콘솔에서 Key Protect 인스턴스에 대한 이중 권한 부여를 사용으로 설정

그래픽 인터페이스를 사용하여 인스턴스에서 이중 인증 정책을 활성화하고 싶다면 콘솔을 사용할 수 있습니다.

Key Protect 인스턴스를 작성한 후 다음 단계를 완료하여 이중 권한 부여 정책을 작성하십시오.

1. IBM Cloud 콘솔에 로그인하세요.

2. 메뉴 > 리소스 목록으로 이동하여 리소스 목록을 보십시오.

3. IBM Cloud 리소스 목록에서 Key Protect의 프로비저닝된 인스턴스를 선택하십시오.

4. 탐색 메뉴에서 ‘정책’을 클릭합니다.

5. '이중 승인 삭제' 섹션에서 스위치를 켜서 정책을 활성화하십시오.

6. ‘저장’을 클릭하여 변경 사항을 적용하세요.

API에서 Key Protect 인스턴스에 대한 이중 권한 부여를 사용으로 설정

인스턴스 관리자로서 다음 엔드포인트에 대해 PUT 호출을 수행하여 Key Protect 인스턴스에 대한 이중 권한 부여 정책을 사용으로 설정하십시오.

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete

1. API를 사용하여 인증 정보를 검색하십시오.

   이중 승인 정책을 활성화하거나 비활성화하려면, 해당 Key Protect 인스턴스에 대한 관리자 액세스 정책이 할당되어 있어야 합니다. IAM 역할이 Key Protect 서비스 조치에 맵핑되는 방법을 알아보려면 서비스 액세스 역할을 확인하십시오.

2. 다음 curl 명령을 실행하여 Key Protect 인스턴스에 대한 이중 권한 부여 정책을 사용으로 설정하십시오.

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "dualAuthDelete",
                       "policy_data": {
                           "enabled": true
                       }
                   }
               ]
           }'
   

   다음 표에 따라 예제 요청의 변수를 대체하십시오.

요청이 성공하면 HTTP 204 No Content 응답이 리턴되며, 이는 Key Protect 인스턴스에 대한 이중 권한 부여가 사용으로 설정되었음을 나타냅니다. 이제 키를 삭제하기 전에 서비스를 작성하거나 서비스에 가져오는 키에는 두 개의 권한이 필요합니다. 자세한 정보는 키 삭제를 참조하십시오.

선택사항: 이중 권한 부여 정책 사용 검증

목록 정책 요청을 실행하여 이중 권한 부여 정책 키가 사용으로 설정되었는지 검증할 수 있습니다.

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

여기서 <instance_ID>은(는) 인스턴스의 이름이고 <IAM_token>은(는) IAM 토큰입니다.

콘솔에서 Key Protect 인스턴스에 대한 이중 권한 부여를 사용 안함으로 설정

그래픽 인터페이스를 사용하여 인스턴스에서 이중 인증 정책을 비활성화하고 싶다면 콘솔을 사용할 수 있습니다.

Key Protect 인스턴스를 작성한 후 다음 단계를 완료하여 이중 권한 부여 정책을 작성하십시오.

1. IBM Cloud 콘솔에 로그인하세요.

2. 메뉴 > 리소스 목록으로 이동하여 리소스 목록을 보십시오.

3. IBM Cloud 리소스 목록에서 Key Protect의 프로비저닝된 인스턴스를 선택하십시오.

4. 탐색 메뉴에서 ‘정책’을 클릭합니다.

5. '이중 승인 삭제' 섹션에서 스위치를 전환하여 정책을 비활성화하십시오.

6. ‘저장’을 클릭하여 변경 사항을 적용하세요.

콘솔에서 키에 대한 삭제 권한 부여

인스턴스 또는 키에 대한 이중 권한 부여를 사용으로 설정한 후 Key Protect IBM Cloud 콘솔을 사용하여 키를 삭제할 수 있는 첫 번째 권한 부여를 제공할 수 있습니다.

1. IBM Cloud 콘솔에 로그인하세요.

2. 메뉴 > 리소스 목록으로 이동하여 리소스 목록을 보십시오.

3. IBM Cloud 리소스 목록에서 Key Protect의 프로비저닝된 인스턴스를 선택하십시오.

4. 애플리케이션 세부사항 페이지에서 키 테이블을 사용하여 서비스에서 키를 찾아보십시오.

5. ⋯ 아이콘을 클릭하여 삭제할 키에 대한 옵션 목록을 여십시오.

6. 옵션 메뉴에서 ‘삭제 예약’을 클릭하고 해당 키에 연결된 리소스를 확인하십시오.

7. Next 단추를 클릭하고 키 이름을 입력한 후 Schedule deletion를 클릭하십시오.

8. 다른 사용자에게 문의하여 키 삭제를 완료하십시오.

키를 삭제하는 권한을 부여하기 위해서는 다른 사용자에게 해당 인스턴스 또는 키에 대한 관리자 액세스 정책이 있어야 합니다.

콘솔에서 이중 권한 부여를 보유하는 키 제거

관리자 액세스 정책을 사용하는 다른 사용자가 키를 삭제하도록 권한을 부여한 후 4시간이 지나면 KeyPurge 속성을 보유하는 사용자 중 한 명이 키를 제거할 수 있습니다.

⋯ 아이콘을 클릭하여 제거할 키에 대한 옵션 목록을 열고 제거를 클릭하여 수행할 수 있습니다. 키를 삭제할 수 없는 경우, 다른 사용자가 키를 삭제할 수 있도록 권한을 부여한 지 최소 4시간이 지났고 KeyPurge 속성을 보유하고 있는지 확인하십시오.

