コンソールを使用した Key Protect インスタンスの二重許可の有効化

インスタンスで二重認証ポリシーを有効にする際、グラフィカルインターフェースを使用したい場合は、コンソールを利用できます。

Key Protect インスタンスの作成後に、以下のステップを実行して、二重許可ポリシーを作成します。

1. IBM Cloud コンソールにログインしてください。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. ナビゲーションメニューで、「 ポリシー 」をクリックします。

5. 「 デュアル認証の削除 」セクションで、スイッチを切り替えてポリシーを有効にしてください。

6. 「 保存 」をクリックして変更を反映してください。

API を使用した Key Protect インスタンスの二重許可の有効化

インスタンス管理者は、以下のエンドポイントへの PUT 呼び出しを行うことによって、 Key Protect インスタンスの二重許可ポリシーを有効にします。

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete

1. API の処理を行うために、認証資格情報を取得します。

   二重認証ポリシーを有効または無効にするには、 Key Protect インスタンスに対して「 Manager 」アクセスポリシーが割り当てられている必要があります。 IAM 役割と Key Protect サービスでのアクションの対応関係について詳しくは、サービス・アクセスの役割を参照してください。

2. 以下の curl コマンドを実行して、 Key Protect インスタンスの二重許可ポリシーを有効にします。

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "dualAuthDelete",
                       "policy_data": {
                           "enabled": true
                       }
                   }
               ]
           }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

要求が成功すると、Key Protect インスタンスの二重許可が有効になったことを示す HTTP 204 No Content 応答が返されます。 サービスに作成またはインポートする鍵は、削除するために 2 つの許可を必要とするようになります。 詳しくは、鍵の削除を参照してください。

オプション: 二重許可ポリシーの有効化の確認

ポリシーのリスト表示の要求を実行して、二重許可ポリシー鍵が有効になったことを確認できます。

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

ここで、<instance_ID> はインスタンスの名前で、<IAM_token> は IAM トークンです。

コンソールを使用した Key Protect インスタンスの二重許可の無効化

インスタンスの二重認証ポリシーをグラフィカルインターフェースを使用して無効にしたい場合は、コンソールを使用できます。

Key Protect インスタンスの作成後に、以下のステップを実行して、二重許可ポリシーを作成します。

1. IBM Cloud コンソールにログインしてください。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. ナビゲーションメニューで、「 ポリシー 」をクリックします。

5. 「 デュアル認証の削除 」セクションで、スイッチを切り替えてポリシーを無効にしてください。

6. 「 保存 」をクリックして変更を反映してください。

コンソールでの鍵の削除の許可

二重許可をインスタンスに対して有効にするか、または鍵に対して有効にした場合は、Key Protect IBM Cloud のコンソールで、鍵を削除するための 1 番目の許可を付与することができます。

1. IBM Cloud コンソールにログインしてください。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. アプリケーションの詳細ページで、**「鍵 (Keys)」**テーブルを使用して、サービス内の鍵を参照します。

5. 「⋯」アイコンをクリックして、削除する鍵に関するオプションのリストを開きます。

6. オプションメニューから「 削除のスケジュール 」をクリックし、そのキーに 関連付けられているリソースを確認します。

7. Nextボタンをクリックし、鍵の名前を入力し、Schedule deletionをクリックします。

8. 別のユーザーに連絡して、鍵の削除を実行します。

鍵の削除を許可するには、他のユーザーがそのインスタンスまたは鍵に対する_マネージャー_・アクセス・ポリシーを持っている必要があります。

二重許可を有効にした鍵をコンソールでパージする

マネージャー・アクセス・ポリシーを持つ他のユーザーが鍵の削除を許可してから 4 時間後に、いずれかのユーザーが KeyPurge 属性を保持している限り、鍵をパージできます。

「⋯」アイコンをクリックして、パージする鍵のオプションのリストを開き、**「パージ」**をクリックします。 鍵を削除できない場合は、鍵が別のユーザーによって削除を許可されてから少なくとも 4 時間経過していること、および KeyPurge 属性を保持していることを確認してください。

API を使用した鍵の削除の許可

インスタンスまたはキーに対して二重認証を有効にした後、以下のエンドポイントに対して POST 呼び出しを行うことで、キーを削除するための最初の認証を行うことができます。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

   削除対象キーを設定するには、そのインスタンスまたはキーの_「マネージャー」または「ライター」_ アクセス権限ポリシーが割り当てられている必要があります。 IAM 役割と Key Protect サービスでのアクションの対応関係について詳しくは、サービス・アクセスの役割を参照してください。

2. 削除できるよう設定 (許可) する鍵の ID をコピーします。

3. 鍵を削除するための 1 番目の許可を与えます。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   次の表に従って、例の要求内の変数を置き換えてください。

