Optional: Schlüsselrotation überprüfen

Sie können überprüfen, ob ein Schlüssel rotiert wurde, indem Sie eine Anforderung für die Listenschlüssel ausgeben:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.collection+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Dabei ist <instance_ID> der Name Ihrer Instanz und Ihr <IAM_token> ist Ihr IAM-Token.

Überprüfen Sie die Werte für lastRotateDate und keyVersion im Entitätshauptteil der Antwort, um das Datum und die Uhrzeit der letzten Rotation des Schlüssels zu prüfen.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:50:12Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:50:12Z",
            "lastRotateDate": "2020-03-12T03:49:01Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:50:12Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

Das Attribut keyVersion enthält die Identifikationsinformationen, die die letzte Version des Rootschlüssels beschreiben.

Sie können auch die Versionen auflisten, die für den Schlüssel verfügbar sind, indem Sie die Key Protect-API verfügbar. Weitere Informationen finden Sie unter Schlüsselversionen anzeigen.

Importtoken zum Wechseln eines Schlüssels verwenden

Wenn Sie zu Anfang einen Rootschlüssel mithilfe eines Importtokens importiert haben, können Sie den Schlüssel wechseln, indem Sie einen POST-Aufruf an den folgenden Endpunkt absetzen.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate

1. Rufen Sie Ihre Authentifizierungsnachweise ab, um mit den Schlüsseln im Service zu arbeiten.

   Um einen Schlüssel zu rotieren, muss Ihnen eine Writer- oder Manager-Zugriffsrichtlinie für die Instanz oder den Schlüssel zugewiesen sein. Informationen zur Zuordnung von IAM-Rollen zu Key Protect-Serviceaktionen entnehmen Sie Servicezugriffsrollen.

2. Rufen Sie die ID des Schlüssels ab, den Sie wechseln wollen.

   Sie können die ID für einen bestimmten Schlüssel abrufen, indem Sie eine GET /v2/keys Anfrage oder durch Einsehen Ihrer Schlüssel in der Key Protect-Dashboard.

3. Erstellen Sie ein Importtoken und rufen Sie es ab.

4. Verwenden Sie das Importtoken, um die Schlüsselinformationen zu verschlüsseln, die Sie zum Wechseln des vorhandenen Schlüssels verwenden wollen.

   Weitere Informationen zur Verwendung eines Importtokens finden Sie im Lernprogramm: Verschlüsselungsschlüssel erstellen und importieren.

5. Ersetzen Sie den bestehenden Schlüssel durch neues Schlüsselmaterial, indem Sie den folgenden Befehl ausführen curl-Befehl ausführen.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -d '{
               "type": "application/vnd.ibm.kms.key+json",
               "name": "<key_alias>",
               "description": "<key_description>",
               "extractable": <key_type>,
               "payload": "<encrypted_key>",
               "encryptionAlgorithm": "RSAES_OAEP_SHA_256",
               "encryptedNonce": "<encrypted_nonce>",
               "iv": "<iv>"
           }'
   

   Ersetzen Sie die Variablen in der Beispielanforderung entsprechend der folgenden Tabelle.

Eine erfolgreiche Rotationsanforderung gibt die HTTP-Antwort 204 No Content zurück, die bedeutet, dass der Rootschlüssel durch neue Schlüsselinformationen ersetzt wurde.

Optional: Schlüsselrotation für Import-Token überprüfen

Sie können überprüfen, ob ein Schlüssel, der über ein Import-Token importiert wurde, rotiert wurde, indem Sie eine Abfrage der Schlüssel-Metadaten durchführen:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/metadata" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Dabei ist <keyID_or_alias> die ID oder der Aliasname des Schlüssels und <instance_ID> ist der Name Ihrer Instanz und <IAM_token> ist Ihr IAM-Token.

Überprüfen Sie die Werte für lastRotateDate und keyVersion im Entitätshauptteil der Antwort, um das Datum und die Uhrzeit der letzten Rotation des Schlüssels zu prüfen.

Sie können auch die Versionen auflisten, die für den Schlüssel verfügbar sind, indem Sie die Key Protect-API verfügbar. Weitere Informationen finden Sie unter Schlüsselversionen anzeigen.