Activation de l'autorisation double pour votre instance Key Protect à l'aide de la console

Si vous préférez activer une politique d'autorisation à deux niveaux sur votre instance à l'aide d'une interface graphique, vous pouvez utiliser la console.

Après avoir créé une instance Key Protect, procédez comme suit pour créer une règle d'autorisation double :

1. Connectez-vous à la console IBM Cloud.

2. Accédez à Menu > Liste de ressources pour afficher la liste de vos ressources.

3. Dans la liste de ressources IBM Cloud, sélectionnez votre instance Key Protect mise à disposition.

4. Dans le menu de navigation, cliquez sur « Politiques ».

5. Dans la section « Suppression de l'autorisation double », activez le bouton pour activer la règle.

6. Cliquez sur « Enregistrer » pour valider vos modifications.

Activation de l'autorisation double pour votre instance Key Protect à l'aide de l'API

En tant que responsable d'instance, activez une règle d'autorisation double pour une instance Key Protect en soumettant un appel PUT au noeud final ci-après.

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete

1. Extrayez vos données d'authentification pour pouvoir utiliser l'API.

   Pour activer ou désactiver les politiques d'autorisation double, vous devez disposer d'une politique d'accès «_ Manager_ » pour votre instance d' Key Protect. Pour savoir comment les rôles IAM sont mappés aux actions du service Key Protect, consultez la rubrique Rôles d'accès au service.

2. Activez une règle d'autorisation double pour votre instance Key Protect en exécutant la commande curl suivante.

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "dualAuthDelete",
                       "policy_data": {
                           "enabled": true
                       }
                   }
               ]
           }'
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Une demande réussie renvoie une réponse HTTP 204 No Content, qui indique que votre instance Key Protect est désormais activée pour l'autorisation double. Les clés que vous créez ou importez dans le service requièrent désormais deux autorisations pour pouvoir être supprimées. Pour plus d'informations, voir Suppression de clés.

Facultatif : vérifiez l'activation de la règle d'authentification double.

Vous pouvez vérifier qu'une clé de règle d'authentification double a été activée en émettant une demande de liste de règles :

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Où <instance_ID> est le nom de votre instance et votre <IAM_token> est votre jeton IAM.

Désactivation de l'autorisation double pour votre instance Key Protect à l'aide de la console

Si vous préférez désactiver une politique d'autorisation à deux niveaux sur votre instance à l'aide d'une interface graphique, vous pouvez utiliser la console.

Après avoir créé une instance Key Protect, procédez comme suit pour créer une règle d'autorisation double :

1. Connectez-vous à la console IBM Cloud.

2. Accédez à Menu > Liste de ressources pour afficher la liste de vos ressources.

3. Dans la liste de ressources IBM Cloud, sélectionnez votre instance Key Protect mise à disposition.

4. Dans le menu de navigation, cliquez sur « Politiques ».

5. Dans la section « Suppression de l'autorisation double », activez le bouton pour désactiver la règle.

6. Cliquez sur « Enregistrer » pour valider vos modifications.

Autoriser la suppression d'une clé dans la console

Une fois que vous avez activé la double autorisation pour une instance ou une clé, vous pouvez fournir la première autorisation de suppression d'une clé à l'aide de la console Key Protect IBM Cloud.

1. Connectez-vous à la console IBM Cloud.

2. Accédez à Menu > Liste de ressources pour afficher la liste de vos ressources.

3. Dans la liste de ressources IBM Cloud, sélectionnez votre instance Key Protect mise à disposition.

4. Sur la page des détails de l'application, parcourez les clés de votre service dans le tableau Clés.

5. Cliquez sur l'icône ⋯ pour ouvrir la liste des options de la clé à supprimer.

6. Dans le menu des options, cliquez sur « Planifier la suppression » et vérifiez les ressources associées à la clé.

7. Cliquez sur le bouton Next, entrez le nom de la clé, puis cliquez sur Schedule deletion.

8. Contactez un autre utilisateur pour finaliser la suppression de la clé.

L'autre utilisateur doit disposer de la règle d'accès Gestionnaire pour l'instance ou la clé afin d'autoriser la suppression de la clé.

Purge d'une clé détenant une double autorisation dans la console

Quatre heures après que l'autre utilisateur ayant une règle d'accès Gestionnaire a autorisé la suppression de la clé, celle-ci peut être purgée par l'un des utilisateurs tant qu'il détient l'attribut KeyPurge.

Pour ce faire, cliquez sur l'icône ... pour ouvrir une liste d'options pour la clé que vous souhaitez purger, puis cliquez sur Purge. Si vous ne pouvez pas supprimer la clé, assurez-vous qu'au moins quatre heures se sont écoulées depuis l'autorisation de suppression de la clé par un autre utilisateur et vérifiez que vous détenez l'attribut KeyPurge.

