コンソールを使用したルート鍵のインポート

サービスのインスタンスを作成した後、以下の手順を実行して、IBM Cloud コンソールで鍵をインポートします。

Key Protect インスタンスの二重許可設定 を有効にする場合、 サービスに追加するどの鍵についても、 鍵の削除には 2 人のユーザーからの許可が必要となることに 留意してください。

1. IBM Cloud コンソールにログインしてください。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. キーをインポートするには、「 追加 」をクリックし、「 キーのインポート 」ウィンドウを選択します。

   キーの詳細を以下のように指定します。

        (既存の鍵ラップ鍵など)。 詳しくは、[鍵素材の Base64 でのエンコード](#how-to-encode-root-key-material)を確認してください。 鍵素材が 16 バイト、24 バイト、または 32 バイトの長さであり、128 ビット、192 ビット、または 256 ビットの長さに相当することを確認してください。 鍵はまた base64 でエンコードされている必要があります。 |

| キーの説明 | オプション。 説明は、別名またはその名前を使用することができない方法で、キーに関する情報 (例えば、その目的を説明する句) を追加するための便利な方法です。 この説明は、2 文字以上 240 文字以下でなければならず、後で変更することはできません。 プライバシー保護のため、キーの説明文には氏名や所在地などの個人情報を使用しないでください。 | | キー・エイリアス | オプション。 鍵の別名は、表示名の制限を超える鍵の説明を入力して、鍵の識別やグループ化を可能にするものです。 鍵には最大 5 つの別名を指定できます。 | | 鍵リング | オプション。 鍵リングとは、鍵をグループに分けて、各グループを必要に応じて独立して管理できるようにするものです。 どの鍵も 1 つの鍵リングに含まれていなければなりません。 鍵リングを選択しない場合、鍵は default 鍵リングに入れられます。 作成している鍵を鍵リングに配置するには、その鍵リングに対して_マネージャー_の役割を持っている必要があることに注意してください。 役割について詳しくは、ユーザーのアクセス権限の管理を参照してください。 |

キーの詳細の入力が完了したら、「 追加 」をクリックして確定してください。

特定のキーリングの_管理者_であれば、「 キーリング 」パネルから直接キーを追加することができます。 キーリングのアクションメニュー（⋯）から、「 新しいキーを追加 」をクリックします。 「 キー 」ページで「 追加 」をクリックしたときと同じパネルが開きますが、「 キーリング 」フィールドには、選択したキーリング名が事前に入力されています。

アカウント環境間でルート・キーを一貫してインポートおよび管理する必要がある場合、 Key Protect Key モジュールを使用してこれを自動化できます。 Key Protect インスタンスとキーホルダーもプロビジョニングする完全なセットアップについては、包括的な Key Protect モジュールをご覧ください。 概要については Terraform IBM Modulesを 参照。

API を使用したルート鍵のインポート

以下のエンドポイントへの POST 呼び出しを行うことによって、対称鍵を Key Protect にインポートします。

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. サービス内で鍵の処理を行うために、サービス資格情報および認証資格情報を取得します。

2. 以下の curl コマンドを使用して、 Key Protect API を呼び出します。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "payload": "<key_material>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

個人データの機密性を保護するため、サービスに鍵を追加するときに、個人の名前や場所などの個人情報 (PII) を入力しないようにしてください。

成功した POST api/v2/keys 応答は、鍵の ID 値を他のメタデータと共に返します。 この ID は、鍵に割り当てられた固有の ID で、Key Protect API に対する以降の呼び出しに使用されます。

オプション: 次の呼び出しを実行して Key Protect インスタンス内の鍵を表示し、鍵が追加されたことを確認します。

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
    -H "accept: application/vnd.ibm.collection+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"