キー・マイグレーション・ツールによるHPCSから Key Protect Dedicatedへの移行

鍵移行ツール(CRKM)は、HPCSユーザーがお客様 (CRK)を Key Protect Dedicatedに移行するのに役立ちます。本書では、CRKM を使用して鍵および関連する IBM Cloud リソースを移行する方法について説明する。 CRKM は、自動移行ワークフローに参加する IBM Cloud サービスおよび IBM ソフトウェアによって使用される CRK にのみ適用される。詳細については、 Hyper Protect Crypto Services(HPCS)から Key Protect Dedicated への移行を参照してください。

このトピックにおいて、「鍵」とは、特に断りのない限り、お客様鍵（CRK）を指す。

ツールのダウンロード

HPCSから Key Protect への移行ツールへのアクセスをリクエストするには、 Key Protect 宛てに IBM のサポートチケットを作成してください。
サポートチケットに記載されているツールバイナリをダウンロードしてください。
ダウンロードしたバイナリの SHA-256 チェックサムが、サポートチケットに記載されている値と一致することを確認します。値を直接比較する。

お使いのオペレーティング・システムに適したコマンドを実行して SHA-256 チェックサムを取得し、サポート・チケットに記載されている値と比較してください：

macOS

shasum -a 256 <crkm-binary>

次に例を示します。

shasum -a 256 crkm-darwin-arm64-1.0.0

Linux

sha256sum <crkm-binary>

次に例を示します。

sha256sum crkm-linux-amd64-1.0.0

Windows（コマンドプロンプト）

certutil -hashfile <crkm-binary> SHA256

次に例を示します。

certutil -hashfile crkm-windows-amd64-1.0.0.exe SHA256

Windows ( PowerShell )

Get-FileHash <crkm-binary> -Algorithm SHA256

次に例を示します。

Get-FileHash crkm-windows-amd64-1.0.0.exe -Algorithm SHA256

バイナリを実行可能 ( macOS/Linux ) にする：

chmod +x <crkm-binary>

マイグレーションツールの出力を理解する

CLIツールから status、 create、 sync の操作を行うと、以下の2つのファイルが作成される：
.csv 出力ファイル
操作完了後に作成され、ファイル名、操作名、コマンド実行日時が execution。このファイルには入力データのコピーが含まれ、各行について
- HPCSキー上にある関連付けの数
- Key Protect の専用キーに見られる関連付けの数
- HPCSキーの操作状況
- HPCSキーおよび Key Protect 専用キー（例： Active (1) ）の状態
.log 出力ファイル

操作完了後に作成され、ファイル名、操作名、コマンド実行日時が summary。このファイルは、マイグレーション・インテントを持つキーのステータスと、そのアソシエーション数の概要を提供する。
delete 操作では、 execution .csv ファイルのみが生成されます。
このコマンドは何もしないので、 status の操作は、入力ファイルが正しくフォーマットされているかどうかを確認するのに便利である。ステータスは、操作が実行されなかった理由を示すので、完全に移行されたキーを削除することなく、同じ入力ファイルを繰り返し使用することができる。

移行を成功させるには、ソース側のHPCSキーが「 Active 」または「 Deactivated 」の状態（データの復号が可能となる状態）にある必要があり、また、ターゲット側の Key Protect 専用キーが「 Active 」の状態（データの暗号化および復号が可能となる状態）にある必要があります。キーがそれ以外の状態にある場合、移行が失敗する可能性が高いことから、ツールはコンソールに警告を出力します。

開始前に

移行ツールを使用するには、移行の前提条件をすべて満たしてください。

IAM認可ポリシーの設定

ドキュメントに記載されているとおり、各サービスから Key Protect DedicatedへのIAM認証ポリシーを設定してください。 Hybrid HPCS 向けのポリシーを作成する際は、ドキュメントで指定されている場合は、「 ソースおよび依存サービスによる権限の委譲を有効にする 」チェックボックスを選択してください。

例としては、以下を参照：

ICD PostgreSQL: サービス認可の付与
IKS 暗号化

ターゲット・キーの作成

Key Protect Dedicated に、移行の対象となるキーを作成します。

入力ファイルの設定

CLIは、ヘッダー行のない .csv ファイルを入力として受け取る。ファイルの各行には

最初の列 ：送信元HPCSキーのCRN (sourceCRK)
2列目 ：対象の Key Protect 専用キーのCRN（targetCRK ）

各行には、移行したいクラウドリソースが指定されています。移行ツールは、 sourceCRK を使用しているリソースを、 targetCRK で再暗号化します。

入力ファイルの例

（以下の表にその構成を示します。 CSV ファイルにヘッダーを含めないでください)