要求が成功すると、鍵の削除が許可されたことを示す HTTP 204 No Content 応答が返されます。 「 マネージャー 」アクセスポリシーを持つ別のユーザーも、 Key Protect コンソールまたはAPIを使用して、 そのキーを削除 できるようになりました。

削除が許可済みのキーが削除されないようにするには、POST /api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion を呼び出して既存の許可を削除します。

キーの削除

キーを削除対象として設定した後、 マネージャー権限ポリシー を持つ別のユーザーが、 Key Protect のGUIまたはAPIを使用して、そのキーを安全に削除することができます。

Key Protect は、鍵を削除する許可が最初に与えられたときから始まる 7 日間の許可期間を設定します。 この 7 日間の期間中、鍵はアクティブ 状態のままであり、すべての鍵操作が鍵に対して許可されます。 他のユーザーによる対応がなく、7日間の期間が経過した場合は、キーを削除するために二重承認プロセスを再度実行する必要があります。

以下のエンドポイントへの DELETE 呼び出しを行うことによって、鍵とその内容を削除します。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

2. 削除する鍵の ID を取得します。

   GET /v2/keys 要求を行うか、Key Protect ダッシュボードに鍵を表示することで、指定の鍵の ID を取得できます。

3. 次の curl コマンドを実行して、鍵とその内容を削除します。

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   次の表に従って、例の要求内の変数を置き換えてください。

return_preference 変数を return=representation に設定すると、DELETE 要求の詳細が応答のエンティティー本体で返されます。

鍵を削除すると、鍵はDeactivated の鍵の状態に遷移します。 24 時間後、鍵が元の状態に戻らない場合、鍵はDestroyed 状態に遷移します。 破棄された鍵を復元できるのは、30 日が経過するか有効期限日に達するか、どちらか早いほうまでです。 どちらかに達すると、鍵の内容は完全に消去され、アクセスできなくなります。

以下の JSON オブジェクトは、返された値の例を示しています。

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
          "type": "application/vnd.ibm.kms.key+json",
          "id": "02fd6835-6001-4482-a892-13bd2085f75d",
          "name": "test-root-key",
          "aliases": [
                "alias-1",
                "alias-2"
              ],
          "state": 5,
          "extractable": false,
          "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
          "imported": false,
          "creationDate": "2020-03-10T20:41:27Z",
          "createdBy": "...",
          "algorithmType": "Deprecated",
          "algorithmMetadata": {
              "bitLength": "256",
              "mode": "Deprecated"
          },
          "algorithmBitSize": 256,
          "algorithmMode": "Deprecated",
          "lastUpdateDate": "2020-03-16T20:41:27Z",
          "dualAuthDelete": {
              "enabled": false
          },
          "deleted": true,
          "deletionDate": "2020-03-16T21:46:53Z",
          "deletedBy": "..."
        }
    ]
}

利用可能なパラメータの詳細については、『 Key Protect REST API リファレンスドキュメント 』を参照してください。

既存の許可の取り消し

7 日間の許可期間が終わる前に鍵の許可を取り消す必要がある場合は、 以下のエンドポイントに POST 呼び出しを実行して、既存の許可を取り消すことができます。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

   キーの削除許可を削除するには、インスタンスまたはキーに対して_「マネージャー」または「ライター」_アクセス権限ポリシーが割り当てられている必要があります。 IAM 役割と Key Protect サービスでのアクションの対応関係について詳しくは、サービス・アクセスの役割を参照してください。

2. 削除許可の設定を取り消す鍵の ID をコピーします。

3. 鍵を削除するための既存の許可を取り消します。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   次の表に従って、例の要求内の変数を置き換えてください。

        存在している地理的領域を表す、
        地域の省略形
        (例: `us-south` または
        `eu-gb`)。<br>詳細については、「 [地域別サービスエンドポイント](/docs/key-protect?topic=key-protect-regions#service-endpoints) 」を参照してください。 |

| key_ID_or_alias | 必須。 ローテートするルート鍵の固有 ID または別名。 | | IAM_token | 必須。 IBM Cloud アクセス・トークン。 Bearer 値を含む、IAM トークンの全コンテンツを cURL 要求に組み込みます。

詳細については、「 アクセストークンの取得 」を参照してください。 | | instance_ID | 必須。 Key Protect サービス・インスタンスに割り当てられた固有 ID。

詳細については、「 インスタンス ID の取得 」を参照してください。 |

要求が成功すると、鍵の削除がもう許可されなくなったことを示す HTTP 204 No Content 応答が返されます。 二重承認プロセスをやり直す必要がある場合は、削除用のキーを設定するために、再度承認を発行することができます。