コンソールでの鍵の削除

デフォルトでは、鍵を削除するために Key Protect が必要とする許可は 1 つです。 グラフィカル・インターフェースを使用して 暗号鍵を削除したい場合は、IBM Cloud コンソールを 使用できます。

サービス内に鍵を作成するか、既存の鍵をインポートした後、鍵を削除するには以下の手順を実行します。

1. IBM Cloud コンソールにログインしてください。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. アプリケーションの詳細ページで、**「鍵 (Keys)」**テーブルを使用して、サービス内の鍵を参照します。

5. 「⋯」アイコンをクリックして、削除する鍵に関するオプションのリストを開きます。

6. オプション・メニューから、**「削除」**をクリックします。 確認画面で、そのキーに関連付けられているリソースがないことを確認してから、削除を実行してください。 保持ポリシー により削除できない、登録済みの IBM Cloud リソースを保護しているキーは削除できません。

鍵を削除すると、鍵は_破棄_状態に移行します。 この状態の鍵で暗号化されているデータには、もうアクセスできません。 鍵の削除日など、鍵に関連付けられているメタデータは、Key Protect データベースに保管されます。 破棄された鍵を復元できるのは、30 日が経過するか有効期限日に達するか、どちらか早いほうまでです。 30 日後に鍵は復元不能になり、90 日後にパージ対象になります。パージとは、鍵素材を破棄してメタデータをアクセス不能にするプロセスです。

ユーザーが KeyPurge 属性があるの場合、4 時間後に鍵をパージできます。 詳しくは、コンソールでの鍵のパージを参照してください。

コンソールでの鍵のパージ

ユース・ケースで 90 日より早く鍵をパージすることが重要である場合 (通常の削除後に鍵をパージできる最も早い時期)、ユーザーが KeyPurge 役割を持つであれば、4 時間後に鍵をパージできます。

パージされた鍵の鍵素材は完全に破棄され、メタデータはアクセス不能になるので、パージされた鍵を復元することはできません。 そのため、鍵に関連付けられている重要なリソースがないことを確認することが非常に重要になります。

鍵をパージするには、次のようにします。

1. 鍵の削除の手順に従います。

2. 少なくとも 4 時間待ってから、もう一度鍵に移動して「⋯」アイコンをクリックします。

3. オプションのリストから、**「パージ」**を選択し、次の画面で鍵に関連付けられているリソースがないこと、必要な KeyPurge ユーザー属性を割り当てられていることを確認してから、鍵を削除することを確認します。

API を使用した鍵の削除

ユーザーが KeyPurge 役割を持つの場合、4 時間後に鍵をパージできます。

デフォルトでは、鍵を削除するために Key Protect が必要とする許可は 1 つです。 以下のエンドポイントへの DELETE 呼び出しを行うことによって、鍵とその内容を削除できます。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1 つ以上のクラウド・リソースを鍵が現に保護している場合、このアクションは成功しません。 鍵と関連付けられているリソースを確認するか、または、鍵を削除するための照会時に force パラメーターを使用してください。

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

2. 削除する鍵の ID を取得します。

   鍵の ID は、以下の場所にあります。 Key Protect インスタンスの鍵の ID は、鍵のリストを取得するか、または Key Protect ダッシュボードにアクセスすることで見つけることができます。 ダッシュボード。

3. 次の curl コマンドを実行して、鍵とその内容を削除します。

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "prefer: <return_preference>"
   

   次の表に従って、例の要求内の変数を置き換えてください。

return_preference 変数を return=representation に設定すると、DELETE 要求の詳細が応答のエンティティー本体で返されます。

鍵を削除すると、その鍵は_非アクティブ化_鍵の状態に移行します。 24 時間後に鍵が復元されない場合、鍵は_破棄_状態に移行します。 削除された鍵は、30 日が経過するか有効期限に達するまで復元可能です。どちらかに達すると、鍵の内容が破棄され、メタデータはアクセス不能になります。

以下の JSON オブジェクトは、返された値の例を示しています。

{
"metadata": {
    "collectionType": "application/vnd.ibm.kms.key+json",
    "collectionTotal": 1
},
"resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "state": 5,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-10T20:41:27Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": true,
            "deletionDate": "2020-03-16T21:46:53Z",
            "deletedBy": "..."
        }
    ]
}

利用可能なパラメータの詳細については、『 Key Protect REST API リファレンスドキュメント 』を参照してください。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>?force=true

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "type": "application/vnd.ibm.kms.key+json",
            "aliases": [
                "alias-1",
                "alias-2"
            ],
            "name": "test-root-key",
            "description": "...",
            "state": 5,
            "expirationDate": "2020-03-15T20:41:27Z",
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:30372f20-d9f1-40b3-b486-a709e1932c9c:key:2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
            "deleted": true,
            "algorithmType": "AES",
            "createdBy": "...",
            "deletedBy": "...",
            "creationDate": "2020-03-10T20:41:27Z",
            "deletionDate": "2020-03-16T21:46:53Z",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "extractable": true
        }
    ]
}

鍵のパージ

鍵を削除すると、鍵素材がただちに非アクティブ化され、Key Protect サービスのバックストアに移動されます。 鍵の削除から 4 時間後に、鍵を手動でパージできるようになります。 鍵の削除から 30 日後に、鍵は復元できなくなり、鍵素材は破棄されます。 手動でパージされた場合を除き、鍵の削除から 90 日後に、鍵は自動パージの対象になり、すべての関連データが Key Protect サービスから完全に削除 (つまり「ハード削除」) されます。

鍵を削除してパージする方法について詳しくは、鍵の削除およびパージについて を参照してください。

以下の表に、削除された鍵に関連するデータを取得するために使用できる API をリストします。