表 1. 入力ファイル形式例
出典 HPCSキーCRN	対象 Key Protect 専用キーCRN
`crn:v1:bluemix:public:hs-crypto:eu-fr2:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:key:deadbeef-0000-0000-0000-1234567890ab`	`crn:v1:bluemix:public:kms:eu-fr2:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:key:deadbeef-0000-0000-0000-1234567890ab`
`crn:v1:bluemix:public:hs-crypto:eu-fr2:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:key:deadbeef-0000-0000-0000-1234567890ab`	`crn:v1:bluemix:public:kms:eu-fr2:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:key:deadbeef-0000-0000-0000-1234567890ab`
`crn:v1:bluemix:public:hs-crypto:eu-fr2:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:key:deadbeef-0000-0000-0000-1234567890ab`	`crn:v1:bluemix:public:kms:eu-fr2:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:key:deadbeef-0000-0000-0000-1234567890ab`

実際の CSV ファイルにはヘッダー行を含めないこと。

移行ツールの設定

ターミナルで次のコマンドを実行してください：

export HPCS_API_ENDPOINT=<HPCS endpoint>
export KP_ST_API_ENDPOINT=<Key Protect Dedicated endpoint>
export IBMCLOUD_API_KEY=<IBM Cloud API key>
export IBMCLOUD_API_KEY_KP_ST=<IBM Cloud API key that can access Key Protect Dedicated instance>

HPCS_API_ENDPOINT と KP_ST_API_ENDPOINT の例：

export HPCS_API_ENDPOINT=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.hs-crypto.appdomain.cloud
export KP_ST_API_ENDPOINT=https://fadedbee-0000-0000-0000-1234567890ab.api.us-south.kms.appdomain.cloud

status、 create、 sync、および delete コマンドについては、API キーを、以下のサービスアクセスロールを持つ IAM アイデンティティに関連付けます

IBMCLOUD_API_KEY (HPCS): 「Manager」サービスアクセスロールが必要です。サービスへのアクセス権限は累積的に適用されるため、「Manager」には「Reader」と「Writer」が含まれ、4つのコマンドすべてを網羅しています。「Manager」ロールが必要な理由は、delete コマンドおよび --replace-mi オプションを指定した create コマンドを実行すると、ソースキーからマイグレーションインテントが削除されるためです。
IBMCLOUD_API_KEY_KP_ST ( Key Protect 専用): 「Reader」サービスアクセスロールが必要です。これらのコマンドは対象のキーを読み取るだけなので、Readerだけで十分です。 delete コマンドは、 Key Protect Dedicated にアクセスしません。

authz-check コマンドでは、他のコマンドとは異なるサービスアクセスロールが必要です。詳細については、「IAM 認証ポリシーの確認」を参照してください。

IBMCLOUD_API_KEY_KP_ST 変数は、 IBMCLOUD_API_KEY がターゲットの Key Protect 専用インスタンスにアクセスできない場合にのみ必要です。これは、次の場合に発生します。

HPCSインスタンスと Key Protect 専用インスタンスは、異なる IBM Cloud アカウントに属しています
ソース環境とターゲット環境で別々の IAM ID を使用する

オプションの環境変数

オプションで以下の環境変数を設定できる：

IAM_API_ENDPOINT: デフォルトの https://iam.cloud.ibm.com/identity/token を使用しない場合は、カスタム IAM エンドポイントを使用します。
DEBUG_MODE: true または false を受け付けます。 true に設定すると、このツールは詳細なログを出力します。具体的には、起動時の解決済み構成、およびすべてのAPI呼び出しに対するリクエストごとの HTTP の詳細（メソッド、クエリ文字列を含むパス、レスポンスステータス、相関ID）です。リクエストが失敗した場合、レスポンス本文もログに記録されます。認証ヘッダーやAPIキーは、一切ログに記録されません。

入力ファイルの検証

status オペレーションを使用して移行のステータスをチェックし、入力ファイルが正しくフォーマットされていることを確認します。このコマンドではマイグレーションは行われない。

./<crkm-binary> status <.csv input file>

出力ファイル .csv 内のすべてのキー入力のステータス列や、コンソールログに「 FAILED - No Migration Intent that is found for the key 」と表示される場合があります。これは、マイグレーション・インテントがまだ作成されていない場合に予想される。

