Schlüssel in der Konsole löschen

Standardmäßig ist für Key Protect eine Autorisierung zum Löschen eines Schlüssels erforderlich. Wenn Sie Ihre Verschlüsselungsschlüssel über eine grafische Schnittstelle löschen wollen, können Sie die IBM Cloud-Konsole verwenden.

Nach dem Erstellen oder Importieren der vorhandenen Schlüssel in den Service müssen Sie die folgenden Schritte ausführen, um einen Schlüssel zu löschen:

1. Melden Sie sich bei der „ IBM Cloud “-Konsole an.

2. Rufen Sie Menü > Ressourcenliste auf, um eine Liste Ihrer Ressourcen anzuzeigen.

3. Wählen Sie in der IBM Cloud-Ressourcenliste die bereitgestellte Instanz von Key Protect aus.

4. Verwenden Sie auf der Seite mit den Anwendungsdetails die Tabelle Schlüssel, um die Schlüssel im Service zu durchsuchen.

5. Klicken Sie auf das Symbol ⋯, um eine Liste mit Optionen für den Schlüssel zu öffnen, den Sie löschen möchten.

6. Klicken Sie im Auswahlmenü auf Löschen. Überprüfen Sie auf dem Bestätigungsbildschirm, ob dem Schlüssel keine Ressourcen zugeordnet sind, und bestätigen Sie anschließend die Löschung. Sie können einen Schlüssel nicht löschen, wenn er eine registrierte „ IBM Cloud “-Ressource schützt, die aufgrund einer Aufbewahrungsrichtlinie nicht gelöscht werden darf.

Nachdem Sie einen Schlüssel gelöscht haben, geht der Schlüssel in den Status Gelöscht über. Alle Daten, die von Schlüsseln in diesem Status verschlüsselt wurden, sind nicht mehr zugänglich. Die zugehörigen Metadaten für den Schlüssel (z. B. das Löschdatum des Schlüssels) werden in der Key Protect-Datenbank aufbewahrt. Gelöschte Schlüssel können nach bis zu 30 Tagen oder deren Verfallsdatum wiederhergestellt werden, je nachdem, welcher Wert früher ist. Nach 30 Tagen können die Schlüssel nicht mehr wiederhergestellt werden. Nach 90 Tagen können sie gelöscht werden, wobei das Schlüsselmaterial geschreddert wird und die Metadaten unzugänglich werden.

Wenn ein Benutzer das Attribut KeyPurge hat, können sie einen Schlüssel nach vier Stunden bereinigen. Weitere Informationen finden Sie im Abschnitt Schlüssel in der Konsole bereinigen .

Schlüssel in der Konsole bereinigen

Wenn es für Ihren Anwendungsfall wichtig ist, einen Schlüssel früher als 90 Tage zu bereinigen (der früheste Zeitpunkt, zu dem ein Schlüssel nach einer normalen Löschung bereinigt werden kann), kann der Schlüssel nach vier Stunden bereinigt werden, wenn ein Benutzer die Rolle KeyPurge hat.

Da das Schlüsselmaterial eines bereinigten Schlüssels dauerhaft geschreddert wird und die Metadaten unzugänglich sind, kann ein bereinigter Schlüssel nicht wiederhergestellt werden. Umso wichtiger ist es, sicherzustellen, dass der Schlüssel keine lebenswichtigen Ressourcen enthält.

So bereinigen Sie einen Schlüssel:

1. Befolgen Sie die Anweisungen zum Löschen eines Schlüssels.

2. Nachdem Sie mindestens vier Stunden gewartet haben, navigieren Sie erneut zum Schlüssel und klicken auf das Symbol ⋯.

3. Wählen Sie in den Optionen die Option Bereinigen aus den unten stehenden Optionen aus und bestätigen Sie das Löschen des Schlüssels in der nächsten Anzeige, indem Sie sicherstellen, dass der Schlüssel keine zugeordneten Ressourcen hat und dass Sie über das erforderliche Benutzerattribut KeyPurge verfügen.

