通过控制台为Key Protect实例启用双重授权

如果希望通过图形界面在实例上禁用双重授权策略，可以使用控制台。

创建Key Protect实例后、 完成以下步骤创建双重授权策略：

1. 登录IBM Cloud控制台。

2. 转到菜单 > 资源列表以查看您的资源列表。

3. 从 IBM Cloud 资源列表中，选择您供应的 Key Protect 实例。

4. 单击页面左侧的“实例策略”链接。

   • 找到 Dual authorization delete 面板（在页面左上方 页面左上角）。

   • 切换 Dual authorization deletion 以启用或禁用策略。

   • 点击 Save 或 Cancel（任选其一）。

使用 API 为您的Key Protect实例启用双重授权

作为实例管理器，通过 PUT 调用以下端点，为Key Protect实例启用双重授权策略。

https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete

1. 读取您的身份验证凭据，以便使用 API。

   要启用或禁用双重授权策略，必须为Key Protect实例分配一个_管理器_访问策略。 要了解 IAM 角色如何映射到Key Protect服务操作，请查看 服务访问角色。

2. 运行以下 curl 命令，为Key Protect实例启用双重授权策略。

   $ curl -X PUT \
       "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
       -H "accept: application/vnd.ibm.kms.policy+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "content-type: application/vnd.ibm.kms.policy+json" \
       -d '{
               "metadata": {
                   "collectionType": "application/vnd.ibm.kms.policy+json",
                   "collectionTotal": 1
               },
               "resources": [
                   {
                       "policy_type": "dualAuthDelete",
                       "policy_data": {
                           "enabled": true
                       }
                   }
               ]
           }'
   

   根据下表替换示例请求中的变量。

成功的请求将返回 HTTP204 No Content 响应，表明您的 Key Protect 实例现在已启用双重授权。 您创建或导入到服务中的密钥现在需要两次授权才能删除。 有关更多信息，请参阅 删除按键。

可选：验证双重验证策略的启用

您可以通过发出列表策略请求来验证双认证策略密钥是否已启用：

$ curl -X GET \
    "https://<region>.kms.cloud.ibm.com/api/v2/instance/policies?policy=dualAuthDelete" \
    -H "accept: application/vnd.ibm.kms.policy+json" \
    -H "authorization: Bearer <IAM_token>" \
    -H "bluemix-instance: <instance_ID>"

其中 <instance_ID> 是您的实例名称，您的 <IAM_token> 是您的 IAM 令牌。

通过控制台禁用Key Protect实例的双重授权

如果希望通过图形界面在实例上禁用双重授权策略，可以使用控制台。

创建Key Protect实例后，请完成以下步骤以创建双重授权策略：

1. 登录IBM Cloud控制台。

2. 转到菜单 > 资源列表以查看您的资源列表。

3. 从 IBM Cloud 资源列表中，选择您供应的 Key Protect 实例。

4. 在“实例策略”页面，使用“策略”表浏览Key Protect实例中的策略。

5. 单击 ⋯ 图标，打开要禁用的策略的选项列表。

6. 从选项菜单中单击禁用策略，并在更新的策略表中确认策略已禁用。

在控制台授权删除密钥

为实例或密钥启用双重授权后，可使用Key Protect提供删除密钥的首次授权。IBM Cloud控制台。

1. 登录IBM Cloud控制台。

2. 转到菜单 > 资源列表以查看您的资源列表。

3. 从 IBM Cloud 资源列表中，选择您供应的 Key Protect 实例。

4. 在应用程序详细信息页面中，使用密钥表来浏览服务中的密钥。

5. 单击 ⋯ 图标以打开要删除的密钥的选项列表。

6. 从选项菜单中，单击计划删除密钥并查看密钥的 相关资源。

7. 单击 Next 按钮，输入密钥名称，然后单击 Schedule deletion。

8. 联系其他用户完成密钥删除。

其他用户必须拥有实例或密钥的_管理器_访问策略，才能授权删除密钥。

清除控制台中持有双重授权的密钥

在另一个使用_管理器_访问策略的用户授权删除密钥四小时后，只要其中一个用户持有 _KeyPurge_属性，就可以清除该密钥。

单击 ⋯ 图标打开要清除的密钥的选项列表，然后单击“清除” 即可。 如果无法删除密钥，请确保在其他用户授权删除密钥后至少已过了四个小时，并且您持有_KeyPurge_属性。