Autorisation de suppression pour une clé à l'aide de l'API

Une fois que vous avez activé la double autorisation pour une instance ou une clé, vous pouvez accorder la première autorisation permettant de supprimer une clé en effectuant un appel POST vers le point de terminaison suivant.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

   Pour définir une clé à supprimer, vous devez être affecté à une règle d'accès Gestionnaire ou Écrivain pour l'instance ou la clé. Pour savoir comment les rôles IAM sont mappés aux actions du service Key Protect, consultez la rubrique Rôles d'accès au service.

2. Copiez l'ID de la clé que vous souhaitez définir ou dont vous souhaitez autoriser la suppression.

3. Fournissez la première autorisation de suppression de la clé.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Une demande réussie renvoie une réponse HTTP 204 No Content, qui indique que la suppression de votre clé a été autorisée. Un autre utilisateur disposant d'une politique d'accès de type « Manager » peut désormais supprimer la clé à l'aide de la console Key Protect ou de l'API.

Si vous devez empêcher la suppression d'une clé déjà autorisée pour suppression, vous pouvez supprimer l'autorisation existante en appelantPOST /api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion.

Supprimer la clé

Une fois que vous avez marqué une clé pour suppression, un autre utilisateur disposant d'une politique d'accès « Manager » peut supprimer cette clé en toute sécurité à l'aide de l'interface graphique ou de l'API d' Key Protect.

Key Protect définit une période d'autorisation de sept jours qui commence après que vous ayez fourni la première autorisation pour supprimer la clé. Au cours de cette période de sept jours, la clé demeure à l'état Actif et toutes les opérations principales sont autorisées sur la clé. Si aucun autre utilisateur n'intervient et que le délai de sept jours expire, vous devrez relancer la procédure de double autorisation pour supprimer la clé.

Supprimez une clé et son contenu en soumettant un appel DELETE au noeud final ci-après.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

2. Extrayez l'ID de la clé à supprimer.

   Vous pouvez extraire l'ID d'une clé spécifique en soumettant une demande GET /v2/keys ou en affichant vos clés dans le tableau de bord Key Protect.

3. Exécutez la commande curl suivante pour supprimer la clé et son contenu.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Si la variable return_preference a pour valeur return=representation, les détails de la demande DELETE sont renvoyés dans la section entity-body de la réponse.

Une fois supprimée, la clé passe à l'état Deactivated. Au bout de 24 heures, si une clé n'est pas réintégrée, elle passe à l'état Destroyed. Les clés détruites peuvent être récupérées au bout de 30 jours ou de leur date d'expiration, la date la plus proche étant retenue. Après cela, le contenu de la clé est effacé de façon permanente et n'est plus accessible.

L'objet JSON suivant illustre un exemple de valeur renvoyée :

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
          "type": "application/vnd.ibm.kms.key+json",
          "id": "02fd6835-6001-4482-a892-13bd2085f75d",
          "name": "test-root-key",
          "aliases": [
                "alias-1",
                "alias-2"
              ],
          "state": 5,
          "extractable": false,
          "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
          "imported": false,
          "creationDate": "2020-03-10T20:41:27Z",
          "createdBy": "...",
          "algorithmType": "Deprecated",
          "algorithmMetadata": {
              "bitLength": "256",
              "mode": "Deprecated"
          },
          "algorithmBitSize": 256,
          "algorithmMode": "Deprecated",
          "lastUpdateDate": "2020-03-16T20:41:27Z",
          "dualAuthDelete": {
              "enabled": false
          },
          "deleted": true,
          "deletionDate": "2020-03-16T21:46:53Z",
          "deletedBy": "..."
        }
    ]
}

Pour une description détaillée des paramètres disponibles, consultez la documentation de référence de l'API REST d' Key Protect.

Suppression d'une autorisation existante

Si vous devez annuler l'autorisation d'une clé avant l'expiration de la période d'autorisation de sept jours, vous pouvez supprimer l'autorisation existante en effectuant un appel POST au nœud final suivant.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

   Pour supprimer une autorisation de suppression d'une clé, vous devez disposer d'une règle d'accès Gestionnaire ou Écrivain pour l'instance ou la clé. Pour savoir comment les rôles IAM sont mappés aux actions du service Key Protect, consultez la rubrique Rôles d'accès au service.

2. Copiez l'ID de la clé dont vous souhaitez annuler la définition ou l'autorisation de suppression.

3. Supprimez une autorisation existante de suppression de la clé.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Une demande réussie renvoie une réponse HTTP 204 No Content, qui indique que la suppression de votre clé ne peut plus être supprimée. Si vous devez relancer la procédure de double autorisation, vous pouvez émettre une nouvelle autorisation afin de définir la clé à supprimer.