Schlüssel mit API löschen

Wenn ein Benutzer die Rolle KeyPurge hat, können sie einen Schlüssel nach vier Stunden bereinigen.

Standardmäßig ist für Key Protect eine Autorisierung zum Löschen eines Schlüssels erforderlich. Sie können einen Schlüssel und seinen Inhalt mit dem Aufruf DELETE für den folgenden Endpunkt löschen.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

Diese Aktion ist nicht erfolgreich, wenn vom Schlüssel mindestens eine Cloudressource aktiv geschützt wird. Sie können die Ressourcen prüfen, die dem Schlüssel zugeordnet sind, oder Sie können bei der Abfrage den Parameter force verwenden, um den Schlüssel zu löschen.

1. Rufen Sie Ihre Authentifizierungsnachweise ab, um mit den Schlüsseln im Service zu arbeiten.

2. Rufen Sie die ID des Schlüsselrings ab, den Sie löschen möchten.

   Sie können die ID für einen Schlüssel in Ihrer Key Protect-Instanz finden, indem Sie eine Liste Ihrer Schlüssel abrufen oder auf das Key Protect- Dashboard.

3. Führen Sie den folgenden curl -Befehl aus, um den Schlüssel und seinen Inhalt zu löschen.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "prefer: <return_preference>"
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

Wenn für die Variable return_preference der Wert return=representation festgelegt wird, werden die Details der Anforderung DELETE im Entitätshauptteil der Antwort zurückgegeben.

Nachdem Sie einen Schlüssel gelöscht haben, geht er in den Schlüsselstatus Inaktiviert über. Wenn ein Schlüssel nach 24 Stunden nicht wiederhergestellt wird, wechselt er in den Status Gelöscht. Gelöschte Schlüssel sind für bis zu 30 Tage oder bis zu ihrem Ablaufdatum wiederherstellbar, danach werden die Schlüsselinhalte geschreddert und ihre Metadaten werden unzugänglich.

Das folgende JSON-Objekt zeigt ein Beispiel für einen zurückgegebenen Wert.

{
"metadata": {
    "collectionType": "application/vnd.ibm.kms.key+json",
    "collectionTotal": 1
},
"resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "state": 5,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-10T20:41:27Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": true,
            "deletionDate": "2020-03-16T21:46:53Z",
            "deletedBy": "..."
        }
    ]
}

Eine ausführliche Beschreibung der verfügbaren Parameter finden Sie in der Referenzdokumentation zur REST-API von „ Key Protect “.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>?force=true

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "type": "application/vnd.ibm.kms.key+json",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "name": "test-root-key",
            "description": "...",
            "state": 5,
            "expirationDate": "2020-03-15T20:41:27Z",
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:30372f20-d9f1-40b3-b486-a709e1932c9c:key:2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "deleted": true,
            "algorithmType": "AES",
            "createdBy": "...",
            "deletedBy": "...",
            "creationDate": "2020-03-10T20:41:27Z",
            "deletionDate": "2020-03-16T21:46:53Z",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "extractable": true
        }
    ]
}

Schlüsselbereinigung

Wenn Sie einen Schlüssel löschen, inaktivieren Sie sofort sein Schlüsselmaterial und verschieben es in einen Backstore im Key Protect Service. Vier Stunden, nachdem ein Schlüssel gelöscht wurde, wird der Schlüssel manuell bereinigt. Dreißig Tage nach dem Löschen eines Schlüssels wird der Schlüssel nicht wiederherstellbar, und das Schlüsselmaterial wird zerstört. Nachdem ein Schlüssel für 90 Tage gelöscht wurde, wenn er nicht manuell gelöscht wurde, kann der Schlüssel automatisch gelöscht werden, und alle zugehörigen Daten werden permanent aus dem Key Protect Service gelöscht oder "hart gelöscht".

Weitere Informationen zum Löschen und Löschen von Schlüsseln finden Sie im Abschnitt Informationen zum Löschen und Bereinigen von Schlüsseln.

In der folgenden Tabelle ist aufgeführt, welche APIs Sie verwenden können, um Daten zu einem gelöschten Schlüssel abzurufen.