Creazione di chiavi root nella console

Dopo aver creato un'istanza del servizio, segui questi passaggi per creare una chiave root nel Console IBM Cloud.

Se si distribuisce l'offerta Dedicated Key Protect, è necessario inizializzare l'istanza prima di poter creare qualsiasi risorsa.

Se si abilitano le impostazioni di doppia autorizzazione per l'istanza di Key Protect, è importante tenere presente che, per eliminare le chiavi aggiunte al servizio, è necessaria l'autorizzazione di due utenti.

1. Accedi alla console IBM Cloud.

2. Vai su Menu > Elenco risorse per visualizzare l'elenco delle tue risorse.

3. Dal tuo elenco risorse IBM Cloud, seleziona la tua istanza di cui è stato eseguito il provisioning di Key Protect.

4. Per creare una nuova chiave, fare clic su " Aggiungi chiave ". Si aprirà un pannello laterale. Assicurarsi che l'opzione Crea una chiave sia selezionata. Si noti che, per impostare un alias della chiave, un portachiavi o una politica di rotazione per questa chiave, è necessario fare clic sulla scheda " Opzioni avanzate " per visualizzarli.

Se non si è Manager (o si dispone di un livello equivalente di autorizzazioni), l'opzione Politica di rotazione non viene visualizzata.

Specify the key's details:

Una volta completata la compilazione dei dettagli della chiave, clicca su “Aggiungi” per confermare.

Se sai in quale portachiavi vuoi inserire una chiave e sei il responsabile di quel portachiavi, puoi anche accedere al pannello Portachiavi, selezionare ⋯ e fare clic su Aggiungi nuova chiave. Verrà aperto lo stesso pannello visualizzato facendo clic su Aggiungi nella pagina Chiavi con la variabile Keyring compilata con il nome del keyring.

Le chiavi generate dal servizio sono chiavi simmetriche a 256 bit, supportate dall'algoritmo AES_KW. Per maggiore sicurezza, le chiavi vengono generate dagli HSM (Hardware Security Module) certificati FIPS 140-2 Level 3 ubicati in data center IBM Cloud sicuri.

Se è necessario fornire chiavi di root in modo coerente tra gli account o gli ambienti, è possibile automatizzare questa operazione con il modulo Key Protect Key. Per una configurazione completa che prevede anche l'istanza Key Protect e i portachiavi, consultare il sito Key Protect modulo. Per una panoramica, vedere Terraform IBM Modules.

Creazione delle chiavi root con l'API

Se si distribuisce l'offerta Dedicated Key Protect, è necessario inizializzare l'istanza prima di poter creare qualsiasi risorsa.

Crea una chiave root effettuando una chiamata POST al seguente endpoint.

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. Richiama le tue credenziali di autenticazione per lavorare con le chiavi nel servizio.

2. Crea una chiave root immettendo il seguente comando curl.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Fare attenzione quando si imposta una data di scadenza, poiché le chiavi create con una data di scadenza passano automaticamente allo stato Disattivato entro un'ora dalla scadenza. In questo stato, le uniche azioni consentite sul tasto sono scartare, riavvolgere, ruotare e cancellare. Le chiavi disattivate non possono essere utilizzate per criptare (avvolgere) nuovi dati, anche se ruotate durante la disattivazione. La rotazione non azzera o prolunga la data di scadenza, né consente di modificarla. Si consiglia di criptare nuovamente i dati crittografati con una chiave in scadenza o scaduta, utilizzando una nuova customer root key (CRK) prima della scadenza della CRK originale, per evitare interruzioni del servizio. L'eliminazione e il ripristino di una chiave disattivata non la riporta allo stato Attivo. Se l'attributo expiration_date viene omesso, la chiave non scade.

È possibile monitorare l'utilizzo delle chiavi con data di scadenza usando IBM Cloud Logs. I log indicano la data di scadenza e il numero di giorni rimanenti utilizzando le proprietà JSON responseData.expirationDate e responseData.daysToKeyExpire per le chiavi che hanno una data di scadenza e per i seguenti valori action: kms.secrets.wrap, kms.secrets.unwrap, kms.secrets.rewrap, kms.secrets.read, kms.secrets.readmetadata, kms.secrets.create, kms.secrets-with-policy-overrides.create e kms.secrets.expire. Inoltre, una chiamata REST a GET /api/v2/keys restituisce la proprietà expirationDate per ogni chiave che ha una data di scadenza.

Per proteggere la riservatezza dei tuoi dati personali, evita di immettere informazioni d'identificazione personale, come il tuo nome o la tua posizione, quando aggiungi le chiavi al servizio.

Una risposta POST api/v2/keys corretta restituisce il valore dell'ID per la tua chiave, insieme ad altri metadati. L'ID è un identificativo univoco che viene assegnato alla tua chiave e utilizzato per le seguenti chiamate all'API Key Protect.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
              ],
            "description": "A test root key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:37:32Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:37:32Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

Per una descrizione dettagliata dei parametri di risposta, consultare la documentazione di riferimento dell'API REST di Key Protect.