Opcional: Verificar la rotación de claves

Puede verificar que se ha rotado una clave emitiendo una solicitud para listar claves:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.collection+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Donde <instance_ID> es el nombre de la instancia y <IAM_token> es la señal IAM.

Revise los valores lastRotateDate y keyVersion de entity-body de la respuesta para inspeccionar la fecha y hora en que se ha rotado la clave por última vez.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:50:12Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:50:12Z",
            "lastRotateDate": "2020-03-12T03:49:01Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:50:12Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

El atributo keyVersion contiene información de identificación que describe la versión más reciente de la clave raíz.

También puede listar las versiones que hay disponibles de la clave utilizando la API de Key Protect. Para obtener más información, consulte Visualización de versiones de clave.

Utilización de una señal de importación para rotar una clave

Si inicialmente ha importado una clave raíz mediante una señal de importación, puede rotar la clave realizando una llamada POST al punto final siguiente.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate

1. Recupere sus credenciales de autenticación para trabajar con claves en el servicio.

   Para rotar una clave, debe tener asignada una política de acceso de Escritor o Gestor para la instancia o clave. Para saber cómo se correlacionan los roles de IAM con las acciones de servicio de Key Protect, consulte Roles de acceso al servicio.

2. Recupere el ID de la clave que desea rotar.

   Puede recuperar el ID de una clave especificada haciendo una GET /v2/keys solicitud, o consultando tus claves en el panel de control de Key Protect.

3. Cree y recupere una señal de importación.

4. Utilice la señal de importación para cifrar el material de clave que desea utilizar para rotar la clave existente.

   Para aprender a utilizar una señal de importación, consulte la Guía de aprendizaje: Creación e importación de claves de cifrado.

5. Sustituye la clave actual por el nuevo material de clave ejecutando lo siguiente: mandato curl.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rotate" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -d '{
               "type": "application/vnd.ibm.kms.key+json",
               "name": "<key_alias>",
               "description": "<key_description>",
               "extractable": <key_type>,
               "payload": "<encrypted_key>",
               "encryptionAlgorithm": "RSAES_OAEP_SHA_256",
               "encryptedNonce": "<encrypted_nonce>",
               "iv": "<iv>"
           }'
   

   Sustituya las variables de la solicitud de ejemplo de acuerdo con la siguiente tabla.

Una solicitud de rotación correcta devuelve una respuesta HTTP 204 No Content, que indica que la clave raíz se ha sustituido por material de clave nuevo.

Opcional: Verificar rotación de clave de señal de importación

Puede verificar que una clave que se ha importado mediante la señal de importación se ha rotado emitiendo una solicitud de obtención de metadatos de clave:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/metadata" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Donde <keyID_or_alias> es el ID o el alias de la clave, <instance_ID> es el nombre de la instancia y <IAM_token> es la señal IAM.

Revise los valores lastRotateDate y keyVersion de entity-body de la respuesta para inspeccionar la fecha y hora en que se ha rotado la clave por última vez.

También puede listar las versiones que hay disponibles de la clave utilizando la API de Key Protect. Para obtener más información, consulte Visualización de versiones de clave.