Creazione di token di importazione

È possibile abilitare l'importazione sicura del materiale delle chiavi root nel cloud creando innanzitutto un token di importazione per la propria istanza di Key Protect.

I token di importazione vengono utilizzati per crittografare e importare in modo sicuro il materiale della chiave root in Key Protect in base alle politiche che hai specificato. Per ulteriori informazioni sull'importazione delle tue chiavi in modo sicuro nel cloud, vedi Utilizzo delle tue chiavi di crittografia sul cloud.

Questa funzione non è attualmente compatibile con Key Protect Dedicated.

Creazione di un token di importazione con l'API

Crea un token di importazione associato alla tua istanza di Key Protect effettuando una chiamata POST all'endpoint seguente.

https://<region>.kms.cloud.ibm.com/api/v2/import_token

  1. Richiama le tue credenziali del servizio e di autenticazione per utilizzare le chiavi nel servizio.

  2. Imposta una politica per il tuo token di importazione chiamando l'API Key Protect.

    $ curl -X POST \
    "https://<region>.kms.cloud.ibm.com/api/v2/import_token" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>" \
    -H "content-type: application/json" \
    -d '{
            "expiration": <expiration_time>,
            "maxAllowedRetrievals": <use_count>
        }'

    Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Descrive le variabili necessarie per creare un token di importazione.
Variabile Descrizione
regione Obbligatorio. L'abbreviazione della regione, ad esempio us-south o eu-gb, che indica l'area geografica in cui si trova l'istanza di Key Protect. Per ulteriori informazioni, consultare la sezione " Endpoint di servizio regionali ".
IAM_token Obbligatorio. Il tuo token di accesso IBM Cloud. Includi l'intero contenuto del token IAM, compreso il valore Bearer, nella richiesta curl. Per ulteriori informazioni, consulta la sezione " Ottenere un token di accesso ".
instance_id Obbligatorio. L'identificativo univoco che viene assegnato alla tua istanza del servizio Key Protect. Per ulteriori informazioni, consultare la sezione " Come recuperare l'ID di un'istanza ".
tempo_scadenza Il tempo in secondi dalla creazione di un token di importazione che determina per quanto tempo rimane valida. Il valore minimo è 300 secondi (5 minuti) e il valore massimo è 86400 (24 ore). Il valore predefinito è 600 (10 minuti).
utilizzare_il_conteggio Il numero di volte per cui un token di importazione può essere richiamato entro la sua data di scadenza prima che non sia più accessibile. Il valore predefinito è 1. Il valore massimo è 500.

Una richiesta POST api/v2/import_token andata a buon fine crea un token di importazione per la tua istanza di Key Protect. Il corpo della risposta contiene i metadati associati al tuo token di importazione, come ad esempio la data di creazione e i dettagli della politica a esso relativi. Il seguente frammento di codice mostra un output di esempio.

È possibile avere solo 1 token di importazione associato alla propria istanza di Key Protect in qualsiasi momento. Qualsiasi richiesta successiva di creazione di token di importazione sovrascriverà il token di importazione precedente.

{
    "creationDate": "2019-04-08T16:58:29Z",
    "expirationDate": "2019-04-08T17:18:29Z",
    "maxAllowedRetrievals": 1,
    "remainingRetrievals": 1
}

Richiamo di un token di importazione con l'API

Recupera il token di importazione associato alla tua istanza di Key Protect effettuando una chiamata GET all'endpoint seguente.

https://<region>.kms.cloud.ibm.com/api/v2/import_token

  1. Richiama le tue credenziali del servizio e di autenticazione per utilizzare le chiavi nel servizio.

  2. Recupera il token di importazione associato alla tua istanza di Key Protect chiamando l'API Key Protect.

    $ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/import_token" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

    Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

Descrive le variabili necessarie per recuperare un token di importazione con l'API Key Protect API.
Variabile Descrizione
regione Obbligatorio. L'abbreviazione della regione, ad esempio us-south o eu-gb, che indica l'area geografica in cui si trova l'istanza di Key Protect. Per ulteriori informazioni, consultare la sezione " Endpoint di servizio regionali ".
IAM_token Obbligatorio. Il tuo token di accesso IBM Cloud. Includi l'intero contenuto del token IAM, compreso il valore Bearer, nella richiesta curl. Per ulteriori informazioni, consulta la sezione " Ottenere un token di accesso ".
instance_id Obbligatorio. L'identificativo univoco che viene assegnato alla tua istanza del servizio Key Protect. Per ulteriori informazioni, consultare la sezione " Come recuperare l'ID di un'istanza ".

Una richiesta GET api/v2/import_token riuscita recupera il token di importazione per la tua istanza di Key Protect. Il corpo della risposta contiene i metadati associati al tuo token di importazione, come ad esempio la data di creazione e i dettagli della politica a esso relativi.

Il token di importazione recuperato può essere riutilizzato per importare una o più chiavi fino alla data di scadenza del token di importazione.

Il seguente frammento di codice mostra un output di esempio con i valori troncati.

{
    "creationDate": "2019-04-08T16:58:29Z",
    "expirationDate": "2019-04-08T17:18:29Z",
    "maxAllowedRetrievals": 1,
    "remainingRetrievals": 0,
    "payload": "Rm91ciBzY29yZSBhbmQgc2V2ZW4geWVhcnMgYWdv",
    "nonce": "8zJE9pKVdXVe/nLb"
}

Il corpo della risposta contiene anche la chiave di crittografia pubblica che è possibile utilizzare per crittografare una chiave radice prima di caricare il materiale della chiave su un'istanza di Key Protect.

Nell'esempio, il valore payload rappresenta la chiave pubblica associata al token di importazione. Questo valore ha una codifica base64. Per garantire una maggiore sicurezza, Key Protect fornisce anche un valore " nonce " che viene utilizzato per verificare l'autenticità di una richiesta di importazione di chiavi inviata al servizio. Per ulteriori informazioni su come utilizzare questi valori, consulta Esercitazione: Creazione e importazione di chiavi di crittografia.

Operazioni successive