Doppelte Autorisierung für Key Protect-Instanz über die Konsole aktivieren

Wenn Sie die Richtlinie zur doppelten Autorisierung auf Ihrer Instanz lieber über eine grafische Benutzeroberfläche aktivieren möchten, können Sie die Konsole verwenden.

Führen Sie nach dem Erstellen einer Key Protect-Instanz die folgenden Schritte aus, um eine Richtlinie für doppelte Autorisierung zu erstellen:

1. Melden Sie sich bei der „ IBM Cloud “-Konsole an.

2. Rufen Sie Menü > Ressourcenliste auf, um eine Liste Ihrer Ressourcen anzuzeigen.

3. Wählen Sie in der IBM Cloud-Ressourcenliste die bereitgestellte Instanz von Key Protect aus.

4. Klicken Sie im Navigationsmenü auf „ Richtlinien “.

5. Schalten Sie im Abschnitt „ Löschung der doppelten Autorisierung “ den Schalter um, um die Richtlinie zu aktivieren.

6. Klicken Sie auf „Speichern“, um Ihre Änderungen zu übernehmen.

Doppelte Autorisierung für Key Protect-Instanz über die API aktivieren

Als Instanzmanager können Sie eine Richtlinie für doppelte Autorisierung für eine Key Protect-Instanz aktivieren, indem Sie einen Aufruf PUT an den folgenden Endpunkt absetzen.

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete

1. Rufen Sie Ihre Authentifizierungsnachweise für die Arbeit mit der API ab.

   Um Richtlinien zur doppelten Autorisierung zu aktivieren und zu deaktivieren, muss Ihnen eine Manager-Zugriffsrichtlinie für Ihre „ Key Protect “-Instanz zugewiesen sein. Informationen zum Zuordnen von IAM-Rollen zu Key Protect-Serviceaktionen finden Sie unter Servicezugriffsrollen.

2. Aktivieren Sie eine doppelte Autorisierungsrichtlinie für Ihre Key Protect -Instanz, indem Sie den folgenden curl -Befehl ausführen.

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "dualAuthDelete",
                       "policy_data": {
                           "enabled": true
                       }
                   }
               ]
           }'
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

Bei einer erfolgreichen Anforderung wird die HTTP-Antwort 204 No Content zurückgegeben, die angibt, dass in der Key Protect-Instanz jetzt die doppelte Autorisierung aktiviert ist. Schlüssel, die Sie erstellen oder in den Service importieren, erfordern nun zwei Autorisierungen, bevor sie gelöscht werden können. Weitere Informationen finden Sie unter Schlüssel löschen.

Optional: Überprüfen der doppelten Autorisierungsrichtlinie

Sie können überprüfen, ob ein Richtlinienschlüssel mit doppelter Autorisierung aktiviert wurde, indem Sie eine Liste der Richtlinienanforderungen ausgeben:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Dabei ist <instance_ID> der Name Ihrer Instanz und Ihr <IAM_token> ist Ihr IAM-Token.

Doppelte Autorisierung für Key Protect-Instanz über die Konsole inaktivieren

Wenn Sie die Richtlinie zur doppelten Autorisierung auf Ihrer Instanz lieber über eine grafische Benutzeroberfläche deaktivieren möchten, können Sie die Konsole verwenden.

Führen Sie nach dem Erstellen einer Key Protect-Instanz die folgenden Schritte aus, um eine Richtlinie für doppelte Autorisierung zu erstellen:

1. Melden Sie sich bei der „ IBM Cloud “-Konsole an.

2. Rufen Sie Menü > Ressourcenliste auf, um eine Liste Ihrer Ressourcen anzuzeigen.

3. Wählen Sie in der IBM Cloud-Ressourcenliste die bereitgestellte Instanz von Key Protect aus.

4. Klicken Sie im Navigationsmenü auf „ Richtlinien “.

5. Schalten Sie im Abschnitt „ Löschung der doppelten Autorisierung “ den Schalter um, um die Richtlinie zu deaktivieren.

6. Klicken Sie auf „Speichern“, um Ihre Änderungen zu übernehmen.

Löschvorgang für einen Schlüssel in der Konsole autorisieren

Nachdem Sie die doppelte Berechtigung für eine Instanz oder einen Schlüssel aktiviert haben, können Sie die erste Berechtigung zum Löschen eines Schlüssels über die Key Protect IBM Cloud Konsole angeben.

