Excluindo chaves no console

Por padrão, o Key Protect requer uma autorização para excluir uma chave. Se você preferir excluir suas chaves de criptografia usando uma interface gráfica, será possível usar o console da IBM Cloud.

Depois de criar ou importar as chaves existentes no serviço,conclua as etapas a seguir para excluir a chave:

1. Efetue login no console do IBM Cloud.

2. Acesse Menu > Lista de recursos para visualizar uma lista de seus recursos.

3. Em sua lista de recursos do IBM Cloud, selecione a sua instância provisionada do Key Protect.

4. Na página de detalhes do aplicativo, use a tabela de Chaves para procurar as chaves em seu serviço.

5. Clique no ícone ⋯ para abrir uma lista de opções para a chave que você deseja excluir.

6. No menu de opções, clique em Excluir. Na tela de confirmação, verifique se a chave não possui recursos associados e, em seguida, confirme a exclusão. Não é possível excluir uma chave se ela proteger um recurso registrado no IBM Cloud que seja não apagável devido a uma política de retenção.

Depois de excluída, uma chave passa para o estado Destroyed. Qualquer dado criptografado por chaves neste estado não é mais acessível. Metadados que estão associados à chave, como a data de exclusão da chave, são mantidos no banco de dados do Key Protect. As chaves destruídas podem ser recuperadas após até 30 dias ou a sua data de expiração, o que ocorrer primeiro. Após 30 dias, as chaves não podem mais ser recuperadas, e tornam-se elegíveis para serem limpas após 90 dias, um processo que fragmenta o material de chave e torna seus metadados inacessíveis.

Caso tenha o atributo KeyPurge, um usuário pode limpar uma chave depois de quatro horas. Confira Limpando chaves no console para obter mais informações.

Limpando chaves no console

Se for importante para seu caso de uso que uma chave seja limpa antes de 90 dias (o período mais breve após o qual uma chave pode ser limpa depois da exclusão normal), a limpeza pode ser feita depois de quatro horas, caso um usuário tenha a função KeyPurge.

Como uma chave limpa tem seu material de chave fragmentado de forma permanente e os metadados inacessíveis, ela não pode ser restaurada. Por isso, é ainda mais importante garantir que a chave não tem recursos associados vitais.

Para limpar uma chave:

1. Siga as instruções para Excluir uma chave.

2. Depois de esperar pelo menos quatro horas, mais uma vez navegue para a chave e clique no ícone ⋯.

3. Entre as opções, selecione Limpar das opções abaixo e confirme a exclusão da chave na próxima tela, garantindo que a chave não tem recursos associados e que você tem o atributo de usuário KeyPurge necessário.

Excluindo chaves com a API

Caso tenha a função KeyPurge, um usuário pode limpar uma chave depois de quatro horas.

Por padrão, o Key Protect requer uma autorização para excluir uma chave. É possível excluir uma chave e o seu conteúdo fazendo uma chamada DELETE para o terminal a seguir.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

Essa ação não terá sucesso se a chave estiver protegendo ativamente um ou mais recursos em nuvem. É possível revisar os recursos que estão associados à chave ou usar o parâmetro force no momento da consulta para excluir a chave.

1. Recupere as suas credenciais de autenticação para trabalhar com chaves no serviço.

2. Recupere o ID da chave que você deseja excluir.

   Para obter o ID de uma chave na instância do Key Protect, é possível recuperar uma lista de chaves ou acessar o painel do Key Protect painel.

3. Execute o comando curl a seguir para excluir a chave e seu conteúdo.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "prefer: <return_preference>"
   

   Substitua as variáveis na solicitação de exemplo de acordo com a tabela a seguir.

Se a variável return_preference estiver configurada como return=representation, os detalhes da solicitação DELETE serão retornados no corpo da entidade de resposta.

Depois de excluída, uma chave passa para o estado de chave Deactivated. Depois de 24 horas, caso não seja restabelecida, a chave passa para o estado Destroyed. As chaves excluídas são recuperáveis por até 30 dias ou até sua data de expiração, após a qual os conteúdos da chave são fragmentados e seus metadados tornam-se inacessíveis.

O objeto JSON a seguir mostra um valor retornado de exemplo.

{
"metadata": {
    "collectionType": "application/vnd.ibm.kms.key+json",
    "collectionTotal": 1
},
"resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "state": 5,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-10T20:41:27Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": true,
            "deletionDate": "2020-03-16T21:46:53Z",
            "deletedBy": "..."
        }
    ]
}

Para obter uma descrição detalhada dos parâmetros disponíveis, consulte a documentação de referência da API REST do Key Protect.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>?force=true

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "type": "application/vnd.ibm.kms.key+json",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "name": "test-root-key",
            "description": "...",
            "state": 5,
            "expirationDate": "2020-03-15T20:41:27Z",
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:30372f20-d9f1-40b3-b486-a709e1932c9c:key:2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "deleted": true,
            "algorithmType": "AES",
            "createdBy": "...",
            "deletedBy": "...",
            "creationDate": "2020-03-10T20:41:27Z",
            "deletionDate": "2020-03-16T21:46:53Z",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "extractable": true
        }
    ]
}

Limpeza de chave

Ao excluir uma chave, imediatamente você desativa seu material de chave e move-o para um backstore no serviço Key Protect. Quatro horas após a exclusão de uma chave, ela fica disponível para ser limpa manualmente. Trinta dias após a exclusão de uma chave, ela se torna não restaurável e o material de chave é destruído. Depois de 90 dias de exclusão de uma chave, se não for limpa manualmente, ela se tornará elegível para ser limpa automaticamente e todos os seus dados associados serão removidos de forma permanente "ou excluídos de forma irrecuperável" do serviço Key Protect.

Para obter mais informações sobre como excluir e limpar chaves, confira Sobre como excluir e limpar chaves.

A tabela a seguir lista quais APIs podem ser usadas para recuperar dados relacionados a uma chave excluída.