Criando chaves raiz no console

Depois de criar uma instância do serviço, conclua as etapas a seguir para criar uma chave raiz no console IBM Cloud.

Se você implementar a oferta Dedicated Key Protect, deverá primeiro inicializar a instância antes de criar qualquer recurso.

Se você ativar as configurações de autorização dupla para a sua instância do Key Protect, tenha em mente que qualquer chave que você incluir no serviço requererá uma autorização de dois usuários para excluir chaves.

1. Efetue login no console do IBM Cloud.

2. Acesse Menu > Lista de recursos para visualizar uma lista de seus recursos.

3. Em sua lista de recursos do IBM Cloud, selecione a sua instância provisionada do Key Protect.

4. Para criar uma nova chave, clique em “Adicionar chave ”. Um painel lateral será aberto. Certifique-se de que a opção Criar uma chave esteja selecionada. Observe que, para definir um alias de chave, um chaveiro ou uma política de rotação para esta chave, é necessário clicar na guia “Opções avançadas” para exibi-los.

Se você não for um Manager (ou tiver um nível equivalente de permissões), a opção Política de rotação não aparecerá.

Specify the key's details:

Quando terminar de preencher os detalhes da chave, clique em “Adicionar” para confirmar.

Se você souber em qual chaveiro deseja colocar uma chave e for o administrador desse chaveiro, também poderá acessar o painel “Chaveiros”, selecionar ⋯ e clicar em “Adicionar nova chave ”. Isto abrirá o mesmo painel que você vê clicando em Incluir, na página Chaves, com a variável Conjuntos de chaves preenchida com o nome do conjunto de chaves.

As chaves criadas no serviço são chaves simétricas de 256 bits, compatíveis com o algoritmo AES_KW. Para obter segurança adicional, as chaves são geradas pelos módulos de segurança de hardware (HSMs) certificados FIPS 140-2 Nível 3 que estão localizados em data centers do IBM Cloud seguros.

Se você precisar provisionar chaves raiz de forma consistente entre contas ou ambientes, poderá automatizar isso com o módulo Key Protect Key. Para obter uma configuração completa que também provisiona a instância Key Protect e os chaveiros, consulte o módulo Key Protect com tudo incluído. Para obter uma visão geral, consulte Terraform IBM Modules.

Criando chaves raiz com a API

Se você implementar a oferta Dedicated Key Protect, deverá primeiro inicializar a instância antes de criar qualquer recurso.

Crie uma chave raiz fazendo uma chamada POST para o terminal a seguir.

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. Recupere as suas credenciais de autenticação para trabalhar com chaves no serviço.

2. Crie uma chave raiz executando o comando curl a seguir.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   Substitua as variáveis na solicitação de exemplo de acordo com a tabela a seguir.

Tenha cuidado ao definir uma data de expiração, pois as chaves criadas com uma data de expiração passam automaticamente para o estado Desativado em uma hora após a expiração. Nesse estado, as únicas ações permitidas na chave são desembrulhar, desembrulhar novamente, girar e excluir. As chaves desativadas não podem ser usadas para criptografar (envolver) novos dados, mesmo que tenham sido giradas enquanto desativadas. A rotação não redefine ou estende a data de validade, nem permite que a data seja alterada. Recomenda-se que todos os dados criptografados com uma chave expirada ou vencida sejam criptografados novamente usando uma nova chave raiz do cliente (CRK) antes que a CRK original expire, para evitar interrupções no serviço. A exclusão e a restauração de uma chave desativada não a movem de volta ao estado Ativo. Se o atributo expiration_date for omitido, a chave não expira.

Você pode monitorar o uso de chaves com datas de expiração usando IBM Cloud Logs. Os registros indicam a data de expiração e o número de dias restantes usando as propriedades JSON responseData.expirationDate e responseData.daysToKeyExpire para chaves que têm data de expiração e para os seguintes valores action: kms.secrets.wrap, kms.secrets.unwrap, kms.secrets.rewrap, kms.secrets.read, kms.secrets.readmetadata, kms.secrets.create, kms.secrets-with-policy-overrides.create e kms.secrets.expire. Além disso, uma chamada REST bem-sucedida para GET /api/v2/keys retorna a propriedade expirationDate para cada chave que tenha uma data de validade.

Para proteger a confidencialidade de seus dados pessoais, evite inserir informações pessoalmente identificáveis (PII), como seu nome ou local, ao incluir chaves no serviço.

Uma resposta POST api/v2/keys bem-sucedida retorna o valor de ID para a sua chave, junto com outros metadados. O ID é um identificador exclusivo que é designado para sua chave e é usado para chamadas subsequentes para a API do Key Protect.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
              ],
            "description": "A test root key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:37:32Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:37:32Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

Para obter uma descrição detalhada dos parâmetros de resposta, consulte o documento de referência da API REST do Key Protect.