Facultatif : vérifiez la rotation de la clé.

Vous pouvez vérifier qu'une clé a fait l'objet d'une rotation en émettant une demande de liste de clés :

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.collection+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Où <instance_ID> est le nom de votre instance et votre <IAM_token> est votre jeton IAM.

Examinez les valeurs lastRotateDate et keyVersion de la réponse entity-body pour connaître la date et l'heure de la dernière rotation de votre clé.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:50:12Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:50:12Z",
            "lastRotateDate": "2020-03-12T03:49:01Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:50:12Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

L'attribut keyVersion contient les informations d'identification qui décrivent la dernière version de la clé racine.

Vous pouvez également répertorier les versions disponibles pour la clé à l'aide de la l'API Key Protect. Pour en savoir plus, voir Affichage des versions de clé.

Utilisation d'un jeton d'importation pour procéder à la rotation d'une clé

Si vous avez initialement importé une clé racine à l'aide d'un jeton d'importation, vous pouvez effectuer la rotation de la clé en soumettant un appel POST au noeud final suivant :

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate

1. Extrayez vos données d'authentification afin d'utiliser les clés dans le service.

   Pour faire pivoter une clé, vous devez être affecté à une règle d'accès éditeur ou Gestionnaire pour l'instance ou la clé. Pour savoir comment les rôles IAM sont mappés les actions de maintenance Key Protect, consultez Rôles d'accès au service.

2. Extrayez l'ID de la clé à laquelle appliquer la rotation.

   Vous pouvez extraire l'ID d'une clé spécifiée en effectuant GET /v2/keys demande, ou en consultant vos clés dans le tableau de bord Key Protect.

3. Créez et extrayez un jeton d'importation.

4. Utilisez le jeton d'importation pour chiffrer les informations de clé que vous souhaitez utiliser pour effectuer la rotation de la clé existante.

   Pour savoir comment utiliser un jeton d'importation, reportez-vous au Tutoriel : Création et importation de clés de chiffrement.

5. Remplacez la clé existante par une nouvelle clé en exécutant la commande suivante : commande curl.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -d '{
               "type": "application/vnd.ibm.kms.key+json",
               "name": "<key_alias>",
               "description": "<key_description>",
               "extractable": <key_type>,
               "payload": "<encrypted_key>",
               "encryptionAlgorithm": "RSAES_OAEP_SHA_256",
               "encryptedNonce": "<encrypted_nonce>",
               "iv": "<iv>"
           }'
   

   Remplacez les variables de l'exemple de demande conformément au tableau suivant :

Une demande de rotation réussie renvoie une réponse HTTP 204 No Content, qui indique que votre clé racine a été remplacée par de nouvelles informations de clé.

Facultatif : vérifiez la rotation de la clé avec jeton d'importation.

Vous pouvez vérifier qu'une clé importée via un jeton d'importation a fait l'objet d'une rotation en émettant une demande d'obtention de métadonnées de clé :

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/metadata" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Où <keyID_or_alias> est l'ID ou l'alias de la clé, <instance_ID> est le nom de votre instance, et votre <IAM_token> est votre jeton IAM.

Examinez les valeurs lastRotateDate et keyVersion de la réponse entity-body pour connaître la date et l'heure de la dernière rotation de votre clé.

Vous pouvez également répertorier les versions disponibles pour la clé à l'aide de la l'API Key Protect. Pour en savoir plus, voir Affichage des versions de clé.