コンソールでのルート鍵の作成

サービスのインスタンスを作成した後、次の手順を実行して、以下でルート鍵を作成します。 IBM Cloud コンソールにアクセスすることによって、指定されたキーの ID をリトリーブできます。

Dedicated Key Protect オファリングを デプロイする場合、リソースを作成する前に、まず インスタンスを初期化する 必要があります。

Key Protect インスタンスの二重許可設定 を有効にする場合、 サービスに追加するどの鍵についても、 鍵の削除には 2 人のユーザーからの許可が必要となることに 留意してください。

1. IBM Cloud コンソールにログインしてください。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. 新しいキーを作成するには、「 キーの追加 」をクリックしてください。 サイド・パネルが開きます。 「鍵の作成 (Create a key)」オプションが選択されていることを確認します。 なお、この鍵に対して鍵エイリアス、 キーリング、 またはローテーションポリシー を設定するには、「 詳細オプション 」タブをクリックしてこれらの項目を表示させる必要があります。

Manager ではない場合 (または同等のレベルの権限を持っている場合)、 「ローテーション・ポリシー」 オプションは表示されません。

Specify the key's details:

キーの詳細の入力が完了したら、「 追加 」をクリックして確定してください。

どのキーリングに鍵を追加したいかが決まっており、かつそのキーリングの_管理者_である場合は、「 キーリング 」パネルに移動し、⋯を選択して「 新しい鍵を追加 」をクリックすることもできます。 この場合は、**「鍵」ページで「追加」をクリックするのと同じパネルが、「鍵リング (Key rings)」**変数に鍵リング名が入力された状態で開かれます。

本サービスで生成される鍵は、AES_KWアルゴリズムによってサポートされる256ビットの対称鍵です。 セキュリティーを強化するために、鍵はセキュアな IBM Cloud データ・センターにある FIPS 140-2 レベル 3 認定ハードウェア・セキュリティー・モジュール (HSM) で生成されます。

アカウントまたは環境間で一貫してルート鍵をプロビジョニングする必要がある場合、 Key Protect Keyモジュールでこれを自動化できます。 Key Protect インスタンスとキーホルダーもプロビジョニングする完全なセットアップについては、包括的な Key Protect モジュールをご覧ください。 概要については Terraform IBM Modulesを 参照。

API を使用したルート鍵の作成

Dedicated Key Protect オファリングを デプロイする場合、リソースを作成する前に、まず インスタンスを初期化する 必要があります。

以下のエンドポイントへの POST 呼び出しを行うことにより、ルート鍵を作成します。

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

2. 以下の curl コマンドを実行して、ルート鍵を作成します。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

有効期限を設定して作成された鍵は、有効期限満了後1時間以内に自動的に Deactivated 状態に移行するため、有効期限を設定する際には注意が必要である。 この状態では、キーに対して許されるアクションは、アンラップ、リラップ、ローテート、デリートのみである。 非アクティブ化された鍵は、たとえ非アクティブ化中にローテートされたとしても、新しいデータを暗号化（ラップ）するために使用することはできない。 ローテーションは、有効期限をリセットしたり延長したりするものではなく、日付を変更することもできない。 サービスの中断を防ぐため、有効期限切れまたは期限切れの鍵で暗号化されたデータは、元の CRK の有効期限が切れる前に、新しいカスタマ・ルート鍵（CRK）を使用して再暗号化することを推奨する。 非アクティブ化されたキーを削除して復元しても、 _アクティブ_状態には戻らない。 expiration_date 属性が省略された場合、そのキーには有効期限が設定されません。

有効期限のあるキーの使用状況を監視するには IBM Cloud Logs. ログは、有効期限を持つキーのJSONプロパティ responseData.expirationDate 、 responseData.daysToKeyExpire 、 以下の action の値を使用して、有効期限と残り日数を示す： kms.secrets.wrap kms.secrets.unwrap、 kms.secrets.rewrap、 kms.secrets.read、 kms.secrets.readmetadata、 kms.secrets.create、 kms.secrets-with-policy-overrides.create 、 kms.secrets.expire。 さらに、 GET /api/v2/keys への REST 呼び出しが成功すると、有効期限を持つ各キーの expirationDate プロパティが返される。

個人データの機密性を保護するため、サービスに鍵を追加するときに、個人の名前や場所などの個人情報 (PII) を入力しないようにしてください。

成功した POST api/v2/keys 応答は、鍵の ID 値を他のメタデータと共に返します。 この ID は、鍵に割り当てられた固有の ID で、Key Protect API に対する以降の呼び出しに使用されます。

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
              ],
            "description": "A test root key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:37:32Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:37:32Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

応答パラメータの詳細については、『 Key Protect REST API リファレンスドキュメント 』を参照してください。