在控制台中删除密钥

缺省情况下，Key Protect 需要一个权限才能删除密钥。 如果您更倾向于通过图形界面删除加密密钥，可以使用 IBM Cloud 控制台。

在您创建密钥或将现有密钥导入服务后，请完成以下步骤以删除密钥：

1. 登录到 IBM Cloud 控制台。

2. 转到 “菜单” > “资源列表” 以查看您的资源列表。

3. 从 IBM Cloud 资源列表中，选择您供应的 Key Protect 实例。

4. 在应用程序详细信息页面中，使用密钥表来浏览服务中的密钥。

5. 单击 ⋯ 图标以打开要删除的密钥的选项列表。

6. 在“选项”菜单中，单击 “删除”。 在确认屏幕中，请确认该密钥未关联任何资源，然后确认删除。 如果某个密钥保护的已注册 IBM Cloud 资源因 保留策略 而不可删除，则无法删除该密钥。

删除键后，该键将转为 “已销毁”状态。 处于此状态的密钥加密的任何数据都不再可访问。 与密钥关联的元数据（例如，密钥的删除日期）会保存在 Key Protect 数据库中。 销毁的密钥最多可在 30 天后或其到期日期 (以较早者为准) 恢复。 在 30 天后，密钥将无法再恢复，并且在 90 天后有资格清除，这是一个将密钥材料粉碎并使其元数据不可访问的过程。

如果用户 拥有 KeyPurge 属性，则可以在四小时后清除密钥。 请查看 在控制台中清除密钥 以获取更多信息。

在控制台中清除密钥

如果在 90 天之前清除密钥对用例很重要 (在正常删除后可以清除最快的密钥)，那么如果用户 具有 KeyPurge 角色，那么可以在 4 小时之后清除密钥。

由于已清除的密钥具有永久粉碎的密钥材料和不可访问的元数据，因此无法复原已清除的密钥。 因此，更重要的是确保密钥没有重要的相关资源。

要清除密钥:

1. 遵循指示信息以 删除密钥。

2. 等待至少 4 个小时后，再次浏览至密钥并单击 ... 图标。

3. 从选项中，从以下选项中选择 清除，并在下一个屏幕中确认删除密钥，方法是确保密钥没有关联的资源，并且您具有必需的 KeyPurge 用户属性。

使用 API 删除密钥

如果用户 具有 KeyPurge 角色，那么他们可以在 4 小时后清除密钥。

缺省情况下，Key Protect 需要一个权限才能删除密钥。 您可以通过向以下端点发送 DELETE 请求，来删除一个键及其内容。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

如果密钥正在主动保护一个或多个云资源，那么此操作将不会成功。 您可以 查看与密钥关联的资源，或者在查询时 使用 force 参数 来删除密钥。

1. 检索认证凭证以使用服务中的密钥。

2. 获取要删除的密钥的 ID。

   您可以在以下位置找到密钥的标识: Key Protect 实例 检索密钥列表，或者通过访问 Key Protect 仪表板。

3. 运行以下 curl 命令，以删除该键及其内容。

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "prefer: <return_preference>"
   

   根据下表替换示例请求中的变量。

如果将 return_preference 变量设置为 return=representation，则 DELETE 请求的详细信息将包含在响应的实体正文中。

删除密钥后，它将过渡到 已取消激活 密钥状态。 在 24 小时后，如果未恢复密钥，那么密钥将过渡到 已销毁 状态。 已删除的密钥最多可恢复 30 天或直至其到期日期，之后将粉碎密钥内容并使其元数据不可访问。

以下 JSON 对象显示返回值示例。

{
"metadata": {
    "collectionType": "application/vnd.ibm.kms.key+json",
    "collectionTotal": 1
},
"resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "state": 5,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-10T20:41:27Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": true,
            "deletionDate": "2020-03-16T21:46:53Z",
            "deletedBy": "..."
        }
    ]
}

有关可用参数的详细说明，请参阅 Key Protect REST API 参考文档。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>?force=true

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "type": "application/vnd.ibm.kms.key+json",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "name": "test-root-key",
            "description": "...",
            "state": 5,
            "expirationDate": "2020-03-15T20:41:27Z",
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:30372f20-d9f1-40b3-b486-a709e1932c9c:key:2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "deleted": true,
            "algorithmType": "AES",
            "createdBy": "...",
            "deletedBy": "...",
            "creationDate": "2020-03-10T20:41:27Z",
            "deletionDate": "2020-03-16T21:46:53Z",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "extractable": true
        }
    ]
}

密钥清除

删除密钥时，将立即取消激活其密钥资料，并将其移至 Key Protect 服务中的后备存储器。 删除密钥 4 小时后，该密钥变为可用以手动清除。 删除密钥 30 天后，密钥将变为不可恢复，密钥材料将被销毁。 在删除密钥 90 天后，如果未手动清除，那么该密钥将有资格自动清除，并且将从 Key Protect 服务中永久除去或“硬删除”其所有关联数据。

有关删除和清除密钥的更多信息，请查看 关于删除和清除密钥。

下表列出了可用于检索与已删除密钥相关的数据的 API。