IAM認可ポリシーのチェック

authz-check コマンドを使用して、IAM認証ポリシーが適切に設定されていることを確認してください。これにより、現在HPCSソースキーを使用しているクラウドサービスが、移行後も対応する Key Protect 専用ターゲットキーを使用できるようになります。

./<crkm-binary> authz-check <.csv input file>

必要なアクセス権限

authz-check コマンドは、情報を読み取るのみです。キーやポリシーを作成、更新、削除することはないため、 Writer または Manager へのアクセス権は必要ありません。

このコマンドを実行するには、以下のアクセス権が必要です：

HPCS インスタンス: Reader ソースキーの関連付けを読み取るためのサービスアクセスロール。
Key Protect 専用インスタンス: Reader 対象キーのメタデータを読み取るためのサービスアクセスロール。
IAM 認証ポリシー: TargetCRK 列で参照されているすべてのアカウントのIAM認証ポリシーを表示するための、アカウント限。これは、 Key Protect または HPCS のサービスアクセスロールではありません。 IBM Cloud Identity and Access Management へのアクセス権はアカウント付与されます。

IAMポリシーの検索に使用されるIDは、 IBMCLOUD_API_KEY_KP_ST に関連付けられているIDです。 IBMCLOUD_API_KEY_KP_ST が設定されていない場合、 IBMCLOUD_API_KEY に関連付けられた識別子が使用されます。

そのIDがターゲットアカウントのポリシーを表示できない場合、ツールは失敗をログに記録し、処理を続行します。そのアカウント内のすべての関連付けが、 NO MATCH として報告されます。 IAM アクセス権限が不十分な場合、認証エラーではなく、 NO MATCH の結果が「false」として表示されます。出力結果を信頼する前に、このアクセス権限を確認してください。

コマンドは2つのフェーズで動作する：

フェーズ 1: ポリシーのフェッチ

このツールは、 CSV の TargetCRK 列から個別のアカウント ID を抽出し、アカウントすべての IAM 認可ポリシーをフェッチして、参照用に JSON ファイル (policies-{serviceName}-{accountID}.json) に書き出す。

第2段階：マッチ・アソシエーション

CSV の各行について、ツールはソース HPCS キー（そのキーによって暗号化されたクラウド・リソース）のすべての関連付けを取得します。このツールは、関連付けられた各サービスが対象の Key Protect 専用キーを使用することを許可するIAM認証ポリシーが存在するかどうかを確認します。

また、このツールは、 IBM Cloud リソースコントローラーAPIを通じて、各ターゲットの Key Protect 専用インスタンスのリソースグループを照会します。この検索機能により、ツールはリソースグループをスコープとするポリシーを照合できるようになります。

それぞれの関連について、ツールは次のいずれかを報告する：

MATCH: 有効な認可ポリシーが見つかりました。ポリシーのJSONが出力される。
NO MATCH: 認可ポリシーは見つかりませんでした。このツールは、不足している項目を説明するメッセージと、その条件に合致するポリシーの色分けされたJSONテンプレートを表示します。テンプレートでは、必須項目は緑色、任意項目は青色で表示されます。

最後に、チェックされた関連、一致した関連、一致しなかった関連の合計数がサマリーとして印刷される。

認証チェックフラグ

--match-all-authz-policies: デフォルトでは、ツールはアソシエーションごとに最初にマッチするポリシーで停止する。一致するすべてのポリシーをログに記録するには、このフラグを使用します。

マッチング基準

承認ポリシーは、以下の条件がすべて満たされる場合に、関連付けと一致します

このポリシーの対象（権限が与えられているユーザー）には、関連するクラウドサービスと一致する「 serviceName 」および「 accountId 」が含まれています。
このポリシーのリソース （アクセス対象）には、ターゲットの Key Protect 専用キーのサービスと一致する serviceName および accountId が含まれています。
ポリシーのロールは、適切なアクセス（Reader、 ReaderPlus、 Writer、または Manager ）を許可します。
関連するサービスがそれを必要とする場合（たとえば、 databases-for-*、 messages-for-rabbitmq、 containers-kubernetes ）、ポリシーはまた、 AuthorizationDelegator 役割を含みます。

ポリシーに、 resourceGroupId、 serviceInstance、 keyRing、 resource などのオプション属性が指定されている場合、それらの属性もターゲットキー、またはその Key Protect 専用インスタンスと一致する必要があります。

