Création de fichiers de clés à l'aide de l'interface utilisateur

Vous devez avoir le rôle « Auteur » ou « Gestionnaire » pour créer un fichier de clés.

Pour créer un fichier de clés, procédez comme suit :

1. Cliquez sur Fichiers de clés dans la zone de navigation de gauche.
2. Dans le panneau Fichiers de clés, cliquez sur le bouton Créer.
3. Dans l'onglet Create a key ring, donnez un nom à votre nouveau fichier de clés en suivant les instructions sur les caractères autorisés. Cliquez ensuite sur Créer.

Une fois créé, votre nouveau fichier de clés apparaît dans la liste des fichiers de clés et vous pourrez y transférer des clés ou en créer.

Si vous gérez des porte-clés de manière cohérente dans plusieurs environnements, vous pouvez automatiser la disposition des porte-clés et des clés à l'aide du logiciel Key Protect Module porte-clés ou du logiciel plus complet Key Protect Module tout compris. Voir À propos des modules Terraform IBM pour le contexte.

Création de fichiers de clés avec l'API

Pour créer un fichier de clés, vous devez effectuer un appel POST au noeud final suivant.

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

2. Créez un fichier de clés en exécutant la commande curl suivante.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/key_rings/<key_ring_id>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "correlation-id: <correlation_ID>"
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Une demande POST api/v2/key_rings réussie renvoie un HTTP 201 Created réponse indiquant que le trousseau de clés a été créé et qu’il est désormais prêt à accueillir des clés standard et des clés racine.

Attribution de l'accès à un fichier de clés

Vous pouvez accorder l'accès à un trousseau de clés au sein d'une instance d' Key Protect s à l'aide de la console IBM Cloud, de l'API IAM ou de l'interface CLI{ :external}.

Examinez les rôles et droits d'accès pour découvrir la manière dont les rôles IBM Cloud IAM sont mappés aux actions Key Protect.

Pour accorder l'accès à un fichier de clés via la console, procédez comme suit :

1. Dans la barre de menus, cliquez sur Gérer > Accès (IAM), et sélectionnez Utilisateurs pour parcourir les utilisateurs existants dans votre compte.

2. Sélectionnez une ligne de table, puis cliquez sur l'icône ⋯ pour ouvrir une liste des options de cet utilisateur.

3. Dans le menu des options, cliquez sur Affecter un accès.

4. Cliquez sur Affecter un accès supplémentaire aux utilisateurs.

5. Cliquez sur le bouton Services IAM .

6. Dans la liste des services, sélectionnez Key Protect.

7. Sélectionnez Services basés sur des attributs.

8. Sélectionnez l'attribut Instance ID et sélectionnez l'instance dans laquelle se trouve le fichier de clés.

9. Sélectionnez l'attribut ID du fichier de clés et entrez l'ID associé au fichier de clés.

10. Choisissez une combinaison de rôles d'accès de plateforme et de service pour affecter l'accès de l'utilisateur.

11. Cliquez sur Ajouter.

12. Continuez à ajouter des rôles d'accès à la plateforme et au service selon vos besoins et lorsque vous avez terminé, cliquez sur Affecter. Notez que l'utilisateur doit avoir au moins l'accès Lecteur pour l'instance entière pour pouvoir répertorier, créer et supprimer des fichiers de clés dans l'instance.

Affichage des fichiers de clés avec l'API

Pour une vue de haut niveau, vous pouvez parcourir les fichiers de clés gérés dans votre instance de Key Protect mise à disposition en effectuant un appel GET au nœud final suivant.

https://<region>.kms.cloud.ibm.com/api/v2/keys_rings

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

2. Pour consulter les caractéristiques générales de vos porte-clés, exécutez la commande suivante : commande curl.

   $ curl -X GET \ "https://<region>.kms.cloud.ibm.com/api/v2/key_rings?totalCount=<show_total>&offset=<offset_value>&limit=<offset_limit>" \
       -H "accept: application/vnd.ibm.kms.key_ring+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "correlation-id: <correlation_ID>"
   

   Les paramètres de requête qui suivent le point d'interrogation ? sont facultatifs, mais inclus ici pour documenter leur utilisation. ( : :note)

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Une demande GET api/v2/key_rings réussie renvoie une collection de fichiers de clés disponibles dans votre instance de service Key Protect.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key_ring+json",
        "collectionTotal": 2
    },
    "resources": [
        {
            "id": "default"
        },
        {
            "id": "Sample Key Ring 2",
            "creationDate": "2020-03-12T11:00:06Z",
            "createdBy": "..."
        }
    ]
}

Suppression d'un fichier de clés avec l'API

Vous pouvez supprimer un fichier de clés en effectuant un appel DELETE au noeud final suivant.

https://<region>.kms.cloud.ibm.com/api/v2/key_rings/<key_ring_id>

Cette action n'aboutit pas si le fichier de clés contient au moins une clé dans un état autre que l'état Détruit . Si les seules clés du fichier de clés sont à l'état Détruit , le fichier de clés peut être supprimé si force=true est ajouté à la commande de suppression. Les clés dans cet état sont automatiquement transférées au fichier de clés default.

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

2. Extrayez l'ID du fichier de clés que vous souhaitez supprimer.

   Vous pouvez trouver l'ID d'un fichier de clés dans votre instance Key Protect en extrayant une liste de vos fichiers de clés.

3. Exécutez la commande curl suivante pour supprimer le fichier de clés. Notez la présence de force=true, qui force la suppression du fichier de clés s'il contient des clés à l'état Détruit .

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/key_rings/<key_ring_id>?force=true" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Une demande réussie renvoie une réponse HTTP 204 No Content, qui indique que le fichier de clés a été supprimé.