Opzionale: Verificare la rotazione delle chiavi

È possibile verificare che una chiave sia stata ruotata inviando una richiesta di elenco delle chiavi:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.collection+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Dove <instance_ID> è il nome dell'istanza e <IAM_token> è il token IAM.

Controlla i valori di “ lastRotateDate ” e “ keyVersion ” nel corpo dell’entità della risposta per verificare la data e l’ora dell’ultima rotazione della tua chiave.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:50:12Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:50:12Z",
            "lastRotateDate": "2020-03-12T03:49:01Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:50:12Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

L'attributo keyVersion contiene informazioni di identificazione che descrivono l'ultima versione della chiave principale.

È inoltre possibile elencare le versioni disponibili per la chiave utilizzando l'opzione Key Protect API. Per saperne di più, vedere Visualizzazione delle versioni chiave.

Utilizzo di un token di importazione per ruotare una chiave

Se inizialmente si è importata una chiave radice utilizzando un token di importazione, è possibile ruotare la chiave la chiave effettuando una chiamata POST al seguente endpoint.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate

1. Richiama le tue credenziali di autenticazione per lavorare con le chiavi nel servizio.

   Per ruotare una chiave, è necessario che ti sia stata assegnata una politica di accesso di tipo “ Scrittore ” o “ Responsabile ” per l’istanza o la chiave. Per conoscere la corrispondenza dei ruoli IAM con Key Protect azioni di servizio, controllare Ruoli di accesso al servizio.

2. Recupera l'ID della chiave che desideri aggiornare.

   È possibile recuperare l'ID di una chiave specificata eseguendo un'operazione di GET /v2/keys o visualizzando le chiavi nella sezione cruscotto Key Protect.

3. Crea e recupera un token di importazione.

4. Utilizzare il token di importazione per crittografare il materiale della chiave che si vuole utilizzare per ruotare la chiave esistente.

   Per imparare a usare un token di importazione, vedere Esercitazione: Creare e importare chiavi di crittografia.

5. Sostituire la chiave esistente con il nuovo materiale della chiave, eseguendo il seguente comando curl .

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -d '{
               "type": "application/vnd.ibm.kms.key+json",
               "name": "<key_alias>",
               "description": "<key_description>",
               "extractable": <key_type>,
               "payload": "<encrypted_key>",
               "encryptionAlgorithm": "RSAES_OAEP_SHA_256",
               "encryptedNonce": "<encrypted_nonce>",
               "iv": "<iv>"
           }'
   

   Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Una richiesta di rotazione eseguita correttamente restituisce una risposta HTTP 204 No Content, che indica che la tua chiave root è stata sostituita da nuovo materiale della chiave.

Facoltativo: Verificare la rotazione della chiave del token di importazione

È possibile verificare che una chiave importata tramite token d'importazione sia stata ruotata inviando una richiesta di ottenere i metadati della chiave:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/metadata" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Dove <keyID_or_alias> è l'ID o l'alias della chiave, <instance_ID> è il nome della vostra istanza e <IAM_token> è il vostro token IAM.

Controlla i valori di “ lastRotateDate ” e “ keyVersion ” nel corpo dell’entità della risposta per verificare la data e l’ora dell’ultima rotazione della tua chiave.

È inoltre possibile elencare le versioni disponibili per la chiave utilizzando l'opzione Key Protect API. Per saperne di più, vedere Visualizzazione delle versioni chiave.