マイグレーション・インテントの作成

HPCSキーと、それぞれの Key Protect 専用キーへの移行先を対応付けた .csv ファイルを作成した後、 create 操作を使用して、HPCSキーに対する移行インテントを作成します。

./<crkm-binary> create <.csv input file>

この操作では、以下の処理が行われます：

HPCSキーの移行を開始できるように、アソシエーションを持つサービス（移行対象のキーを使用するクラウドリソース）に同期イベントをトリガーする
アクティビティ追跡ログで、イベントの確認応答と移行状況を監視する必要があります（トラブルシューティングについては、「期限内に完了しなかった移行」を参照してください）

キーにマイグレーションインテントが存在し、更新された .csv 入力ファイルを使用してそれを更新したい場合は、CLIツールを --replace-mi フラグを指定して実行してください。

移行インテントの作成中に問題が発生した場合は、「トラブルシューティング」のセクションを参照してください。

キーの同期

前のステップの完了から5分後、 sync ：

./<crkm-binary> sync <.csv input file>

この操作は、アソシエーションを持つサービス（移行されるキーを使用するクラウドリソース）に対して同期イベントをトリガーする。この手順により、HPCSキーを間接的に使用しているサービスであっても、移行を確実に実行できるようになります。たとえば、ICDではバックアップの保存先に IBM Cloud Object Storage を使用しており、 IBM Cloud Object Storage では Key Protect を使用しています。

少なくとも5分待ってから、移行状況を確認してください。 HPCSを採用しているサービス事業者が移行作業を行い、HPCSへの応答には最大4時間かかります。 Event Streams の場合、移行インテントを作成してから、移行が完了するまでに最大1営業日かかる場合があります。

移住状況の確認

移行のステータスを確認するには、 status ：

./<crkm-binary> status <.csv input file>

移行開始時にHPCSキーのアソシエーション数がゼロでなく、ゼロになった場合、移行は完了する。

ステータス欄に問題が見られる場合、またはHPCSアソシエーションの数（KpStAssociationsCount ）が依然としてゼロでない場合は、トラブルシューティングを参照してください。

移行インテントの削除

delete 操作を使用して、1つまたは複数のHPCSキーから移行意図を削除します。たとえば、この操作を使用して、移行が開始される前に、誤ったターゲットキーで作成された移行インテントを元に戻すことができます。このツールは、各キーについて、移行の意図が存在するかどうかを確認します。該当するものがある場合、このツールは移行インテントのプロパティ（ID、ソースCRK、ターゲットCRK、作成者、作成日）を表示し、その後それを削除します。移行の意図が存在しない場合、ツールは「見つかりませんでした」と報告します。

他の操作とは異なり、 delete 操作では、 .csv 入力ファイル、または単一のHPCSキーCRNのいずれかを受け付けます。

.csv ファイル内のすべてのHPCSキーに対する移行インテントを削除するには、次のコマンドを実行します

./<crkm-binary> delete <.csv input file>

HPCSキーの完全なCRNを指定して、そのキーに対する移行インテントを削除するには、次のコマンドを使用します

./<crkm-binary> delete <HPCS key CRN>

次に例を示します。

./<crkm-binary> delete crn:v1:bluemix:public:hs-crypto:eu-fr2:a/00000000000000000000000000000000:deadbeef-0000-0000-0000-1234567890ab:key:deadbeef-0000-0000-0000-1234567890ab

delete 操作は、ソースのHPCSキーに対してのみ実行されます。したがって、必要な環境変数は「 HPCS_API_ENDPOINT 」と「 IBMCLOUD_API_KEY 」のみです。 Key Protect 専用の変数は必要ありません。

delete 操作を実行すると、確認のメッセージが表示されることなく、移行の意図が直ちに削除されます。 .csv ファイルを指定すると、そのファイル内のすべてのキーの移行対象が削除されます。

トラブルシューティング

移行ツールの一般的な問題のトラブルシューティングには、以下の情報を使用してください。

移行が間に合わなかった

キーの移行中に、サービスで問題が発生する場合があります。

.csv ファイルを入力として sync オペレーションを使用し、そのキーに関連付けられているサービスに、マイグレーションを再試行するよう通知する：

./<crkm-binary> sync <.csv input file>

HPCSキーのアソシエーション数が移行開始時にゼロでなく、ゼロにならない場合、サービスはキーの移行に問題がある可能性がある。あるいは、陳腐な連想があるかもしれない。「 Key Protect 」に関する IBM のサポートチケットを作成し、HPCSから Key Protect への移行について言及してください。