API로 키 삭제 권한 부여

인스턴스나 키에 대해 이중 인증을 활성화한 후에는, 다음 엔드포인트에 POST 호출을 수행하여 키를 삭제하기 위한 첫 번째 인증을 제공할 수 있습니다.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion

1. 인증 정보를 검색하여 서비스에서 키에 대한 작업을 수행하십시오.

   삭제할 키를 설정하려면 인스턴스 또는 키에 대한 관리자 또는 작성자 액세스 정책이 지정되어야 합니다. IAM 역할이 Key Protect 서비스 조치에 맵핑되는 방법을 알아보려면 서비스 액세스 역할을 확인하십시오.

2. 삭제를 설정하거나 삭제 권한을 부여할 키의 ID를 복사하십시오.

3. 키 삭제를 위한 첫 번째 권한을 제공하십시오.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   다음 표에 따라 예제 요청의 변수를 대체하십시오.

요청에 성공하면 HTTP 204 No Content 응답을 리턴하며, 키에는 삭제 권한이 있음을 표시합니다. 이제 관리자 액세스 정책을 가진 다른 사용자도 Key Protect 콘솔이나 API를 사용하여 해당 키를 삭제할 수 있습니다.

이미 삭제하도록 권한이 부여된 키의 삭제를 방지해야 하는 경우, POST /api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion을(를) 호출하여 기존 권한을 제거할 수 있습니다.

키 삭제

키를 삭제 대상으로 지정한 후, ‘관리자(Manager )’ 액세스 정책을 가진 다른 사용자가 ‘ Key Protect ’ GUI 또는 API를 사용하여 해당 키를 안전하게 삭제할 수 있습니다.

Key Protect은(는) 키를 삭제할 수 있는 첫 번째 권한을 제공한 후 시작되는 7일의 권한 부여 기간을 설정합니다. 이 7일 동안 키는 활성 상태로 유지되며 키에 대해 모든 키 조작을 수행할 수 있습니다. 다른 사용자가 아무런 조치를 취하지 않은 채 7일 기간이 만료될 경우, 키를 삭제하려면 이중 승인 절차를 다시 시작해야 합니다.

다음 엔드포인트에 대해 DELETE 호출을 작성하여 키와 해당 컨텐츠를 삭제하십시오.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1. 인증 정보를 검색하여 서비스에서 키에 대한 작업을 수행하십시오.

2. 삭제할 키의 ID를 검색하십시오.

   GET /v2/keys 요청을 작성하거나 Key Protect 대시보드에서 키를 확인하여 지정된 키의 ID를 검색할 수 있습니다.

3. 다음 curl 명령을 실행하여 키와 해당 컨텐츠를 삭제하십시오.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   다음 표에 따라 예제 요청의 변수를 대체하십시오.

return_preference 변수가 return=representation으로 설정되면 DELETE 요청의 세부사항이 응답 엔티티-본문에 리턴됩니다.

키를 삭제하면 키가 Deactivated 키 상태로 전이됩니다. 24시간 후 키가 복구되지 않으면 키가 Destroyed 상태로 전이됩니다. 삭제된 키는 최대 30일 또는 만료 날짜 중 더 빠른 날짜 후에 복구할 수 있습니다. 그 후에는 키 컨텐츠가 영구적으로 삭제되므로 더 이상 액세스할 수 없습니다.

다음 JSON 오브젝트는 예제 리턴값을 표시합니다.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
          "type": "application/vnd.ibm.kms.key+json",
          "id": "02fd6835-6001-4482-a892-13bd2085f75d",
          "name": "test-root-key",
          "aliases": [
                "alias-1",
                "alias-2"
              ],
          "state": 5,
          "extractable": false,
          "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
          "imported": false,
          "creationDate": "2020-03-10T20:41:27Z",
          "createdBy": "...",
          "algorithmType": "Deprecated",
          "algorithmMetadata": {
              "bitLength": "256",
              "mode": "Deprecated"
          },
          "algorithmBitSize": 256,
          "algorithmMode": "Deprecated",
          "lastUpdateDate": "2020-03-16T20:41:27Z",
          "dualAuthDelete": {
              "enabled": false
          },
          "deleted": true,
          "deletionDate": "2020-03-16T21:46:53Z",
          "deletedBy": "..."
        }
    ]
}

사용 가능한 매개변수에 대한 자세한 설명은 Key Protect REST API 참조 문서를 참조하십시오.

기존 권한 제거

7일 간의 권한 부여 기간이 만료되기 전에 키에 대한 권한 부여를 취소해야 하는 경우 다음 엔드포인트에 대한 POST 호출을 수행하여 기존 권한 부여를 제거할 수 있습니다.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion

1. 인증 정보를 검색하여 서비스에서 키에 대한 작업을 수행하십시오.

   키를 삭제할 권한을 제거하려면 인스턴스 또는 키에 대한 관리자 또는 작성자 액세스 정책이 지정되어야 합니다. IAM 역할이 Key Protect 서비스 조치에 맵핑되는 방법을 알아보려면 서비스 액세스 역할을 확인하십시오.

2. 삭제를 위해 설정 해제하거나 권한을 취소할 키의 ID를 복사하십시오.

3. 키를 삭제하려면 기존의 권한을 제거하십시오.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   다음 표에 따라 예제 요청의 변수를 대체하십시오.

요청에 성공하면 HTTP 204 No Content 응답을 리턴하며, 키에는 더 이상 삭제할 수 있는 권한이 없음을 표시합니다. 이중 승인 절차를 다시 시작해야 하는 경우, 삭제를 위한 키를 설정하기 위해 또 다른 승인을 발행할 수 있습니다.