コンソールを使用した Key Protect インスタンスの keyCreateImportAccess ポリシーの有効化および更新

以下を使用して keyCreateImportAccess ポリシー設定を管理する場合は (Key Protectのグラフィカル・インターフェース)、IBM Cloud コンソールを使用できます。

「enforce_token」を有効にすると、UI では鍵のインポート操作を一切実行できなくなります。 「enforce_token」オプションは、すべての鍵のインポートに対してセキュア・インポートを必須にします。 セキュア・インポートは、Key Protect CLI または API でしかサポートされません。

Key Protect インスタンスを作成した後、以下のステップを実行して、keyCreateImportAccess ポリシーを有効にします。

1. IBM Cloud コンソールにログインしてください。

2. 「メニュー」>**「リソース・リスト」**に移動し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. ページの左側にある「 ポリシー 」というリンクをクリックしてください。

   • Create and import accessパネル (ページ上部) を見つけます。

   • keyCreateImportAccess 設定を、必要に応じて有効化/無効化します。 なお、 無効化されたキーの作成やインポートに関する操作は、 「キーの追加」パネルからは利用できなくなります。

   • SaveまたはCancel (どちらか該当するほう) をクリックします。

API を使用した Key Protect インスタンスの keyCreateImportAccess ポリシーの有効化および更新

セキュリティー管理者は、次のエンドポイントを呼び出すことで、Key Protect インスタンスの keyCreateImportAccess ポリシーを有効化または更新できます。 PUT 以下のエンドポイントにリクエストを送信します。

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=keyCreateImportAccess

Key Protect インスタンスの keyCreateImportAccess ポリシーを更新する場合、属性が要求から省略された場合、フィールドはデフォルト値に設定され、省略されたフィールドの既存の値はデフォルト値で上書きされることに注意してください。

1. API の処理を行うために、認証資格情報を取得します。

   keyCreateImportAccess ポリシーを有効にするには、Key Protect インスタンスの_マネージャー_・アクセス・ポリシーが割り当てられている必要があります。 インスタンスだ。 IAM ロールがどのように Key Protect サービス・アクションにどのようにマップされるかについては、サービス・アクセス役割を確認してください。

2. 以下の keyCreateImportAccess ポリシーを有効化または更新します。 Key Protect インスタンス。(次の curl コマンドを実行することによる)

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=keyCreateImportAccess" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "keyCreateImportAccess",
                       "policy_data": {
                           "enabled": true,
                           "attributes": {
                               "create_root_key": <true/false>,
                               "create_standard_key": <true/false>,
                               "import_root_key": <true/false>,
                               "import_standard_key": <true/false>,
                               "enforce_token": <true/false>
                           }
                       }
                   }
               ]
           }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

要求が成功すると、HTTP 204 No Content 応答が返されます。これは、Key Protect インスタンスで keyCreateImportAccess ポリシーが有効になったことを示します。 要求で指定した方式による鍵の作成またはインポートのみが、Key Protect インスタンスで許可されるようになります。

オプション: 鍵の作成とインポートのアクセス・ポリシーの有効化の確認

ポリシーのリスト表示の要求を実行して、鍵の作成とインポートのアクセス・ポリシーが有効になったことを確認できます。

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=keyCreateImportAccess" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

ここで、<instance_ID> はインスタンスの名前で、<IAM_token> は IAM トークンです。

Key Protect インスタンスに対する keyCreateImportAccess ポリシーの無効化

Key Protect インスタンスのマネージャーとして、以下に既存の keyCreateImportAccess ポリシーを無効にします。 Key Protect インスタンス。(以下のエンドポイントに PUT 呼び出しを行うことによる)

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=keyCreateImportAccess

keyCreateImportAccess ポリシーを無効にする要求を行うときは、属性を指定しないでください。

1. API の処理を行うために、認証資格情報を取得します。

   keyCreateImportAccess ポリシーを無効にするには、Key Protect の_マネージャー_・アクセス・ポリシーが割り当てられている必要があります。 インスタンスだ。 IAM ロールがどのように Key Protect サービス・アクションにどのようにマップされるかについては、サービス・アクセス役割を確認してください。

2. 以下既存の keyCreateImportAccess ポリシーを無効にします。 Key Protect インスタンス。(次の curl コマンドを実行することによる)

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=keyCreateImportAccess" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "keyCreateImportAccess",
                       "policy_data": {
                           "enabled": false
                       }
                   }
               ]
           }'
   

   次の表に従って、例の要求内の変数を置き換えてください。

要求が成功すると、HTTP 204 No Content 応答が返されます。これは、サービス・インスタンスで keyCreateImportAccess ポリシーが更新されたことを示します。

オプション: 鍵の作成とインポートのアクセス・ポリシーの有効化の確認

ポリシーのリスト表示の要求を実行して、鍵の作成とインポートのアクセス・ポリシーが無効になったことを確認できます。

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=keyCreateImportAccess" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

ここで、<instance_ID> はインスタンスの名前で、<IAM_token> は IAM トークンです。