Eliminazione delle chiavi nella console

Per impostazione predefinita, Key Protect richiede una singola autorizzazione per eliminare una chiave. Se preferisci eliminare le tue chiavi di crittografia tramite un'interfaccia grafica, puoi utilizzare la console IBM Cloud.

Dopo aver creato o importato le tue chiavi esistenti nel servizio, completa la seguente procedura per eliminare una chiave:

1. Accedi alla console IBM Cloud.

2. Vai su Menu > Elenco risorse per visualizzare l'elenco delle tue risorse.

3. Dal tuo elenco risorse IBM Cloud, seleziona la tua istanza di cui è stato eseguito il provisioning di Key Protect.

4. Nella pagina dei dettagli dell'applicazione, utilizza la tabella Keys per sfogliare le chiavi nel tuo servizio.

5. Fai clic sull'icona ⋯ per aprire un elenco di opzioni per la chiave che desideri eliminare.

6. Dal menu delle opzioni, fare clic su Elimina. Nella schermata di conferma, verificare che la chiave non abbia risorse associate, quindi confermare l'eliminazione. Non è possibile eliminare una chiave se questa protegge una risorsa registrata su IBM Cloud che non può essere cancellata a causa di una politica di conservazione.

Dopo aver eliminato una chiave, questa passa allo stato “Distrutta ”. Tutti i dati crittografati dalle chiavi in questo stato non sono più accessibili. I metadati associati alla chiave, come la data di eliminazione della chiave, vengono conservati nel database Key Protect. Le chiavi distrutte possono essere recuperate dopo un massimo di 30 giorni o la loro data di scadenza, a seconda di quale sia la prima. Dopo 30 giorni, le chiavi non possono più essere recuperate e diventano idonee per essere eliminate dopo 90 giorni, un processo che elimina il materiale della chiave e rende i suoi metadati inaccessibili.

Se un utente possiede l'attributo KeyPurge, può eliminare una chiave dopo quattro ore. Per ulteriori informazioni, consulta Eliminazione delle chiavi nella console.

Eliminazione delle chiavi nella console

Se per il tuo caso di utilizzo è importante eliminare una chiave prima di 90 giorni (la chiave più presto può essere eliminata dopo una normale eliminazione), la chiave può essere eliminata dopo quattro ore se un utente ha il ruolo KeyPurge.

Poiché una chiave eliminata ha il relativo materiale della chiave definitivamente distrutto e i metadati inaccessibili, non è possibile ripristinare una chiave eliminata. È quindi ancora più importante garantire che la chiave non disponga di risorse vitali associate.

Per eliminare una chiave:

1. Seguire le istruzioni per Eliminare una chiave.

2. Dopo aver atteso almeno quattro ore, naviga ancora una volta alla chiave e fai clic sull'icona ...

3. Dalle opzioni, selezionare Elimina dalle opzioni riportate di seguito e confermare l'eliminazione della chiave nel pannello successivo verificando che la chiave non abbia risorse associate e che si disponga dell'attributo utente KeyPurge necessario.

Eliminazione delle chiavi con l'API

Se un utente ha il ruoloKeyPurge, può eliminare una chiave dopo quattro ore.

Per impostazione predefinita, Key Protect richiede una singola autorizzazione per eliminare una chiave. Puoi eliminare una chiave e il suo contenuto effettuando una chiamata DELETE al seguente endpoint.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

Questa azione non riuscirà se la chiave sta proteggendo attivamente una o più risorse cloud. Puoi riesaminare le risorse associate alla chiave oppure utilizzare il parametro force al momento della query per eliminare la chiave.

1. Richiama le tue credenziali di autenticazione per lavorare con le chiavi nel servizio.

2. Recupera l'ID della chiave che desideri eliminare.

   È possibile trovare l'ID per una chiave nel Istanza Key Protect da richiamo di un elenco delle tue chiavi o accesso a Key Protect cruscotto.

3. Eseguire il seguente comando curl per eliminare la chiave e il suo contenuto.

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "prefer: <return_preference>"
   

   Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Se la variabile return_preference è impostata su return=representation``, i dettagli della richiesta DELETE vengono restituiti nel corpo dell'entità della risposta.

Dopo aver eliminato una chiave, passa allo stato della chiave Disattivato . Dopo 24 ore, se una chiave non viene reintegrata, la chiave passa allo stato Destroyed . Le chiavi eliminate sono recuperabili per un massimo di 30 giorni o fino alla data di scadenza, dopodiché il contenuto della chiave viene distrutto e i relativi metadati diventano inaccessibili.

Il seguente oggetto JSON mostra un valore restituito di esempio.

{
"metadata": {
    "collectionType": "application/vnd.ibm.kms.key+json",
    "collectionTotal": 1
},
"resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "state": 5,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-10T20:41:27Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": true,
            "deletionDate": "2020-03-16T21:46:53Z",
            "deletedBy": "..."
        }
    ]
}

Per una descrizione dettagliata dei parametri disponibili, consultare la documentazione di riferimento dell'API REST di Key Protect.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>?force=true

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "type": "application/vnd.ibm.kms.key+json",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "name": "test-root-key",
            "description": "...",
            "state": 5,
            "expirationDate": "2020-03-15T20:41:27Z",
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:30372f20-d9f1-40b3-b486-a709e1932c9c:key:2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "deleted": true,
            "algorithmType": "AES",
            "createdBy": "...",
            "deletedBy": "...",
            "creationDate": "2020-03-10T20:41:27Z",
            "deletionDate": "2020-03-16T21:46:53Z",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "extractable": true
        }
    ]
}

Cancellazione definitiva della chiave

Quando elimini una chiave, disattivi immediatamente il materiale della chiave e la sposti in un backstore nel servizio Key Protect. Quattro ore dopo l'eliminazione di una chiave, la chiave diventa disponibile per essere eliminata manualmente. Trenta giorni dopo che una chiave viene eliminata, la chiave diventa non ripristinabile e il materiale della chiave viene distrutto. Dopo che una chiave è stata eliminata per 90 giorni, se non è stata eliminata manualmente, la chiave diventa idonea per essere eliminata automaticamente e tutti i suoi dati associati verranno definitivamente rimossi o "eliminati in modo permanente" dal servizio Key Protect.

Per ulteriori informazioni sull'eliminazione e l'eliminazione delle chiavi, consulta Informazioni sull'eliminazione e l'eliminazione delle chiavi.

La seguente tabella elenca le API che è possibile utilizzare per richiamare i dati relativi a una chiave eliminata.