在主控台中建立根金鑰

建立服務實例後，請依照以下步驟在 IBM Cloud 主控台。

如果您部署 專用 Key Protect 產品，您必須先 初始化您的實體，才能建立任何資源。

如果您啟用 Key Protect 範例的雙重授權設定，請記住您新增到服務的任何金鑰都需要兩個使用者授權才能刪除金鑰。

1. 登入 IBM Cloud 主控台。

2. 請前往「選單」>「資源清單」以檢視您的資源清單。

3. 從 IBM Cloud 資源清單，選取已佈建的 Key Protect 實例。

4. 若要建立新金鑰，請按一下「新增金鑰」。 將開啟側畫面。 確定已選取 建立金鑰 選項。 請注意，若要為此金鑰設定金鑰別名、金鑰圈 或輪替政策，您必須點選「進階選項」索引標籤才能顯示相關設定。

如果您不是 Manager (或具有相等的許可權層次)，則 旋轉原則 選項不會出現。

Specify the key's details:

填寫完密鑰的詳細資料後，請點擊「新增」以確認。

如果您知道要將鑰匙放入哪個鑰匙圈中，且您是該鑰匙_圈的管理員，_ 也可以導覽至「鑰匙圈」面板，選取 ⋯，然後點擊 「新增鑰匙」。 這會開啟您看到的相同畫面，方法是按一下「金鑰」頁面上的 新增，其中 金鑰環 變數已填入金鑰環名稱。

在該服務中建立的金鑰為對稱 256 位元金鑰，並由 AES_KW 演算法支援。 為了提高安全，金鑰是由位於安全 IBM Cloud 資料中心的 FIPS 140-2 Level 3 認證硬體安全模組 (HSM) 所產生。

如果您需要在不同帳戶或環境中一致地提供 root 金鑰，您可以使用 Key Protect 金鑰模組自動執行。 如需完整的設定，同時提供 Key Protect 實例和鑰匙圈，請參閱全包式 Key Protect 模組。 如需概覽，請參閱 Terraform IBM 模組。

使用 API 建立根金鑰

如果您部署 專用 Key Protect 產品，您必須先 初始化您的實體，才能建立任何資源。

對下列端點發出 POST 呼叫來建立根金鑰。

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. 擷取鑑別認證以使用服務中的金鑰。

2. 執行下列 curl 指令來建立根金鑰。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   根據下表取代範例要求中的變數。

設定到期日時請小心，因為以到期日建立的金鑰會在到期後一小時內自動轉換為_停用_狀態。 在此狀態下，允許對按鍵進行的動作只有解除捲動、重新捲動、旋轉和刪除。 停用的金鑰不能用來加密（包裝）新資料，即使在停用時進行了旋轉。 旋轉不會重設或延長有效日期，也不允許更改日期。 建議在原始 CRK 過期前，使用過期或失效的金鑰加密的任何資料，應使用新的客戶根金鑰 (CRK) 重新加密，以防止服務中斷。 刪除和還原停用的鑰匙不會將該鑰匙移回 Active（作用中 ）狀態。 若省略 expiration_date 屬性，則該金鑰不會過期。

您可以使用 IBM Cloud Logs. 日誌會使用 JSON 屬性 responseData.expirationDate 和 responseData.daysToKeyExpire 為有到期日的金鑰以及下列 action 值顯示到期日和剩餘天數：kms.secrets.wrap, kms.secrets.unwrap, kms.secrets.rewrap, kms.secrets.read, kms.secrets.readmetadata, kms.secrets.create, kms.secrets-with-policy-overrides.create 和 kms.secrets.expire。 此外，對 GET /api/v2/keys 的成功 REST 呼叫會為每個有到期日的金鑰傳回 expirationDate 屬性。

若要保護您個人資料的機密性，請在將金鑰新增至服務時避免輸入個人識別資訊 (PII)（例如您的姓名或位置）。

成功的 POST api/v2/keys 回應會傳回您金鑰的 ID 值，以及其他 meta 資料。 ID 是指派給您金鑰的唯一 ID，並用於後續的 Key Protect API 呼叫。

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
              ],
            "description": "A test root key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:37:32Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:37:32Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

有關回應參數的詳細說明，請參閱 Key Protect 的 REST API 參考文件。