Avvolgimento di un tasto tramite la console

Se si dispone già di un'istanza di Key Protect e si desidera crittografare il DEK utilizzando un'interfaccia grafica, è possibile utilizzare la console IBM Cloud.

Dopo aver importato o creato le proprie chiavi, completare i passaggi seguenti per avvolgere i dati utilizzando la chiave:

1. Accedere alla consoleIBM Cloud.

2. Dal menu, scegliere Elenco risorse per visualizzare l'elenco delle risorse.

3. Dal tuo elenco risorse IBM Cloud, seleziona la tua istanza di cui è stato eseguito il provisioning di Key Protect.

4. Scegliere la chiave radice dall'elenco delle chiavi che si desidera utilizzare per avvolgere i dati.

5. Fare clic sull'icona ⋯ e poi sull'opzione Codifica busta per aprire il pannello laterale. Assicurarsi che sia selezionata l'opzione "Tasto a capo".

6. È possibile consentire a Key Protect di avvolgere i dati o fornire il proprio testo in chiaro codificato Base64 e dati di autenticazione aggiuntivi (AAD), se necessario, per avvolgere i dati. Se si sceglie di fornire il proprio testo in chiaro e l'AAD, è necessario fornirlo quando si scaricano i dati. Se non si ha esperienza nella creazione di testo in chiaro codificato AAD e Base64, si può consentire a Key Protect di avvolgere i dati lasciando selezionata l'opzione Wrap key for me.

7. Fai clic sul pulsante " Wrap key ".

Impacchettamento delle chiavi utilizzando l'API

Puoi proteggere una chiave di crittografia dei dati (o DEK, data encryption key) specificata con una chiave root che gestisci in Key Protect.

Dopo aver designato una chiave root nel servizio, puoi impacchettare una DEK con la crittografia avanzata effettuando una chiamata POST al seguente endpoint.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/wrap

1. Recupera le tue credenziali di autenticazione per poter utilizzare le chiavi nel servizio.

2. Copia il materiale della chiave della DEK che vuoi gestire e proteggere.

   Se si dispone di privilegi di manager o di scrittore per il proprio sito web istanza Key Protect, è possibile recuperare il materiale della chiave per una chiave specifica facendo una GET /v2/keys/<keyID_or_alias> richiesta.

3. Copia l'ID della chiave root che vuoi utilizzare per l'impacchettamento.

4. Eseguire il seguente comando curl per proteggere la chiave con un'operazione di avvolgimento.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/wrap" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "plaintext": "<data_key>",
               "aad": [
                   "<additional_data>",
                   "<additional_data>"
               ]
           }'
   

Sostituisci le variabili nella richiesta di esempio in base alla seguente tabella.

La tua chiave di crittografia dei dati impacchettata (o WDEK, wrapped data encryption key), contenente il materiale codificato con base64, viene restituita nel corpo-entità della risposta. Il corpo della risposta contiene anche l'ID della versione della chiave utilizzata per avvolgere il testo in chiaro fornito. Il seguente oggetto JSON mostra un esempio di valore restituito.

{
    "ciphertext": "eyJjaXBoZXJ0ZXh0IjoiYmFzZTY0LWtleS1nb2VzLWhlcmUiLCJpdiI6IjRCSDlKREVmYU1RM3NHTGkiLCJ2ZXJzaW9uIjoiNC4wLjAiLCJoYW5kbGUiOiJ1dWlkLWdvZXMtaGVyZSJ9",
    "keyVersion": {
        "id": "02fd6835-6001-4482-a892-13bd2085f75d"
    }
}

Se ometti l'attributo plaintext quando esegui la richiesta di impacchettamento, il servizio restituisce sia la chiave di crittografia dei dati (o DEK, data encryption key) generata sia la DEK impacchettata in formato con codifica base64.

{
    "plaintext": "Rm91ciBzY29yZSBhbmQgc2V2ZW4geWVhcnMgYWdv",
    "ciphertext": "eyJjaXBoZXJ0ZXh0IjoiYmFzZTY0LWtleS1nb2VzLWhlcmUiLCJpdiI6IjRCSDlKREVmYU1RM3NHTGkiLCJ2ZXJzaW9uIjoiNC4wLjAiLCJoYW5kbGUiOiJ1dWlkLWdvZXMtaGVyZSJ9",
    "keyVersion": {
        "id": "12e8c9c2-a162-472d-b7d6-8b9a86b815a6"
    }
}

Il valore plaintext rappresenta il DEK non impacchettato e il valore ciphertext rappresenta il DEK impacchettato e sono entrambi codificati Base64. Il valore keyVersion.id rappresenta la versione della chiave principale utilizzata per il wrapping.

Se desideri che Key Protect generi una nuova DEK per tuo conto, puoi anche passare un corpo che non contiene alcun dato in una richiesta di impacchettamento. La tua DEK generata, contenente il materiale con codifica base64, viene restituita nel corpo-entità della risposta, insieme alla DEK impacchettata.