Abilitazione della doppia autorizzazione per l'istanza Key Protect con la console

Se preferisci abilitare una politica di doppia autorizzazione sulla tua istanza tramite un'interfaccia grafica, puoi utilizzare la console.

Dopo aver creato un'istanza Key Protect, completare i passaggi seguenti per creare un criterio di autorizzazione doppio:

1. Accedere alla console IBM Cloud.

2. Vai su Menu > Elenco risorse per visualizzare l'elenco delle tue risorse.

3. Dal tuo elenco risorse IBM Cloud, seleziona la tua istanza di cui è stato eseguito il provisioning di Key Protect.

4. Nel menu di navigazione, fare clic su " Politiche".

5. Nella sezione " Cancellazione dell'autorizzazione doppia ", attiva l'interruttore per abilitare la politica.

6. Fai clic su " Salva " per applicare le modifiche.

Abilitazione della doppia autorizzazione per l'istanza Key Protect con l'API

In qualità di gestore dell'istanza, abilita una politica di doppia autorizzazione per un'istanza di Key Protect effettuando una chiamata PUT all'endpoint seguente.

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete

1. Richiama le tue credenziali di autenticazione per lavorare con l'API.

   Per abilitare e disabilitare le politiche di doppia autorizzazione, è necessario che ti sia stata assegnata una politica di accesso di tipo “Manager” per la tua istanza di Key Protect. Per informazioni su come si mappano i ruoli IAM alle azioni del servizio Key Protect, consulta Ruoli di accesso al servizio.

2. Abilita una politica di doppia autorizzazione per la tua istanza di Key Protect eseguendo il seguente comando curl.

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "dualAuthDelete",
                       "policy_data": {
                           "enabled": true
                       }
                   }
               ]
           }'
   

   Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Una richiesta andata a buon fine restituisce una risposta del tipo “ HTTP ” 204 No Content, a indicare che l’istanza di Key Protect è ora abilitata per la doppia autorizzazione. Le chiavi che crei o importi nel servizio richiedono ora due autorizzazioni prima di poter essere eliminate. Per ulteriori informazioni, vedi Eliminazione delle chiavi.

Facoltativo: Verificare l'abilitazione del criterio di doppia autenticazione

È possibile verificare che sia stata abilitata una chiave di criterio dual auth inviando una richiesta di elenco dei criteri:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Dove <instance_ID> è il nome dell'istanza e <IAM_token> è il token IAM.

Disattivare la doppia autorizzazione per l'istanza Key Protect con la console

Se si preferisce disabilitare un criterio di doppia autorizzazione sulla propria istanza utilizzando un'interfaccia grafica, è possibile utilizzare la console.

Dopo aver creato un'istanza Key Protect, completare i passaggi seguenti per creare un criterio di autorizzazione doppio:

1. Accedere alla console IBM Cloud.

2. Vai su Menu > Elenco risorse per visualizzare l'elenco delle tue risorse.

3. Dal tuo elenco risorse IBM Cloud, seleziona la tua istanza di cui è stato eseguito il provisioning di Key Protect.

4. Nel menu di navigazione, fare clic su " Politiche".

5. Nella sezione " Cancellazione dell'autorizzazione doppia ", sposta l'interruttore per disattivare la politica.

6. Fai clic su " Salva " per applicare le modifiche.

Autorizzare la cancellazione di una chiave nella console

Dopo aver abilitato la doppia autorizzazione per un'istanza o una chiave, è possibile fornire la prima autorizzazione per eliminare una chiave utilizzando la console Key Protect IBM Cloud.

1. Accedere alla console IBM Cloud.

2. Vai su Menu > Elenco risorse per visualizzare l'elenco delle tue risorse.

3. Dal tuo elenco risorse IBM Cloud, seleziona la tua istanza di cui è stato eseguito il provisioning di Key Protect.

4. Nella pagina dei dettagli dell'applicazione, utilizza la tabella Keys per sfogliare le chiavi nel tuo servizio.

5. Fai clic sull'icona ⋯ per aprire un elenco di opzioni per la chiave che desideri eliminare.

6. Dal menu delle opzioni, fare clic su “Pianifica eliminazione” e verificare le risorse associate alla chiave.

7. Fare clic sul pulsante Next, inserire il nome della chiave e fare clic su Schedule deletion.

8. Contattare un altro utente per completare l'eliminazione della chiave.

L'altro utente deve avere il criterio di accesso Manager per l'istanza o la chiave per autorizzare l'eliminazione della chiave.

Eliminazione di una chiave con doppia autorizzazione nella console

Quattro ore dopo che l'altro utente con un criterio di accesso Manager ha autorizzato l'eliminazione della chiave, questa può essere eliminata da uno degli utenti, a condizione che sia in possesso dell'attributo KeyPurge.

Per farlo, fare clic sull'icona ⋯ per aprire un elenco di opzioni per la chiave che si desidera eliminare e quindi fare clic su Elimina. Se non si riesce a eliminare la chiave, assicurarsi che siano passate almeno quattro ore da quando la chiave è stata autorizzata a essere eliminata da un altro utente e che si sia in possesso dell'attributo KeyPurge.