1. Melden Sie sich bei der „ IBM Cloud “-Konsole an.

2. Rufen Sie Menü > Ressourcenliste auf, um eine Liste Ihrer Ressourcen anzuzeigen.

3. Wählen Sie in der IBM Cloud-Ressourcenliste die bereitgestellte Instanz von Key Protect aus.

4. Verwenden Sie auf der Seite mit den Anwendungsdetails die Tabelle Schlüssel, um die Schlüssel im Service zu durchsuchen.

5. Klicken Sie auf das Symbol ⋯, um eine Liste mit Optionen für den Schlüssel zu öffnen, den Sie löschen möchten.

6. Klicken Sie im Optionsmenü auf „ Löschung planen “ und überprüfen Sie die mit dem Schlüssel verknüpften Ressourcen.

7. Klicken Sie auf die Schaltfläche Next , geben Sie den Schlüsselnamen ein und klicken Sie auf Schedule deletion.

8. Wenden Sie sich an einen anderen Benutzer, um die Löschung des Schlüssels abzuschließen.

Der andere Benutzer muss über die Manager-Zugriffsrichtlinie für die Instanz oder den Schlüssel verfügen, um den Schlüssel zum Löschen zu autorisieren.

Löschen eines Schlüssels, der die doppelte Autorisierung in der Konsole besitzt

Vier Stunden nachdem der andere Benutzer mit einer Manager-Zugriffsrichtlinie den Schlüssel zum Löschen autorisiert hat, kann er von einem der Benutzer gelöscht werden, solange er über das Attribut KeyPurge verfügt.

Dazu klicken Sie auf das Symbol 'Symbol', um eine Liste der Optionen für den Schlüssel zu öffnen, den Sie löschen möchten, und klicken Sie anschließend auf Löschen. Wenn Sie den Schlüssel nicht löschen können, vergewissern Sie sich, dass mindestens vier Stunden vergangen sind, seit der Schlüssel von einem anderen Benutzer zum Löschen autorisiert wurde, und dass Sie über das Attribut KeyPurge verfügen.

Löschung für einen Schlüssel mithilfe der API autorisieren

Nachdem Sie die doppelte Autorisierung für eine Instanz oder einen Schlüssel aktiviert haben, können Sie die erste Autorisierung zum Löschen eines Schlüssels erteilen, indem Sie einen Aufruf von POST an den folgenden Endpunkt senden.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion

1. Rufen Sie Ihre Authentifizierungsnachweise ab, um mit den Schlüsseln im Service zu arbeiten.

   Zum Festlegen eines Schlüssels zum Löschen müssen Sie über eine Manager- oder Writer-Zugriffsrichtlinie für die Instanz oder den Schlüssel verfügen. Informationen zum Zuordnen von IAM-Rollen zu Key Protect-Serviceaktionen finden Sie unter Servicezugriffsrollen.

2. Kopieren Sie die ID des Schlüssels, den Sie zum Löschen festlegen oder autorisieren wollen.

3. Führen Sie die erste Autorisierung zum Löschen des Schlüssels durch.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

Eine erfolgreiche Anforderung gibt eine HTTP-Antwort 204 No Content zurück, die angibt, dass Ihr Schlüssel für das Löschen autorisiert wurde. Ein weiterer Benutzer mit einer Zugriffsrichtlinie vom Typ „ Manager “ kann nun über die Key Protect-Konsole oder die API die Funktion „ Den Schlüssel löschen “ aufrufen.

Wenn Sie das Löschen eines Schlüssels verhindern müssen, der bereits zum Löschen autorisiert wurde, können Sie die vorhandene Berechtigung entfernen, indem Sie POST /api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion aufrufen.

Schlüssel löschen

Nachdem Sie einen Schlüssel zum Löschen markiert haben, kann ein anderer Benutzer mit einer „Manager“-Zugriffsrichtlinie den Schlüssel über die Benutzeroberfläche oder die API von „ Key Protect “ sicher löschen.

