在控制台中创建根密钥

创建服务实例后，完成以下步骤在 IBM Cloud 控制台。

如果启用 Key Protect 实例的双重授权设置，请记住添加到服务的任何密钥都需要两个用户的授权才能删除密钥。

1. 登录到 IBM Cloud 控制台。

2. 转到菜单 > 资源列表以查看您的资源列表。

3. 从 IBM Cloud 资源列表中，选择您供应的 Key Protect 实例。

4. 要创建新密钥，请单击 添加。 这将打开侧面板。 确保选择 创建密钥 选项。 请注意，要为此密钥设置 密钥别名，密钥环或 旋转策略，必须单击 高级选项 选项卡以显示这些密钥。

如果您不是 Manager (或具有同等级别的许可权)，那么不会显示 旋转策略 选项。

Specify the key's details:

填写完密钥详细信息后，单击创建密钥以进行确认。

如果您知道要将密钥放入哪个密钥环中，并且您是该密钥环的 管理者，那么还可以浏览到“密钥环”面板，选择 ... 并单击 将密钥添加到密钥环。 这将打开您通过单击“密钥”页面上的 添加 (其中 密钥环 变量中填充了密钥环的名称) 所看到的同一面板。

服务中创建的密钥是 AES-CBC-PAD 算法支持的 256 位对称密钥。 为了提高安全性，密钥通过位于安全 IBM Cloud 数据中心且通过 FIPS 140-2 Level 3 认证的硬件安全模块 (HSM) 生成。

使用 API 创建根密钥

通过对以下端点执行 POST 调用来创建根密钥。

https://<region>.kms.cloud.ibm.com/api/v2/keys

1. 检索认证凭证以使用服务中的密钥。

2. 通过运行以下 curl 命令来创建根密钥。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.key+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "type": "application/vnd.ibm.kms.key+json",
                       "name": "<key_name>",
                       "aliases": [alias_list],
                       "description": "<key_description>",
                       "expirationDate": "<expiration_date>",
                       "extractable": <key_type>
                   }
               ]
           }'
   

   根据下表替换示例请求中的变量。

设置过期日期时要谨慎，因为过期日期创建的密钥会在过期后一小时内自动过渡到_停用_状态。 在这种状态下，只允许对按键进行解包、重包、旋转和删除操作。 停用的密钥不能用于加密（封装）新数据，即使在停用时进行了旋转。 轮换不会重置或延长有效期，也不允许更改日期。 建议在原客户根密钥 (CRK) 过期之前，使用新客户根密钥 (CRK) 重新加密使用过期或失效密钥加密的任何数据，以防止服务中断。 删除和恢复已停用的密钥不会使其回到_激活状态_。 如果省略 expiration_date 属性，则密钥不会过期。

您可以使用 IBM Cloud Logs. 日志会使用 JSON 属性 responseData.expirationDate 和 responseData.daysToKeyExpire 对有过期日期的密钥和以下 action 值显示过期日期和剩余天数：kms.secrets.wrap, kms.secrets.unwrap, kms.secrets.rewrap, kms.secrets.read, kms.secrets.readmetadata, kms.secrets.create, kms.secrets-with-policy-overrides.create 和 kms.secrets.expire。 此外，成功调用 GET /api/v2/keys 的 REST 会返回每个有过期日期的密钥的 expirationDate 属性。

为保护个人数据的机密性，在向服务添加密钥时，避免输入个人可标识信息 (PII)，例如，姓名或位置。

成功的 POST api/v2/keys 响应会返回密钥的标识值以及其他元数据。 标识是指定给密钥的唯一标识，用于后续调用 Key Protect API。

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
            "type": "application/vnd.ibm.kms.key+json",
            "id": "02fd6835-6001-4482-a892-13bd2085f75d",
            "name": "test-root-key",
            "aliases": [
                "alias-1",
                "alias-2"
              ],
            "description": "A test root key",
            "state": 1,
            "extractable": false,
            "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
            "imported": false,
            "creationDate": "2020-03-12T03:37:32Z",
            "createdBy": "...",
            "algorithmType": "Deprecated",
            "algorithmMetadata": {
                "bitLength": "256",
                "mode": "Deprecated"
            },
            "algorithmBitSize": 256,
            "algorithmMode": "Deprecated",
            "lastUpdateDate": "2020-03-12T03:37:32Z",
            "keyVersion": {
                "id": "2291e4ae-a14c-4af9-88f0-27c0cb2739e2",
                "creationDate": "2020-03-12T03:37:32Z"
            },
            "dualAuthDelete": {
                "enabled": false
            },
            "deleted": false
        }
    ]
}

有关响应参数的详细说明，请参阅 Key Protect REST API 参考文档。