無効なリソースCRNフォーマット

エラーのメッセージ:

invalid key crn for key : crn must be specified to 10 segments

CSV のステータス列の出力には、次のように表示されます： FAILED - crn must be specified to 10 segments

入力ファイル「 .csv 」を確認し、HPCSキーおよび Key Protect 専用キーのCRNが正しい形式になっていることを確認してください。

鍵が見つかりません

エラーのメッセージ:

2023/03/29 09:23:39 Sleeping for 100ms before processing row 5
2023/03/29 09:23:39 Retrieving Key...
2023/03/29 09:23:39 Get Key failed for keyID d4c4cbee-20ed-4deb-b59d-4674f70713b5 with the following error: kp.Error: correlation_id='643a49af-a3cc-4eba-b23b-368bbc33115d', msg='Not Found: Key could not be retrieved: Please see `reasons` for more details (KEY_NOT_FOUND_ERR)', reasons='[KEY_NOT_FOUND_ERR: key does not exist - FOR_MORE_INFO_REFER: https://cloud.ibm.com/apidocs/key-protect]'
2023/03/29 09:23:39 -----------------------------------------------

CSV ステータス欄の出力もこうなっている：

FAILED - kp.Error: correlation_id='643a49af-a3cc-4eba-b23b-368bbc33115d', msg='Not Found: Key could not be retrieved: Please see `reasons` for more details (KEY_NOT_FOUND_ERR)', reasons='[KEY_NOT_FOUND_ERR: key does not exist - FOR_MORE_INFO_REFER: https://cloud.ibm.com/apidocs/key-protect]'

キーのCRNが存在しない。入力ファイル「 .csv 」を確認し、移行対象のHPCSキーと「 Key Protect 」の専用ターゲットキーの両方が存在することを確認してください。

インスタンスが存在しないか、ユーザが認証されていない

エラーのメッセージ:

2023/03/29 09:26:44 Retrieving Key...
2023/03/29 09:26:44 Get Key failed for keyID d4c4cbee-20ed-4deb-b59d-4674f70713b5 with the following error: kp.Error: correlation_id='4629f1af-1a9b-44ea-9139-3c5c39b9790e', msg='Unauthorized: Either the user does not have access to the specified resource, the resource does not exist, or the region is incorrectly set'
2023/03/29 09:26:44 -----------------------------------------------

CSV ステータス欄の出力もこうなっている：

FAILED - kp.Error: correlation_id='4629f1af-1a9b-44ea-9139-3c5c39b9790e', msg='Unauthorized: Either the user does not have access to the specified resource, the resource does not exist, or the region is incorrectly set'

ユーザが鍵にアクセスできないか、その鍵の CRN 内のインスタンスが存在しない。

コマンドを作成します：関連付けが見つかりません

エラーのメッセージ:

2023/03/22 10:39:36 Retrieving Key...
2023/03/22 10:39:36 Key retrieved successfully
2023/03/22 10:39:36 Retrieving associations...
2023/03/22 10:39:36 Associations retrieved successfully
2023/03/22 10:39:36 Retrieving Migration Intent...
2023/03/22 10:39:36 Migration Intent retrieved successfully
2023/03/22 10:39:36 No associations found for the key
2023/03/22 10:39:36 -----------------------------------------------

CSV のステータス列の出力には、次のように表示されます： FAILED - No associations were found for the key

HPCSキーには、それに関連するクラウドリソースはない。したがって、HPCSキーにマイグレーション・インテントを作成したり、マイグレーションを実行したりする必要はない。

コマンドを作成します：移行インテントが存在します

エラーのメッセージ:

2023/03/22 10:39:35 Retrieving Key...
2023/03/22 10:39:35 Key retrieved successfully
2023/03/22 10:39:35 Retrieving associations...
2023/03/22 10:39:35 Associations retrieved successfully
2023/03/22 10:39:35 Retrieving Migration Intent...
2023/03/22 10:39:35 Migration Intent retrieved successfully
2023/03/22 10:39:35 Migration Intent already exists
2023/03/22 10:39:35 -----------------------------------------------

CSV のステータス列の出力には、次のように表示されます： FAILED - Migration Intent exists for the key

HPCSキーはすでに既存のマイグレーション・インテントを持っている。移行の意図を更新するには、以下の手順を実行してください：

移行先の「 Key Protect 」専用キーの新しいCRNを、入力ファイル「 .csv 」に反映させてください。
create コマンドに --replace-mi フラグを追加します。
コマンドを再度実行してください。

