コンソールを使用した鍵のアンラップ

既に Key Protect のインスタンスがあり、グラフィカル・インターフェースを使用して DEK を暗号化したい場合は、IBM Cloud コンソールを使用できます。

独自の鍵をインポートまたは作成したら、以下の手順を実行してデータを鍵でラップできます。

1. IBM Cloud コンソールにログインする。

2. **「メニュー」から、「リソース・リスト」**を選択し、リソースのリストを表示します。

3. IBM Cloud リソース・リストで、Key Protect のプロビジョン済みインスタンスを選択します。

4. 鍵のリストから、最初にデータをラップするのに使用したルート鍵を選択します。

5. ⋯アイコンをクリックして、アンラップする DEK のオプションのリストを開きます。

6. **「エンベロープ暗号化」**オプションをクリックして、サイド・パネルを開きます。 「鍵のアンラップ (Unwrap key)」タブがまだ強調表示されていなければ、このタブを選択します。

7. 暗号文や、DEK のアンラップのためにローカルに保管した追加データなど、必要なテキストを該当するフィールドに指定します。

8. **「鍵のアンラップ (Unwrap Key)」**ボタンをクリックします。

API を使用した鍵のアンラッピング

サービスに対してラップ呼び出しを行った後、以下のエンドポイントへの POST 呼び出しを行うことにより、指定のデータ暗号化鍵 (DEK) をアンラップして、その内容にアクセスできます。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unwrap

同じ鍵素材が含まれる複数のルート鍵は、同じデータ暗号化鍵 (WDEK) をアンラップすることが できます。

1. サービス内で鍵の処理を行うために、サービス資格情報および認証資格情報を取得します。

2. 最初のラップ要求を実行するために使用したルート鍵の ID をコピーします。

   鍵の ID は、以下の場所にあります。 (Key Protect インスタンス) 鍵のリストを取得するか、または Key Protect ダッシュボードにアクセスすることで見つけることができます。

3. 最初のラップ要求時に返された ciphertext 値をコピーします。

4. 次の curl コマンドを実行して、鍵の素材を暗号化解除して認証します。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unwrap" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "ciphertext": "<encrypted_data_key>",
               "aad": [
                   "<additional_data>",
                   "<additional_data>"
               ]
           }'
   

次の表に従って、例の要求内の変数を置き換えてください。

元の鍵の素材が、応答のエンティティー本体で返されます。 応答本体には、 提供された暗号文をアンラップするために使用された鍵のバージョンの ID も 含まれています。

返されるプレーン・テキストは base64 でエンコードされています。 鍵素材をデコードする 方法について詳しくは、 鍵素材のデコードを参照してください。 以下の JSON オブジェクトは、返された値の例を示しています。

{
    "plaintext": "Rm91ciBzY29yZSBhbmQgc2V2ZW4geWVhcnMgYWdv",
    "keyVersion": {
        "id": "02fd6835-6001-4482-a892-13bd2085f75d"
    }
}

データのアンラップとアクセスに使用されるルート鍵がローテートされたことを Key Protect が検出した場合、このサービスはアンラップ応答本体で、新しくラップされたデータ暗号鍵 (ciphertext) も戻します。 新しい rewrappedKeyVersion に関連付けられた 最新の鍵のバージョン (ciphertext) も返されます。 新しい ciphertext の値を今後のエンベロープ暗号化操作に使用します。 の値は最新のルート鍵で保護されます。