Key Protect legt einen Zeitraum für die Gültigkeitsdauer des Schlüssels fest, der gestartet wird, nachdem Sie die erste Berechtigung zum Löschen des Schlüssels angegeben haben. Während dieser siebentägigen Periode bleibt der Schlüssel im Status Aktiv und alle Schlüsseloperationen sind auf dem Schlüssel zulässig. Wenn kein anderer Benutzer Maßnahmen ergreift und die Frist von sieben Tagen abläuft, müssen Sie den doppelten Autorisierungsprozess erneut durchlaufen, um den Schlüssel zu löschen.

Löschen Sie einen Schlüssel und seinen Inhalt mit dem Aufruf DELETE für den folgenden Endpunkt.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1. Rufen Sie Ihre Authentifizierungsnachweise ab, um mit den Schlüsseln im Service zu arbeiten.

2. Rufen Sie die ID des Schlüssels ab, den Sie löschen möchten.

   Sie können die ID für einen angegebenen Schlüssel abrufen, indem Sie die Anforderung GET /v2/keys absetzen oder indem Sie die Schlüssel im Key Protect-Dashboard anzeigen.

3. Führen Sie den folgenden curl -Befehl aus, um den Schlüssel und seinen Inhalt zu löschen.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

Wenn für die Variable return_preference der Wert return=representation festgelegt wird, werden die Details der Anforderung DELETE im Entitätshauptteil der Antwort zurückgegeben.

Nachdem Sie einen Schlüssel gelöscht haben, wird er in den Status Deactivated versetzt. Wird ein gelöschter Schlüssel nicht innerhalb von 24 Stunden erneut aktiviert, wird er in den Status Destroyed versetzt. Gelöschte Schlüssel können nach bis zu 30 Tagen oder deren Verfallsdatum wiederhergestellt werden, je nachdem, welcher Wert früher ist. Danach werden die Schlüsselinhalte dauerhaft gelöscht und nicht mehr zugänglich.

Das folgende JSON-Objekt zeigt ein Beispiel für einen zurückgegebenen Wert.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
          "type": "application/vnd.ibm.kms.key+json",
          "id": "02fd6835-6001-4482-a892-13bd2085f75d",
          "name": "test-root-key",
          "aliases": [
                "alias-1",
                "alias-2"
              ],
          "state": 5,
          "extractable": false,
          "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
          "imported": false,
          "creationDate": "2020-03-10T20:41:27Z",
          "createdBy": "...",
          "algorithmType": "Deprecated",
          "algorithmMetadata": {
              "bitLength": "256",
              "mode": "Deprecated"
          },
          "algorithmBitSize": 256,
          "algorithmMode": "Deprecated",
          "lastUpdateDate": "2020-03-16T20:41:27Z",
          "dualAuthDelete": {
              "enabled": false
          },
          "deleted": true,
          "deletionDate": "2020-03-16T21:46:53Z",
          "deletedBy": "..."
        }
    ]
}

Eine ausführliche Beschreibung der verfügbaren Parameter finden Sie in der Referenzdokumentation zur REST-API von „ Key Protect “.

Vorhandene Autorisierung entfernen

Wenn Sie eine Autorisierung für einen Schlüssel abbrechen müssen, bevor der Gültigkeitszeitraum für die siebte Tage abläuft, können Sie die vorhandene Berechtigung entfernen, indem Sie einen POST -Aufruf an den folgenden Endpunkt aufrufen.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion

1. Rufen Sie Ihre Authentifizierungsnachweise ab, um mit den Schlüsseln im Service zu arbeiten.

   Um eine Berechtigung zum Löschen eines Schlüssels zu entfernen, muss Ihnen eine Manager- oder Writer-Zugriffsrichtlinie für die Instanz oder den Schlüssel zugeordnet sein. Informationen zum Zuordnen von IAM-Rollen zu Key Protect-Serviceaktionen finden Sie unter Servicezugriffsrollen.

2. Kopieren Sie die ID des Schlüssels, dessen Löschautorisierung Sie aufheben wollen.

3. Entfernen Sie eine vorhandene Autorisierung zum Löschen des Schlüssels.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

Eine erfolgreiche Anforderung gibt eine HTTP-Antwort 204 No Content zurück, die angibt, dass Ihr Schlüssel nicht mehr zum Löschen autorisiert ist. Falls Sie den doppelten Autorisierungsprozess neu starten müssen, können Sie eine weitere Autorisierung erteilen, um den Schlüssel zum Löschen festzulegen.