使用应用程序接口授权删除密钥

为实例或密钥启用双重授权后，可通过向以下端点调用 POST 来提供删除密钥的首次授权。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion

1. 检索您的身份验证凭据，以便在服务中使用密钥。

   要设置删除密钥，必须为实例或密钥指定_经理_或_作家_访问策略。 要了解 IAM 角色如何映射到Key Protect服务操作，请查看 服务访问角色。

2. 复制要设置或授权删除的密钥 ID。

3. 提供删除密钥的首次授权。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/setKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   根据下表替换示例请求中的变量。

请求成功时，系统会返回 HTTP 204 No Content 响应，表明您的密钥已被授权删除。 现在，拥有 “经理” 访问权限的另一个用户可以使用 Key Protect或API 删除密钥。

如果需要防止删除已授权删除的密钥，可以通过调用 POST /api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion 来删除现有授权。

删除密钥

设置删除密钥后，另一个使用_管理器_访问策略的用户可以使用Key Protect安全地删除该密钥。GUI 或 API 安全删除密钥。

Key Protect会设置一个为期七天的授权期，从您提供第一次授权删除密钥后开始计算。 在这七天期间，钥匙仍在 活跃 state 中，允许对钥匙进行所有操作。 如果其他用户未采取任何行动，且七天期限已过，则必须重新启动双重授权程序才能删除密钥。

通过调用 DELETE 删除一个键及其内容。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>

1. 检索您的身份验证凭据，以便在服务中使用密钥。

2. 检索要删除的密钥的标识。

   您可以通过 GET /v2/keys 请求或在 Key Protect 面板中查看密钥来获取指定密钥的 ID。

3. 运行以下 curl 命令删除密钥及其内容。

   $ curl -X DELETE \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "prefer: <return_preference>"
   

   根据下表替换示例请求中的变量。

如果 return_preference 变量设置为 return=representation，则 DELETE 请求的详细信息将在响应实体正文中返回。

删除按键后，该按键将转入 Deactivated 键状态。 24 小时后，如果密钥没有恢复，密钥将转入 Destroyed 状态。 被销毁的密钥最长可在 30 天后或过期日期（以较早者为准）恢复。 之后，密钥内容将被永久删除，再也无法访问。

以下 JSON 对象显示返回值示例。

{
    "metadata": {
        "collectionType": "application/vnd.ibm.kms.key+json",
        "collectionTotal": 1
    },
    "resources": [
        {
          "type": "application/vnd.ibm.kms.key+json",
          "id": "02fd6835-6001-4482-a892-13bd2085f75d",
          "name": "test-root-key",
          "aliases": [
                "alias-1",
                "alias-2"
              ],
          "state": 5,
          "extractable": false,
          "crn": "crn:v1:bluemix:public:kms:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:12e8c9c2-a162-472d-b7d6-8b9a86b815a6:key:02fd6835-6001-4482-a892-13bd2085f75d",
          "imported": false,
          "creationDate": "2020-03-10T20:41:27Z",
          "createdBy": "...",
          "algorithmType": "Deprecated",
          "algorithmMetadata": {
              "bitLength": "256",
              "mode": "Deprecated"
          },
          "algorithmBitSize": 256,
          "algorithmMode": "Deprecated",
          "lastUpdateDate": "2020-03-16T20:41:27Z",
          "dualAuthDelete": {
              "enabled": false
          },
          "deleted": true,
          "deletionDate": "2020-03-16T21:46:53Z",
          "deletedBy": "..."
        }
    ]
}

有关可用参数的详细说明，请参阅 Key Protect REST API 参考文档。

删除现有授权

如果需要在七天授权期到期前取消对某个密钥的授权，可以通过向以下终端拨打 POST 取消现有授权。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion

1. 检索您的身份验证凭据，以便在服务中使用密钥。

   要移除删除密钥的授权，必须为实例或密钥指定_管理器_或_编写者_访问策略。 要了解 IAM 角色如何映射到Key Protect服务操作，请查看 服务访问角色。

2. 复制要取消设置或删除授权的密钥 ID。

3. 删除现有授权以删除密钥。

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unsetKeyForDeletion" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json"
   

   根据下表替换示例请求中的变量。

请求成功时，系统会返回 HTTP 204 No Content 响应，表明您的密钥不再被授权删除。 如果需要重新启动双重授权程序，可以再签发一次授权来设置删除密钥。