オプション: 鍵のローテーションの確認

鍵のリスト表示の要求を実行して、鍵がローテートされたことを確認できます。

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.collection+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

ここで、<instance_ID> はインスタンスの名前で、<IAM_token> は IAM トークンです。

応答エンティティー本体内の lastRotateDate および keyVersion の値を確認して、 鍵が最後にローテートされた日時を調べます。

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:50:12Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:50:12Z",
            "lastRotateDate": "2020-03-12T03:49:01Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:50:12Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

keyVersion 属性には、ルート鍵の最新バージョンを記述する識別情報が含まれています。

また、以下を使用して、キーに使用可能なバージョンをリストすることもできます。 Key Protect API。 詳しくは、鍵のバージョンの表示を参照してください。

インポート・トークンを使用した鍵のローテート

最初にインポート・トークンを使用してルート鍵をインポートした場合は、以下のエンドポイントに対して POST 呼び出しを行うことによって、鍵をローテートできます。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate

1. サービス内で鍵の処理を行うために、認証資格情報を取得します。

   キーをローテーションするには、インスタンスまたはキーの_「ライター」または「マネージャー」_アクセス権限ポリシーが割り当てられている必要があります。 IAM ロールがどのように Key Protect サービス・アクションにどのようにマップされるかについては、サービス・アクセス役割を確認してください。

2. ローテートする鍵の ID を取得します。

   指定した鍵の ID を取得するには、 GET /v2/keys リクエスト、または Key Protect ダッシュボード。

3. インポート・トークンを作成して取得します。

4. インポート・トークンを使用して、既存の鍵をローテートするために使用する鍵素材を暗号化します。

   インポート・トークンの使用方法については、 チュートリアル: 暗号鍵の作成とインポートを確認してください。

5. 以下のコマンドを実行して、既存の鍵を新しい鍵データに置き換えてください curl コマンドを使用して作成できます。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -d '{
               "type": "application/vnd.ibm.kms.key+json",
               "name": "<key_alias>",
               "description": "<key_description>",
               "extractable": <key_type>,
               "payload": "<encrypted_key>",
               "encryptionAlgorithm": "RSAES_OAEP_SHA_256",
               "encryptedNonce": "<encrypted_nonce>",
               "iv": "<iv>"
           }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

        暗号化された鍵素材。 この値は base64 エンコードでなければ
        なりません。 鍵素材が以下の要件を満たしていることを確認してください：<br><br>鍵の長さは128、192、または256ビットでなければなりません。 データバイト（例えば、256ビットの場合は32バイト）は、 base64 エンコーディングを使用してエンコードする必要があります。 |

| key_type | オプション。 鍵の素材をサービスの外に出すことができるかどうかを決定するブール値。

extractable 属性を false に設定すると、そのキーは wrap または unwrap 操作に使用できるルートキーになります。 | | encrypted_nonce | 必須。 要求の一部として送信されるビットがその送信先で受信されるビットとまったく同じであることを確認するための、AES-GCM で暗号化された nonce。 復元しようとしている鍵は、この nonce によって検証されます。

詳細については、 「チュートリアル：暗号化キーの作成とインポート」 をご覧ください。 | | iv | 必須。 nonce を暗号化する際に、AES-GCM アルゴリズムによって生成される初期設定ベクトル (IV)。 この値は、 Key Protect システムに保存するためのキーを復号化する際に使用されます。

詳細については、 「チュートリアル：暗号化キーの作成とインポート」 をご覧ください。 |

ローテーション要求が成功すると、HTTP 204 No Content 応答が返されます。これは、ルート鍵が新しい鍵素材に置き換えられたことを示しています。

オプション: インポート・トークンの鍵のローテーションの確認

鍵メタデータの取得の要求を実行して、インポート・トークンを使用してインポートされていた鍵がローテートされたことを確認できます。

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/metadata" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

ここで、<keyID_or_alias> は鍵の ID または別名、<instance_ID> はインスタンスの名前、<IAM_token> は IAM トークンです。

応答エンティティー本体内の lastRotateDate および keyVersion の値を確認して、 鍵が最後にローテートされた日時を調べます。

また、以下を使用して、キーに使用可能なバージョンをリストすることもできます。 Key Protect API。 詳しくは、鍵のバージョンの表示を参照してください。