Desativando uma chave raiz no console

Depois de criar ou importar suas chaves existentes para o serviço, conclua as etapas a seguir para desativar uma chave:

1. Efetue login no console do IBM Cloud.

2. Acesse Menu > Lista de recursos para visualizar uma lista de seus recursos.

3. Em sua lista de recursos do IBM Cloud, selecione a sua instância provisionada do Key Protect.

4. Na página de detalhes do aplicativo, use a tabela Chaves para navegar nas chaves em sua instância do Key Protect.

5. Clique no ícone ⋯ para abrir uma lista de opções para a chave que você deseja desativar.

6. No menu de opções, clique em Desativar chave e confirme se a chave foi desativada na tabela Chaves atualizada.

Ativando uma chave raiz no console

Depois de criar ou importar suas chaves existentes para o serviço e desativar uma chave raiz, conclua as etapas a seguir para ativar a chave:

1. Efetue login no console do IBM Cloud.

2. Acesse Menu > Lista de recursos para visualizar uma lista de seus recursos.

3. Em sua lista de recursos do IBM Cloud, selecione a sua instância provisionada do Key Protect.

4. Na página de detalhes do aplicativo, use a tabela de Chaves para procurar as chaves em seu serviço.

5. Clique no ícone ⋯ para abrir uma lista de opções para a chave que você deseja ativar.

6. No menu de opções, clique em Ativar chave e confirme se a chave foi ativada na tabela Chaves atualizada.

As chaves não podem ser ativadas imediatamente após serem desativadas. Se uma chave foi desativada por engano, espere pelo menos 30 segundos antes de tentar reativá-la.

Desativando uma chave raiz com a API

Você pode desativar uma chave raiz que esteja no estado de chave ativa fazendo um POST para o seguinte endpoint.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/disable

1. Recupere as suas credenciais de autenticação para trabalhar com chaves no serviço.

   Para desabilitar uma chave raiz, deve-se atribuir uma função de acesso de serviço Gerente para a instância ou chave. Para saber como as funções do IAM mapeiam para ações de serviços do Key Protect, consulte Funções de acesso de serviços.

2. Recupere o ID da chave raiz que você deseja desativar.

   Para obter o ID de uma chave especificada, é possível fazer uma GET /v2/keys requestou visualizando suas chaves no painel do Key Protect.

3. Execute o seguinte comando curl para desativar a chave raiz e suspender suas operações de criptografia e decriptografia.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/disable" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>"
   

   Substitua as variáveis na solicitação de exemplo de acordo com a tabela a seguir.

Uma solicitação de desativação bem-sucedida retorna uma resposta HTTP 204 No Content, que indica que a chave raiz foi desativada para operações de criptografia e decriptografa.

Opcional: verificar a desativação da chave

É possível verificar se uma chave foi desativada emitindo uma solicitação para obter metadados da chave:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/metadata" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Em que <keyID_or_alias> é o ID ou alias da chave, <instance_ID> é o nome da instância e <IAM_token> é seu token do IAM.

Revise o campo state no corpo da resposta para verificar se a chave passou para o estado de chave Suspended. A saída JSON a seguir mostra os detalhes de metadados para uma chave raiz desativada.

O mapeamento inteiro para o estado chave Suspenso é 2. Os estados dechave são baseados no NIST SP 800-57.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "...",
            "description": "...",
            "tags": [
                "..."
            ],
            "state": 2,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": true,
            "creationDate": "2020-03-10T20:41:27Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "128",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 128,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "keyVersion": {
                "id": "30372f20-d9f1-40b3-b486-a709e1932c9c",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

Ativando uma chave raiz desativada com a API

Você pode ativar uma chave raiz que esteja no estado Suspended key fazendo um POST para o seguinte endpoint.

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/enable

1. Recupere as suas credenciais de autenticação para trabalhar com chaves no serviço.

   Para ativar uma chave raiz, deve-se atribuir uma função de acesso de serviço Gerente para a instância ou chave. Para saber como as funções do IAM mapeiam para ações de serviços do Key Protect, consulte Funções de acesso de serviços.

2. Recupere o ID da chave raiz desativada que você deseja ativar.

   Para obter o ID de uma chave especificada, é possível fazer uma GET /v2/keys requestou visualizando suas chaves no painel do Key Protect.

3. Execute o seguinte comando curl para ativar a chave raiz e restaurar suas operações de criptografia e decriptografia.

   Deve-se aguardar 30 segundos após a desativação de uma chave raiz antes de ser capaz de ativá-la novamente.

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/enable" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>"
   

Substitua as variáveis na solicitação de exemplo de acordo com a tabela a seguir.

Uma solicitação de ativação bem-sucedida retorna uma resposta HTTP 204 No Content, que indica que a chave raiz foi restabelecida para operações de criptografia e decriptografa.

Opcional: verificar a ativação da chave

É possível verificar se uma chave foi ativada emitindo uma solicitação para obter metadados da chave:

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/metadata" \
    -H "accept: application/vnd.ibm.kms.key+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

Em que <keyID_or_alias> é o ID ou alias da chave, <instance_ID> é o nome da instância e <IAM_token> é seu token do IAM.

Revise o campo state no corpo da resposta para verificar se a chave passou para o estado de chave Active. A saída JSON a seguir mostra os detalhes de metadados para uma chave ativa.

O mapeamento de número inteiro para o estado de chave Ativo é 1. Os estados dechave são baseados no NIST SP 800-57.

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "...",
            "description": "...",
            "tags": [
                "..."
            ],
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": true,
            "creationDate": "2020-03-10T20:41:27Z",
            "createdBy": "...",
            "algorithmType": "AES",
            "algorithmMetadata": {
                "bitLength": "128",
                "mode": "CBC_PAD"
            },
            "algorithmBitSize": 128,
            "algorithmMode": "CBC_PAD",
            "lastUpdateDate": "2020-03-16T20:41:27Z",
            "keyVersion": {
                "id": "30372f20-d9f1-40b3-b486-a709e1932c9c",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}