Creación de claves en la consola

Después de crear una instancia del servicio, complete los pasos siguientes para crear una clave raíz en la consola de IBM Cloud.

Si habilita los valores de autorización dual para la instancia de Key Protect, tenga en cuenta que cualquier clave que añada al servicio necesita una autorización de dos usuarios para suprimir claves.

1. Acceda a la consola IBM Cloud.

2. Vaya a Menú > Lista de recursos para ver una lista de sus recursos.

3. Desde la lista de recursos de IBM Cloud seleccione su instancia suministrada de Key Protect.

4. Para crear una clave nueva, pulse Añadir. Se abrirá un panel lateral. Asegúrese de que la opción Crear una clave esté seleccionada. Tenga en cuenta que para establecer un Alias de clave, Conjunto de claves o Política de rotación para esta clave, debe pulsar la pestaña Opciones avanzadas para mostrarlos.

Si no es un Manager (o tiene un nivel equivalente de permisos), la opción Política de rotación no aparece.

Specify the key's details:

Cuando haya terminado de cumplimentar los detalles de la clave, pulse Crear una clave para confirmar.

Si sabe en qué anillo de claves quiere que se coloque una clave y es un Gestor de ese anillo de claves, también puede ir al panel de anillos de claves, seleccionar ⋯ y pulsar Añadir clave a anillo de claves. Esto abrirá el mismo panel que ve pulsando Añadir en la página Claves con la variable Conjuntos de claves rellenada con el nombre del conjunto de claves.

Las claves creadas en el servicio son claves simétricas de 256 bits, soportadas por el algoritmo AES-CBC-PAD. Para una mayor seguridad, las claves se generan con módulos de seguridad de hardware (HSM) con certificación FIPS 140-2 Nivel 3 que se ubican en centros de datos seguros de IBM Cloud.

Creación de claves raíz con la API

Cree una clave raíz realizando una llamada POST al siguiente punto final.

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. Recupere sus credenciales de autenticación para trabajar con claves en el servicio.

2. Cree una clave raíz ejecutando el siguiente mandato curl.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

Tenga cuidado al establecer una fecha de caducidad, ya que las claves creadas con una fecha de caducidad pasan automáticamente al estado Desactivado una hora después de su caducidad. En este estado, las únicas acciones permitidas sobre la tecla son desenvolver, reenvolver, rotar y borrar. Las claves desactivadas no se pueden utilizar para cifrar (envolver) nuevos datos, incluso si se rotan mientras están desactivadas. La rotación no restablece ni amplía la fecha de caducidad, ni permite cambiar la fecha. Se recomienda que cualquier dato cifrado con una clave que caduque o haya caducado se vuelva a cifrar utilizando una nueva clave raíz de cliente (CRK) antes de que caduque la CRK original, para evitar interrupciones del servicio. Borrar y restaurar una llave desactivada no la devuelve al estado Activo. Si se omite el atributo expiration_date, la clave no caduca.

Puede supervisar el uso de claves con fecha de caducidad utilizando IBM Cloud Logs. Los registros indican la fecha de caducidad y el número de días restantes utilizando las propiedades JSON responseData.expirationDate y responseData.daysToKeyExpire para las claves que tienen fecha de caducidad y para los siguientes valores action : kms.secrets.wrap, kms.secrets.unwrap, kms.secrets.rewrap, kms.secrets.read, kms.secrets.readmetadata, kms.secrets.create, kms.secrets-with-policy-overrides.create y kms.secrets.expire. Además, una llamada REST correcta a GET /api/v2/keys devuelve la propiedad expirationDate para cada clave que tenga fecha de caducidad.

Para proteger la confidencialidad de sus datos personales, evite especificar información de identificación personal (PII), como el nombre o la ubicación, cuando añades claves al servicio.

Una respuesta POST api/v2/keys satisfactoria devuelve el valor del ID para la clave, junto con otros metadatos. El ID es un identificador exclusivo que se asigna a su clave y que posteriores llamadas lo utilizan para la API de Key Protect.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
              ],
            "description": "A test root key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:37:32Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:37:32Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

Para obtener una descripción detallada de los parámetros de respuesta, consulte el documento de referencia de la API REST Key Protect.