hinzufügen von Schlüsseln zum Service. Hierzu gehören beispielsweise Namen oder Standortangaben.

Mit der erfolgreichen Antwort POST api/v2/keys werden der ID-Wert für Ihren Schlüssel sowie andere Metadaten zurückgegeben. Die ID ist eine eindeutige Kennung, die Ihrem Schlüssel zugeordnet ist und die für alle nachfolgenden Aufrufe für die Key Protect-API verwendet wird.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
              ],
            "description": "A test root key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:37:32Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:37:32Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

Eine ausführliche Beschreibung der Antwortparameter finden Sie in der Referenzdokumentation zur REST-API unter Key Protect.