Habilitación de la autorización dual para una instancia de Key Protect con la consola

Si prefieres habilitar una política de doble autorización en tu instancia mediante una interfaz gráfica, puedes utilizar la consola.

Después de crear una instancia de Key Protect, siga estos pasos para crear una política de autorización dual:

1. Inicia sesión en la consola de IBM Cloud.

2. Vaya a Menú > Lista de recursos para ver una lista de sus recursos.

3. Desde la lista de recursos de IBM Cloud seleccione su instancia suministrada de Key Protect.

4. En el menú de navegación, haz clic en « Políticas ».

5. En la sección «Eliminación de la autorización dual», activa el interruptor para habilitar la política.

6. Haz clic en « Guardar » para aplicar los cambios.

Habilitación de la autorización dual para una instancia de Key Protect con la API

Como gestor de la instancia, puede habilitar una política de autorización dual para una instancia de Key Protect realizando una llamada PUT al punto final siguiente.

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete

1. Recupere sus credenciales de autenticación para trabajar con la API.

   Para activar y desactivar las políticas de autorización dual, debes tener asignada una política de acceso de administrador para tu instancia de Key Protect. Para saber cómo se correlacionan los roles de IAM con las acciones de servicio de Key Protect, consulte los Roles de acceso al servicio.

2. Habilite una política de autorización dual para la instancia de Key Protect ejecutando el siguiente mandato curl.

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "dualAuthDelete",
                       "policy_data": {
                           "enabled": true
                       }
                   }
               ]
           }'
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

Una solicitud satisfactoria devuelve una respuesta HTTP 204 No Content, que indica que la instancia de Key Protect está ahora habilitada para la autorización dual. Las claves que cree o importe en el servicio ahora requieren dos autorizaciones para poderlas suprimir. Para obtener más información, consulte Supresión de claves.

Opcional: Verificar la habilitación de la política de autorización dual

Puede verificar que se ha habilitado una política de autorización dual emitiendo una solicitud de listar políticas:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Donde <instance_ID> es el nombre de la instancia y <IAM_token> es la señal IAM.

Inhabilitación de la autorización dual para una instancia de Key Protect con la consola

Si prefieres desactivar una política de doble autorización en tu instancia mediante una interfaz gráfica, puedes utilizar la consola.

Después de crear una instancia de Key Protect, siga estos pasos para crear una política de autorización dual:

1. Inicia sesión en la consola de IBM Cloud.

2. Vaya a Menú > Lista de recursos para ver una lista de sus recursos.

3. Desde la lista de recursos de IBM Cloud seleccione su instancia suministrada de Key Protect.

4. En el menú de navegación, haz clic en « Políticas ».

5. En la sección «Eliminación de la autorización dual», activa el interruptor para desactivar la política.

6. Haz clic en « Guardar » para aplicar los cambios.

Autorizar la supresión de una clave en la consola

Después de habilitar la autorización dual para una instancia o clave, puede proporcionar la primera autorización para suprimir una clave utilizando la consola Key Protect IBM Cloud.

1. Inicia sesión en la consola de IBM Cloud.

2. Vaya a Menú > Lista de recursos para ver una lista de sus recursos.

3. Desde la lista de recursos de IBM Cloud seleccione su instancia suministrada de Key Protect.

4. En la página de detalles de la aplicación, utilice la tabla de Claves tabla para examinar las claves en el servicio.

5. Pulse el icono ⋯ para abrir una lista de opciones para la clave que desea suprimir.

6. En el menú de opciones, haz clic en « Programar eliminación » y revisa los recursos asociados a la clave.

7. Pulse el botón Next, especifique el nombre de la clave y pulse Schedule deletion.

8. Póngase en contacto con otro usuario para completar la supresión de la clave.

El otro usuario debe tener la política de acceso de Gestor para la instancia o la clave para poder autorizar la supresión de la clave.

Depuración de una clave que contiene autorización dual en la consola

Cuatro horas después de que el otro usuario con una política de acceso de Gestor haya autorizado la clave para su supresión, puede ser depurada por uno de los usuarios siempre y cuando tenga el atributo KeyPurge.

Esto se puede hacer pulsando el icono ... para abrir una lista de opciones para la clave que desea depurar y, a continuación, pulsar depurar. Si no puede suprimir la clave, asegúrese de que han transcurrido al menos cuatro horas desde que otro usuario autorizó la supresión de la clave y de que tiene el atributo KeyPurge.

