API를 사용하여 키 다시 랩핑

일반 텍스트 양식에 DEK를 노출하지 않고 Key Protect에서 관리하는 루트 키로 지정된 데이터 암호화 키(DEK)를 다시 암호화할 수 있습니다.

키 랩핑 해제는 서비스에 대한 unwrap 및 wrap 호출을 결합하여 작동됩니다. 예를 들어, 먼저 DEK에 액세스하도록 rewrap API를 호출한 후 최신 루트 키 자료를 사용하여 DEK를 다시 암호화하도록 unwrap API를 호출하여 wrap 오퍼레이션을 에뮬레이트할 수 있습니다.

서비스에서 루트 키를 회전한 후 루트 키와 연결된 데이터 암호화 키를 다시 래핑하여 POST호출을 작성할 수 있습니다.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rewrap

1. 서비스 및 인증용 인증 정보를 검색하여 서비스에서 키에 대한 작업을 수행하십시오.

2. 초기 랩핑 요청을 수행하는 데 사용한 순환된 루트 키의 ID를 복사하십시오.

   GET api/v2/keys 요청을 작성하거나 Key Protect GUI에서 키를 확인하여 키 ID를 검색할 수 있습니다.

3. 최신 랩핑 요청 중에 리턴된 ciphertext 값을 복사하십시오.

4. 다음을 실행하여 키를 최신 루트 키 자료로 다시 래핑합니다 curl명령의 JSON 키 및 값에 대한 설명입니다.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/rewrap" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "ciphertext": "<encrypted_data_key>",
               "aad": [
                   "<additional_data>",
                   "<additional_data>"
               ]
           }'
   

   다음 표에 따라 예제 요청의 변수를 대체하십시오.

새로 랩핑된 데이터 암호화 키, 제공된 암호 텍스트와 연관된 원래 키 버전(keyVersion) 및 새 암호 텍스트와 연관된 최신 키 버전(rewrappedKeyVersion)이 응답 엔티티 본문에 리턴됩니다. 다음 JSON 오브젝트는 예제 리턴값을 표시합니다.

{
    "ciphertext": "eyJjaX ... h0Ijoi ... c1ZCJ9",
    "keyVersion": {
        "id": "02fd6835-6001-4482-a892-13bd2085f75d"
    },
    "rewrappedKeyVersion": {
        "id": "12e8c9c2-a162-472d-b7d6-8b9a86b815a6"
    }
}

데이터가 최신 루트 키로 보호되도록 추후 엔벨로프 암호화 오퍼레이션에 대한 새 ciphertext 값을 저장하고 사용하십시오.

$ echo <ciphertext> | base64 --decode

{
    "ciphertext": "mIzRrwZAA8+WqRckG6gt1ji8HlEEJPSiV+TRBSR4GVr+FlAZlC5KvRriRF0=",
    "iv": "lbwxXlAW2DS7+5jGz5Y1Kg==",
    "version": "4.0.0",
    "handle": "8e309bae-b3ec-4270-9b87-89f8697fe54f"
}