ステータスコマンド：移行インテントが見つかりません

エラーのメッセージ:

2023/03/22 13:15:56 Retrieving Key...
2023/03/22 13:15:56 Key retrieved successfully
2023/03/22 13:15:56 Retrieving associations...
2023/03/22 13:15:56 Associations retrieved successfully
2023/03/22 13:15:56 Retrieving Migration Intent...
2023/03/22 13:15:56 No Migration Intent found for keyID a2cd689e-9a49-4cd7-ba0d-07d25a0b3a25
2023/03/22 13:15:56 -----------------------------------------------

CSV のステータス列の出力には、次のように表示されます： FAILED - No Migration Intent found for the key

そのHPCSキーにはマイグレーション・インテントが存在しない。移行インテントの作成を再試行し、キーリソースのCRNが入力ファイルに含まれていることを確認した上で、操作のステータスを確認してください。

同期コマンド：関連付けが見つかりません

エラーのメッセージ:

2023/03/22 13:13:45 Retrieving Key...
2023/03/22 13:13:45 Key retrieved successfully
2023/03/22 13:13:45 Retrieving associations...
2023/03/22 13:13:45 Associations retrieved successfully
2023/03/22 13:13:45 Retrieving Migration Intent...
2023/03/22 13:13:45 Migration Intent retrieved successfully
2023/03/22 13:13:45 No associations found for keyID d4c3cbee-20ed-4deb-b59d-4674f70713b5
2023/03/22 13:13:45 -----------------------------------------------

CSV のステータス列の出力には、次のように表示されます： FAILED - No associations were found for the key

HPCSキーには、それに関連するクラウドリソースはない。したがって、リソースの同期を行う必要はない。これは、そのキーの移行が完了したことも示している。

同期コマンド：移行インテントが見つかりません

エラーのメッセージ:

2023/03/22 13:15:13 Retrieving Key...
2023/03/22 13:15:13 Key retrieved successfully
2023/03/22 13:15:13 Retrieving associations...
2023/03/22 13:15:13 Associations retrieved successfully
2023/03/22 13:15:13 Retrieving Migration Intent...
2023/03/22 13:15:13 Migration Intent retrieved successfully
2023/03/22 13:15:13 No Migration Intent found for keyID a2cd689e-9a49-4cd7-ba0d-07d25a0b3a25
2023/03/22 13:15:13 -----------------------------------------------

CSV のステータス列の出力には、次のように表示されます： FAILED - No Migration Intent found for the key

そのキーにはマイグレーション・インテントが存在しない。マイグレーション・インテントの作成を再試行し、キー・リソースのCRNが入力ファイルに含まれていることを確認し、操作のステータスをチェックする。

同期コマンド：要求が早すぎる

エラーのメッセージ:

2023/03/29 09:17:06 Sleeping for 100ms before processing row 2
2023/03/29 09:17:06 Retrieving Key...
2023/03/29 09:17:06 Key retrieved successfully
2023/03/29 09:17:06 Retrieving associations...
2023/03/29 09:17:06 Associations retrieved successfully
2023/03/29 09:17:06 Retrieving Migration Intent...
2023/03/29 09:17:06 Migration Intent retrieved successfully
2023/03/29 09:17:06 Post Sync Resources for key...
2023/03/29 09:17:06 Post Sync Call Failed: kp.Error: correlation_id='8f088c29-2f61-4dc4-b00f-c99f7edd00fe', msg='Conflict: Could not initiate sync requests to associated resources: Please see `reasons` for more details (REQ_TOO_EARLY_ERR)', reasons='[REQ_TOO_EARLY_ERR: The key was updated recently: Please wait and try again: Sync cannot be performed until at least 2023-03-29T14:17:19Z - FOR_MORE_INFO_REFER: https://cloud.ibm.com/apidocs/key-protect]'
2023/03/29 09:17:06 -----------------------------------------------

CSV ステータス欄の出力もこうなっている：

FAILED - kp.Error: correlation_id='0cefcea8-7e29-4c4a-9721-00244eb9752c', msg='Conflict: Could not initiate sync requests to associated resources: Please see `reasons` for more details (REQ_TOO_EARLY_ERR)', reasons='[REQ_TOO_EARLY_ERR: The key was updated recently: Please wait and try again: Sync cannot be performed until at least 2023-03-29T14:17:19Z - FOR_MORE_INFO_REFER: https://cloud.ibm.com/apidocs/key-protect]'

sync 操作が早すぎる。再度試す前に、少なくとも5分間お待ちください。