Autorización de la supresión de una clave con la API

Una vez habilitada la autorización dual para una instancia o una clave, puedes proporcionar la primera autorización para eliminar una clave realizando una llamada de tipo « POST » al siguiente punto de acceso.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion

1. Recupere sus credenciales de autenticación para trabajar con claves en el servicio.

   Para establecer una clave para suprimir, debe tener asignada una política de acceso de Gestor o Escritor para la instancia o clave. Para saber cómo se correlacionan los roles de IAM con las acciones de servicio de Key Protect, consulte los Roles de acceso al servicio.

2. Copie el ID de la clave que desea establecer o autorizar para su supresión.

3. Proporcione la primera autorización para suprimir la clave.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

Una solicitud satisfactoria devuelve una respuesta HTTP 204 No Content, que indica que se ha autorizado la clave para su supresión. Ahora, cualquier otro usuario con una política de acceso de «Administrador» puede eliminar la clave mediante la consola de Key Protect o la API.

Si necesita impedir la supresión de una clave que ya está autorizada para su supresión, puede eliminar la autorización existente llamando aPOST /api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion.

Suprimir la clave

Una vez que hayas marcado una clave para su eliminación, otro usuario con una política de acceso de «Administrador» podrá eliminarla de forma segura mediante la interfaz gráfica de usuario (GUI) o la API de Key Protect.

Key Protect establece un periodo de autorización de siete días que se inicia después de proporcionar la primera autorización para suprimir la clave. Durante este período de siete días, la clave permanece en estado Activo y todas las operaciones de claves están permitidas en esa clave. Si ningún otro usuario realiza ninguna acción y vence el plazo de siete días, deberás reiniciar el proceso de autorización doble para eliminar la clave.

Para suprimir una clave y su contenido se debe hacer una llamada DELETE al siguiente punto final.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1. Recupere sus credenciales de autenticación para trabajar con claves en el servicio.

2. Recupere el ID de la clave que desea suprimir.

   Puede recuperar el ID de una clave especificada realizando una solicitud GET /v2/keys o visualizando sus claves en el panel de control de Key Protect.

3. Ejecute el siguiente mandato curl para suprimir la clave y su contenido.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

Si la variable return_preference se establece en return=representation, los detalles de la solicitud DELETE se devuelven en el cuerpo de entidad de la respuesta.

Después de suprimir una clave, pasa al estado de clave Deactivated. Transcurridas 24 horas, si no se restablece una clave, la clave pasa al estado Destroyed. Las claves destruidas se pueden recuperar después de un máximo de 30 días o su fecha de caducidad, lo que ocurra primero. Después de esto, los contenidos de la clave se borran permanentemente y ya no son accesibles.

El siguiente objeto JSON muestra un valor devuelto de ejemplo.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
          "type": "application/vnd.ibm.kms.key+json",
          "id": "02fd6835-6001-4482-a892-13bd2085f75d",
          "name": "test-root-key",
          "aliases": [
                "alias-1",
                "alias-2"
              ],
          "state": 5,
          "extractable": false,
          "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
          "imported": false,
          "creationDate": "2020-03-10T20:41:27Z",
          "createdBy": "...",
          "algorithmType": "Deprecated",
          "algorithmMetadata": {
              "bitLength": "256",
              "mode": "Deprecated"
          },
          "algorithmBitSize": 256,
          "algorithmMode": "Deprecated",
          "lastUpdateDate": "2020-03-16T20:41:27Z",
          "dualAuthDelete": {
              "enabled": false
          },
          "deleted": true,
          "deletionDate": "2020-03-16T21:46:53Z",
          "deletedBy": "..."
        }
    ]
}

Para obtener una descripción detallada de los parámetros disponibles, consulta la documentación de referencia de la API REST de Key Protect.

Eliminación de una autorización existente

Si necesita cancelar una autorización para una clave antes de que caduque el periodo de autorización de siete días, puede eliminar la autorización existente haciendo una llamada POST al punto final siguiente.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion

1. Recupere sus credenciales de autenticación para trabajar con claves en el servicio.

   Para poder eliminar una autorización para suprimir una clave, debe tener asignada una política de acceso de Gestor o Escritor para la instancia o clave. Para saber cómo se correlacionan los roles de IAM con las acciones de servicio de Key Protect, consulte los Roles de acceso al servicio.

2. Copie el ID de la clave para la que desea deshacer el establecimiento o la autorización de supresión.

3. Elimine una autorización existente para suprimir la clave.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

Una solicitud satisfactoria devuelve una respuesta HTTP 204 No Content, que indica que la clave ya no está autorizada para su supresión. Si necesitas reiniciar el proceso de doble autorización, puedes emitir otra autorización para configurar la clave de eliminación.