Autorizzare la cancellazione di una chiave con l'API

Dopo aver abilitato la doppia autorizzazione per un'istanza o una chiave, è possibile fornire la prima autorizzazione per l'eliminazione di una chiave effettuando una chiamata POST all'endpoint seguente.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion

1. Richiama le tue credenziali di autenticazione per lavorare con le chiavi nel servizio.

   Per contrassegnare una chiave per la cancellazione, è necessario che all'utente sia assegnato un criterio di accesso di tipo "Manager" o "Writer" per l'istanza o la chiave. Per informazioni su come si mappano i ruoli IAM alle azioni del servizio Key Protect, consulta Ruoli di accesso al servizio.

2. Copia l'ID della chiave che vuoi impostare o autorizzare per l'eliminazione.

3. Fornisci la prima autorizzazione per eliminare la chiave.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Una richiesta eseguita correttamente restituisce una risposta HTTP 204 No Content, che indica che la tua chiave è stata autorizzata per l'eliminazione. Un altro utente con un criterio di accesso di tipo "Manager" può ora eliminare la chiave utilizzando la console Key Protect o l'API.

Se è necessario impedire la cancellazione di una chiave già autorizzata alla cancellazione, è possibile rimuovere l'autorizzazione esistente chiamando POST /api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion``.

Cancellare il tasto

Dopo aver contrassegnato una chiave per l'eliminazione, un altro utente con un criterio di accesso di tipo "Manager" può eliminarla in tutta sicurezza utilizzando l'interfaccia grafica o l'API di Key Protect.

Key Protect imposta un periodo di autorizzazione di sette giorni che ha inizio dopo che l'utente ha fornito la prima autorizzazione alla cancellazione della chiave. Durante questo periodo di sette giorni, la chiave rimane nello stato "Attivo " e sono consentite tutte le operazioni relative alla chiave. Se nessun altro utente interviene e il periodo di sette giorni scade, è necessario riavviare la procedura di doppia autorizzazione per eliminare la chiave.

Elimina una chiave e il suo contenuto effettuando una chiamata DELETE al seguente endpoint.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1. Richiama le tue credenziali di autenticazione per lavorare con le chiavi nel servizio.

2. Richiama l'ID della chiave che desideri eliminare.

   Puoi richiamare l'ID di una chiave specifica effettuando una richiesta GET /v2/keys o visualizzando le tue chiavi nel dashboard Key Protect.

3. Eseguire il seguente comando curl per eliminare la chiave e il suo contenuto.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Se la variabile return_preference è impostata su return=representation``, i dettagli della richiesta DELETE vengono restituiti nel corpo dell'entità della risposta.

Dopo aver eliminato un tasto, questo passa allo stato di tasto Deactivated. Dopo 24 ore, se la chiave non viene ripristinata, passa allo stato Destroyed. Le chiavi distrutte possono essere recuperate dopo un massimo di 30 giorni o dopo la data di scadenza, se precedente. In seguito, il contenuto della chiave viene cancellato in modo permanente e non è più accessibile.

Il seguente oggetto JSON mostra un valore restituito di esempio.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
          "type": "application/vnd.ibm.kms.key+json",
          "id": "02fd6835-6001-4482-a892-13bd2085f75d",
          "name": "test-root-key",
          "aliases": [
                "alias-1",
                "alias-2"
              ],
          "state": 5,
          "extractable": false,
          "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
          "imported": false,
          "creationDate": "2020-03-10T20:41:27Z",
          "createdBy": "...",
          "algorithmType": "Deprecated",
          "algorithmMetadata": {
              "bitLength": "256",
              "mode": "Deprecated"
          },
          "algorithmBitSize": 256,
          "algorithmMode": "Deprecated",
          "lastUpdateDate": "2020-03-16T20:41:27Z",
          "dualAuthDelete": {
              "enabled": false
          },
          "deleted": true,
          "deletionDate": "2020-03-16T21:46:53Z",
          "deletedBy": "..."
        }
    ]
}

Per una descrizione dettagliata dei parametri disponibili, consultare la documentazione di riferimento dell'API REST di Key Protect.

Rimozione di un'autorizzazione esistente

Se è necessario annullare l'autorizzazione relativa a una chiave prima della scadenza del periodo di autorizzazione di sette giorni, è possibile rimuovere l'autorizzazione esistente effettuando una chiamata di tipo " POST " (annullamento) all'endpoint seguente.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion

1. Richiama le tue credenziali di autenticazione per lavorare con le chiavi nel servizio.

   Per revocare un'autorizzazione alla cancellazione di una chiave, è necessario che all'utente sia assegnato un criterio di accesso di tipo "Manager" o "Writer" per l'istanza o la chiave in questione. Per informazioni su come si mappano i ruoli IAM alle azioni del servizio Key Protect, consulta Ruoli di accesso al servizio.

2. Copia l'ID della chiave di cui desideri annullare l'impostazione o l'autorizzazione per l'eliminazione.

3. Rimuovi un'autorizzazione esistente a eliminare la chiave.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Una richiesta eseguita correttamente restituisce una risposta HTTP 204 No Content che indica che la tua chiave non è più autorizzata per l'eliminazione. Se è necessario riavviare la procedura di doppia autorizzazione, è possibile emettere un'altra autorizzazione per impostare la chiave da eliminare.