使用控制台解包按键

如果你已经有一个Key Protect实例，并希望使用图形界面加密你的 DEK、 可以使用IBM Cloud控制台。

导入或创建 自己的密钥 后、 完成以下步骤，使用密钥封装数据：

1. 登录 IBM Cloud控制台。

2. 从菜单中选择 资源列表，查看资源列表。

3. 从 IBM Cloud 资源列表中，选择您供应的 Key Protect 实例。

4. 从密钥列表中选择用于封装数据的根密钥。

5. 单击 ⋯ 图标，打开要拆封的 DEK 的选项列表。

6. 单击“信封加密”选项打开侧面板。 如果“解包键”选项卡尚未突出显示，请选择该选项卡。

7. 在相应字段中提供上述内容所需的任何文本，包括密码文本和您为解封 DEK 而在本地存储的任何其他数据。

8. 单击“解开密钥”按钮。

使用 API 解包密钥

对服务发出打包调用后，可以通过对以下端点发出 POST 调用来将指定的数据加密密钥 (DEK) 解包以访问其内容。

https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unwrap

包含相同密钥材料的根密钥可以解封相同的数据加密密钥 (WDEK)。 密钥 (WDEK)。

1. 检索服务和认证凭证以与服务中的密钥一起使用。

2. 复制用于执行初始打包请求的根密钥的标识。

   您可以在您的 Key Protect实例，方法是 检索您的密钥列表、 或访问Key Protect面板。

3. 复制在初始打包请求期间返回的 ciphertext 值。

4. 运行以下 curl 命令来解密和验证密钥材料 材料

   $ curl -X POST \
       "https://<region>.kms.cloud.ibm.com/api/v2/keys/<keyID_or_alias>/actions/unwrap" \
       -H "accept: application/vnd.ibm.kms.key_action+json" \
       -H "authorization: Bearer <IAM_token>" \
       -H "bluemix-instance: <instance_ID>" \
       -H "content-type: application/vnd.ibm.kms.key_action+json" \
       -H "x-kms-key-ring: <key_ring_ID>" \
       -H "correlation-id: <correlation_ID>" \
       -d '{
               "ciphertext": "<encrypted_data_key>",
               "aad": [
                   "<additional_data>",
                   "<additional_data>"
               ]
           }'
   

根据下表替换示例请求中的变量。

原始密钥资料会在响应的 entity-body 中返回。 响应体 响应体还包含用于解包所提供密码文本的密钥版本 ID。 的密钥版本 ID。

返回的明文已进行base64编码。 有关 如何解码关键材料，请参阅 解码关键材料。 以下 JSON 对象显示返回值示例。

{
    "plaintext": "Rm91ciBzY29yZSBhbmQgc2V2ZW4geWVhcnMgYWdv",
    "keyVersion": {
        "id": "02fd6835-6001-4482-a892-13bd2085f75d"
    }
}

如果 Key Protect 检测到您轮换使用用于解包和访问数据的根密钥，那么服务还会在解包响应主体中返回新打包的数据加密密钥 (ciphertext)。 The latest key version (rewrappedKeyVersion) that is associated with the new ciphertext is also returned. 存储和使用新的 ciphertext value for future envelope encryption operations so that your data is protected by the latest root key.